CN110457899B - 一种操作系统保护系统及方法 - Google Patents

Abstract

本发明涉及一种操作系统保护系统及方法，该方法包括：当保护开启时，向磁盘写入标记，并控制操作系统以休眠方式启动。检测到标记后，收到写磁盘请求时，将写入数据写入申请的内存而非磁盘中。本发明利用主流桌面操作系统均支持的磁盘过滤驱动原理和休眠启动原理，通过磁盘过滤驱动对操作系统所在分区的所有写操作进行过滤，当收到写磁盘请求时，将写入数据重定向到内存中，不修改磁盘上的数据，从而保证操作系统正常工作状态下在进行磁盘写操作过程中发生断电、复位或病毒等情况均不会使操作系统文件损坏；还通过使操作系统每次启动时均锁定为休眠方式启动，因不存在回写注册表等环节，所以确保了断电等情况发生在启动过程中也不会造成系统损坏。

Description

一种操作系统保护系统及方法

技术领域

本发明涉及计算机系统领域，具体涉及一种操作系统保护系统及方法。

背景技术

现代信息系统对计算机操作系统的可靠性提出了越来越高的要求。为了实现功能强大、交互体验好的人机交互界面，工程实践中多采用Windows、Linux等桌面式操作系统。但桌面式系统在遭受木马、病毒和恶意脚本攻击、或在磁盘写操作过程中受到异常断电的冲击等情况时，很容易遭到破坏，这已成为影响操作系统可靠性的最主要因素，无法满足一些较苛刻环境下的使用要求。

对于操作系统的保护，目前最多采用的方法是简单镜像法，即在系统无法启动时进行恢复，选择恢复选项后从某个分区启动恢复软件，用事先备份好的系统进行恢复；有时还采用HPA(host protected area)镜像法，即在上一种方法的基础上，解决备份分区可见、本身也可能受到损坏的问题，上述的简单镜像法和HPA镜像法的缺点均为不能预防，只能事后弥补，一旦出现问题，虽然可以较快地恢复，但会给用户增加使用负担，并且有可能耽误用户执行重要任务。

发明内容

针对上述技术问题，本发明提供一种操作系统保护系统及方法。

本发明解决上述技术问题的技术方案如下：一种操作系统保护系统，包括：

磁盘过滤驱动模块，用于当检测到标记时，向操作系统申请内存空间，并进入消息循环进行事件检测，当收到关闭过滤功能的事件时，本模块任务结束，当收到写磁盘请求的事件时，则将所述写磁盘请求中的写入数据写入申请的所述内存空间中；

休眠和磁盘过滤控制模块，用于当检测到锁定命令时，向磁盘写入所述标记；还用于当检测到解锁命令时，向所述磁盘过滤驱动模块发送关闭过滤功能的事件，并将所述标记清除。

本发明的有益效果是：利用主流桌面操作系统均支持的磁盘过滤驱动原理，通过磁盘过滤驱动对操作系统所在分区的所有写操作都进行过滤处理，将写磁盘请求中的写入数据写入申请的内存空间，不会修改物理磁盘上的数据，因此不会因在进行磁盘写操作的过程中发生异常断电、硬复位或病毒等情况而对操作系统造成破坏，对操作及系统进行有效保护。

在上述技术方案的基础上，本发明还可以做如下改进。

进一步，所述系统还包括MBR主导引导记录模块，用于将操作系统锁定为以休眠方式启动；

所述休眠和磁盘过滤控制模块，还用于当检测到锁定命令时，控制操作系统进入休眠模式；还用于在操作系统以休眠唤醒的方式启动后，当检测到解锁命令时，控制操作系统关闭休眠功能。

采用上述进一步方案的有益效果是，利用主流桌面操作系统均支持的休眠启动原理、以及磁盘过滤驱动原理，给出了一种休眠镜像与磁盘过滤相结合的方案，充分发挥了休眠功能下，操作系统将内存状态生成为镜像，每次启动时过程锁定为只需加载该镜像，不执行标准的操作系统启动流程，不存在回写注册表等环节，省略了操作系统文件、系统服务和支撑环境加载过程的特性，因此在启动过程中断电等异常情况均不会造成系统文件被损坏，并且可缩短约一半的系统启动时间。

进一步，MBR主导引导记录模块，具体用于通过定制MBR使休眠文件hiberfil.sys不通过系统文件NTLDR进行加载，每次加载后不清除hiberfil.sys文件头中的标记，不使休眠文件变为无效，从而将操作系统启动方式固定保持为以休眠方式启动。

进一步，申请的所述内存空间为非分页式内存。

进一步，所述磁盘过滤驱动模块，具体用于当收到写磁盘请求的事件时，将所述写磁盘请求中的写入地址重定向映射到申请的所述内存空间中的地址。

为实现上述发明目的，本发明还提供一种操作系统保护方法，包括：

磁盘过滤驱动模块当检测到标记时，向操作系统申请内存空间，并进入消息循环进行事件检测，当收到关闭过滤功能的事件时，本模块任务结束，当收到写磁盘请求的事件时，则将所述写磁盘请求中的写入数据写入申请的所述内存空间中；

休眠和磁盘过滤控制模块当检测到锁定命令时，向磁盘写入所述标记；

所述休眠和磁盘过滤控制模块当检测到解锁命令时，向所述磁盘过滤驱动模块发送关闭过滤功能的事件，并将所述标记清除。

进一步，所述方法还包括：

MBR主导引导记录模块将操作系统锁定为以休眠方式启动；

所述休眠和磁盘过滤控制模块当检测到锁定命令时，控制操作系统进入休眠模式；

所述休眠和磁盘过滤控制模块在操作系统以休眠唤醒的方式启动后，当检测到解锁命令时，控制操作系统关闭休眠功能。

进一步，所述MBR模块将操作系统锁定为以休眠方式启动，具体包括：

所述MBR模块通过定制MBR使休眠文件hiberfil.sys不通过系统文件NTLDR进行加载，每次加载后不清除hiberfil.sys文件头中的标记，不使休眠文件变为无效，从而将操作系统启动方式固定保持为以休眠方式启动。

进一步，申请的所述内存空间为非分页式内存。

进一步，所述磁盘过滤驱动模块将所述写磁盘请求中的写入数据写入申请的所述内存空间中，具体包括：

所述磁盘过滤驱动模块将所述写磁盘请求中的写入地址重定向映射到申请的所述内存空间中的地址。

附图说明

图1为本发明实施例提供的一种操作系统保护系统的结构框图；

图2为本发明实施例提供的磁盘过滤驱动模块的工作流程图；

图3为本发明实施例提供的基本功能模式的休眠和磁盘过滤控制模块的工作流程图；

图4为本发明实施例提供的完整功能模式的休眠和磁盘过滤控制模块的工作流程图；

图5为本发明实施例提供的一种操作系统保护方法的流程图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

图1为本发明实施例提供的一种操作系统保护系统的结构框图，如图1所示，该系统包括：

磁盘过滤驱动模块，用于当检测到标记时，向操作系统申请内存空间，并进入消息循环进行事件检测，当收到关闭过滤功能的事件时，本模块任务结束，当收到写磁盘请求的事件时，则将所述写磁盘请求中的写入数据写入申请的所述内存空间中；

具体的，本实施例中的磁盘过滤驱动模块通过在操作系统上安装的磁盘过滤驱动实现，磁盘过滤驱动属于一类中级驱动，位于其他一些驱动之上，透明地截取发往低层驱动程序设备对象的请求，使其完全不知道请求被截取和处理。该类驱动挂载在对应的功能驱动上，对某设备的IRP,I/O Request Packet进行拦截，起到过滤作用。

磁盘过滤驱动模块实现对磁盘写操作的过滤，对操作系统所在分区的所有写操作都经过过滤处理。若磁盘过滤驱动检测到“进入虚拟平台”标记，则首先向系统申请一块非分页式内存，然后进入消息循环进行事件检测，如果收到关闭过滤功能的事件(由“休眠和磁盘过滤控制模块”产生)，则本模块任务结束；如果收到操作系统产生的写磁盘请求事件，则开始过滤写磁盘的请求。在常用的两类方法(备份保护法和映射保护法)中，选用映射保护法，具体过程是，出现磁盘写操作时，实际写入地址重定向映射到另一个临时缓冲区(即：申请的非分页式内存)的地址，如果写操作中的写入数据过多，超出了申请的内存大小，则会被丢弃。由于内存为易失性存储介质，因此缓冲区中的内容在重启后清空，也就是说，所有的写操作只是表面上有效，使一些系统服务或外界触发的磁盘写操作不会真正修改物理磁盘上的数据。因此，如非正常的关机(直接断电等)，或木马、病毒和恶意脚本，均不会对操作系统造成破坏，从而稳定地保护系统。重启系统后，所有暂存数据被丢弃，系统重新回到原来的状态。磁盘过滤驱动模块的工作流程如图2所示。

休眠和磁盘过滤控制模块，用于当检测到锁定命令时，向磁盘写入所述标记；还用于当检测到解锁命令时，向所述磁盘过滤驱动模块发送关闭过滤功能的事件，并将所述标记清除。

具体的，为操作方便，可在操作系统的界面上设置锁定和解锁两个按钮(当然，也可以不通过按钮点击的形式，而采用其他能够触发锁定和解锁命令的方法)，当用户点击“锁定”按钮后，休眠和磁盘过滤控制模块向硬盘写入一个“进入虚拟平台”标记，磁盘过滤驱动开始保护系统。当用户点击“解锁”按钮后，休眠和磁盘过滤控制模块生成关闭过滤功能的事件，使磁盘过滤驱动在接收到该事件后关闭过滤功能，并将“进入虚拟平台”标记清除，使磁盘过滤驱动不再对磁盘写操作进行过滤。休眠和磁盘过滤控制模块的工作流程如图3所示。

另外，本实施例中，将应用软件和记录的数据文件分开存储在不同分区。凡是不需要进行动态存储的文件，如应用软件可执行文件、动态连接库、资源文件等均放置于受保护的系统分区，只能读取，不能被改写或移除，从而可使其随操作系统一起受到保护；需要动态记录的数据文件则放置在其他分区，允许软件可读可写。

本发明实施例提供的一种操作系统保护系统，利用主流桌面操作系统均支持的磁盘过滤驱动原理，通过磁盘过滤驱动对操作系统所在分区的所有写操作都进行过滤处理，将写磁盘请求中的写入数据写入申请的内存空间，不会修改物理磁盘上的数据，因此不会因在进行磁盘写操作的过程中发生异常断电、硬复位或病毒等情况而对操作系统造成破坏，对操作及系统进行有效保护。

可选地，在该实施例中，所述系统还包括MBR主引导记录模块，用于将操作系统锁定为以休眠方式启动；

具体的，作为一种可选的方式，MBR主导引导记录模块可通过定制MBR替换系统默认的MBR，新的定制MBR使休眠文件hiberfil.sys不通过系统文件NTLDR进行加载(NTLDR加载是系统默认方式，但每次加载后会清除hiberfil.sys文件头中的标记，使休眠文件变为无效)，将操作系统锁定为以休眠方式启动，利用休眠模式本身的特性，从而使操作系统在每次启动后的状态都固定保持为与休眠镜像生成前最后一刻的快照一致的状态。

通过定制MBR使操作系统每次开机或重启时均锁定为以休眠方式启动，由于休眠启动方式只加载为休眠启动预生成的镜像，不执行标准的操作系统启动流程，不存在回写注册表等环节，因此启动过程中断电等异常情况均不会造成系统文件被损坏。

所述休眠和磁盘过滤控制模块，还用于当检测到锁定命令时，控制操作系统进入休眠模式；还用于在操作系统以休眠唤醒的方式启动后，当检测到解锁命令时，控制操作系统关闭休眠功能。

具体的，本实施例中，当用户点击“锁定”按钮后，休眠和磁盘过滤控制模块向硬盘写入一个“进入虚拟平台”标记，并调用开始休眠功能的例程，执行操作系统开始休眠的函数，此时，操作系统开始进入休眠流程(需要预先配好允许休眠的环境，例如，将计算机的操作系统的高级电源管理功能中的休眠功能设置为开启)，生成休眠镜像，然后自动关闭系统。

给系统重新加电，此时系统以休眠唤醒的方式启动，磁盘过滤驱动开始保护系统。如果用户点击“解锁”按钮，休眠和磁盘过滤控制模块生成关闭过滤功能的事件，使磁盘过滤驱动在接收到该事件后关闭过滤功能，并将“进入虚拟平台”标记清除，同时调用关闭休眠功能的例程，这样当再次重启时，系统恢复为普通方式启动。休眠和磁盘过滤控制模块的工作流程如图4所示。

本发明实施例提供的一种操作系统保护系统，利用主流桌面操作系统均支持的休眠启动原理、以及磁盘过滤驱动原理，给出了一种休眠镜像与磁盘过滤相结合的方案，充分发挥了休眠功能下，操作系统将内存状态生成为镜像，每次启动时只需加载镜像，省略了操作系统文件、系统服务和支撑环境加载过程的特性，在启动过程中断电等异常情况均不会造成系统文件被损坏，并且可缩短约一半的系统启动时间。

图5为本发明实施例提供的一种操作系统保护方法的流程图，如图5所示，该方法包括：

S10、磁盘过滤驱动模块当检测到标记时，向操作系统申请内存空间，并进入消息循环进行事件检测，当收到关闭过滤功能的事件时，本模块任务结束，当收到写磁盘请求的事件时，则将所述写磁盘请求中的写入数据写入申请的所述内存空间中；

S20、休眠和磁盘过滤控制模块当检测到锁定命令时，向磁盘写入所述标记；

S30、所述休眠和磁盘过滤控制模块当检测到解锁命令时，向所述磁盘过滤驱动模块发送关闭过滤功能的事件，并将所述标记清除。

本发明实施例提供的一种操作系统保护方法，利用主流桌面操作系统均支持的磁盘过滤驱动原理，通过磁盘过滤驱动对操作系统所在分区的所有写操作都进行过滤处理，将写磁盘请求中的写入数据写入申请的内存空间，不会修改物理磁盘上的数据，因此不会因在进行磁盘写操作的过程中发生异常断电、硬复位或病毒等情况而对操作系统造成破坏，可对系统进行有效保护。

可选地，在该实施例中，所述方法还包括：

S40、MBR主引导记录模块将操作系统锁定为以休眠方式启动；

步骤S20还包括：所述休眠和磁盘过滤控制模块当检测到锁定命令时，控制操作系统进入休眠模式；

步骤S30还包括：所述休眠和磁盘过滤控制模块在操作系统以休眠唤醒的方式启动后，当检测到解锁命令时，控制操作系统关闭休眠功能。

可选地，在该实施例中，所述MBR模块将操作系统锁定为以休眠方式启动，具体包括：

所述MBR模块通过定制MBR使休眠文件hiberfil.sys不通过系统文件NTLDR进行加载，每次加载后不清除hiberfil.sys文件头中的标记，不使休眠文件变为无效，从而将操作系统启动方式固定保持为以休眠方式启动。

可选地，在该实施例中，申请的所述内存空间为非分页式内存。

可选地，在该实施例中，所述磁盘过滤驱动模块将所述写磁盘请求中的写入数据写入申请的所述内存空间中，具体包括：

所述磁盘过滤驱动模块将所述写磁盘请求中的写入地址重定向映射到申请的所述内存空间中的地址。

本发明的技术方案是一种全新实现的系统级保护方案，利用主流桌面操作系统均支持的休眠启动原理、以及磁盘过滤驱动原理，将休眠镜像与磁盘过滤相结合，不存在传统方法的各种缺陷，经历了充分的试验验证和交付用户的检验，能够充分满足对于操作系统的崩溃预防、病毒防护、快速启动的要求，实现了具备高可靠性的操作系统保护系统。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种操作系统保护系统，其特征在于，包括：

磁盘过滤驱动模块，用于当检测到标记时，向操作系统申请内存空间，并进入消息循环进行事件检测，当收到关闭过滤功能的事件时，本模块任务结束，当收到写磁盘请求的事件时，则将所述写磁盘请求中的写入数据写入申请的所述内存空间中；

休眠和磁盘过滤控制模块，用于当检测到锁定命令时，向磁盘写入所述标记；还用于当检测到解锁命令时，向所述磁盘过滤驱动模块发送关闭过滤功能的事件，并将所述标记清除；

还包括：

MBR主引导记录模块，用于将操作系统锁定为每次启动均以休眠方式启动；

所述休眠和磁盘过滤控制模块，还用于当检测到锁定命令时，控制操作系统进入休眠模式；还用于在操作系统以休眠唤醒的方式启动后，当检测到解锁命令时，控制操作系统关闭休眠功能；

所述MBR主引导记录模块，替换掉系统默认的MBR，具体用于通过定制MBR使休眠文件hiberfil.sys不通过系统文件NTLDR进行加载，每次加载后不清除hiberfil.sys文件头中的标记，不使休眠文件变为无效，从而将操作系统启动方式固定保持为以休眠方式启动。

2.根据权利要求1所述的一种操作系统保护系统，其特征在于，申请的所述内存空间为非分页式内存。

3.根据权利要求1或2所述的一种操作系统保护系统，其特征在于，所述磁盘过滤驱动模块，具体用于当收到写磁盘请求的事件时，将所述写磁盘请求中的写入地址重定向映射到申请的所述内存空间中的地址。

4.一种操作系统保护方法，其特征在于，包括：

磁盘过滤驱动模块当检测到标记时，向操作系统申请内存空间，并进入消息循环进行事件检测，当收到关闭过滤功能的事件时，本模块任务结束，当收到写磁盘请求的事件时，则将所述写磁盘请求中的写入数据写入申请的所述内存空间中；

休眠和磁盘过滤控制模块当检测到锁定命令时，向磁盘写入所述标记；

所述休眠和磁盘过滤控制模块当检测到解锁命令时，向所述磁盘过滤驱动模块发送关闭过滤功能的事件，并将所述标记清除；

还包括：

MBR主引导记录模块将操作系统锁定为每次启动均以休眠方式启动；

所述休眠和磁盘过滤控制模块当检测到锁定命令时，控制操作系统进入休眠模式；

所述休眠和磁盘过滤控制模块在操作系统以休眠唤醒的方式启动后，当检测到解锁命令时，控制操作系统关闭休眠功能；

其中，所述MBR模块将操作系统锁定为以休眠方式启动，具体包括：

所述MBR模块通过定制MBR使休眠文件hiberfil.sys不通过系统文件NTLDR进行加载，每次加载后不清除hiberfil.sys文件头中的标记，不使休眠文件变为无效，从而将操作系统启动方式固定保持为以休眠方式启动。

5.根据权利要求4所述的一种操作系统保护方法，其特征在于，申请的所述内存空间为非分页式内存。

6.根据权利要求4或5所述的一种操作系统保护方法，其特征在于，所述磁盘过滤驱动模块将所述写磁盘请求中的写入数据写入申请的所述内存空间中，具体包括：

所述磁盘过滤驱动模块将所述写磁盘请求中的写入地址重定向映射到申请的所述内存空间中的地址。

Images