CN111125709B - 一种服务器安全漏洞修复方法与装置 - Google Patents

一种服务器安全漏洞修复方法与装置 Download PDF

Info

Publication number
CN111125709B
CN111125709B CN201911201645.0A CN201911201645A CN111125709B CN 111125709 B CN111125709 B CN 111125709B CN 201911201645 A CN201911201645 A CN 201911201645A CN 111125709 B CN111125709 B CN 111125709B
Authority
CN
China
Prior art keywords
firmware
bios
patch
existing
code
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911201645.0A
Other languages
English (en)
Other versions
CN111125709A (zh
Inventor
李道童
李婷婷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suzhou Inspur Intelligent Technology Co Ltd
Original Assignee
Suzhou Inspur Intelligent Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Suzhou Inspur Intelligent Technology Co Ltd filed Critical Suzhou Inspur Intelligent Technology Co Ltd
Priority to CN201911201645.0A priority Critical patent/CN111125709B/zh
Publication of CN111125709A publication Critical patent/CN111125709A/zh
Application granted granted Critical
Publication of CN111125709B publication Critical patent/CN111125709B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/18—File system types
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/658—Incremental updates; Differential updates

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Stored Programmes (AREA)

Abstract

本发明公开了一种服务器安全漏洞修复方法与装置，方法包括：生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作。本发明能够以更安全的方法修改BIOS固件，提升稳定性并降低风险。

Description

一种服务器安全漏洞修复方法与装置
技术领域
本发明涉及交换机领域，更具体地，特别是指一种服务器安全漏洞修复方法与装置。
背景技术
近年来随着大数据及云计算等业务的发展，服务器逐渐普及到各行各业。服务器作为处理与存储企业客户核心数据的工具，其安全要求非常高，近年来Intel接连有报出CPU安全漏洞，此种安全漏洞需要升级CPU微码或通过BIOS(基本输入输出系统)代码修改配置CPU寄存器修复，一般是通过将补丁程序放入到BIOS程序中进行问题修正。补丁程序加入BIOS中，编译新的BIOS版本进行客户端升级这种方式，由于需要升级BIOS程序，对客户使用会有较大的影响。BIOS作为服务器底层最重要的两个固件之一，负责服务器硬件的初始化与操作系统引导工作，频繁升级BIOS软件对客户使用造成不稳定因素，固此种安全漏洞升级的方案对客户业务运行有影响稳定性的风险。
针对现有技术中BIOS代码修改方法具有安全风险、影响工作稳定性的问题，目前尚无有效的解决方案。
发明内容
有鉴于此，本发明实施例的目的在于提出一种服务器安全漏洞修复方法与装置，能够以更安全的方法修改BIOS固件，提升稳定性并降低风险。
基于上述目的，本发明实施例的第一方面提供了一种服务器安全漏洞修复方法，包括执行以下步骤：
生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；
在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；
响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作。
在一些实施方式中，BIOS的可扩展固件接口所连接的存储器镜像中包括多个固件卷，每个固件卷包括多个固件文件系统；
运行固件升级补丁包括：将固件升级补丁中的一个或多个固件文件系统分别加载到对应的固件卷中，并且对于存储器镜像中现有的多个固件文件系统不执行任何操作。
在一些实施方式中，基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁包括：使用安全补丁生成器生成可独立运行以消除差异的固件文件系统驱动包。
在一些实施方式中，存储设备包括可移动磁盘和/或本地硬盘的分区。
在一些实施方式中，固件升级补丁在被校验之后由安全补丁解包器运行。
本发明实施例的第二方面提供了一种服务器安全漏洞修复装置，包括：
处理器；和
存储器，存储有处理器可运行的程序代码，程序代码在被运行时执行以下步骤：
生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；
在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；
响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作。
在一些实施方式中，BIOS的可扩展固件接口所连接的存储器镜像中包括多个固件卷，每个固件卷包括多个固件文件系统；
运行固件升级补丁包括：将固件升级补丁中的一个或多个固件文件系统分别加载到对应的固件卷中，并且对于存储器镜像中现有的多个固件文件系统不执行任何操作。
在一些实施方式中，基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁包括：使用安全补丁生成器生成可独立运行以消除差异的固件文件系统驱动包。
在一些实施方式中，存储设备包括可移动磁盘和/或本地硬盘的分区。
在一些实施方式中，固件升级补丁在被校验之后由安全补丁解包器运行。
本发明具有以下有益技术效果：本发明实施例提供的服务器安全漏洞修复方法与装置，通过生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统的技术方案不执行任何操作，能够以更安全的方法修改BIOS固件，提升稳定性并降低风险。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的服务器安全漏洞修复方法的流程示意图；
图2为本发明提供的服务器安全漏洞修复方法的BIOS固件镜像结构图；
图3为本发明提供的服务器安全漏洞修复方法的详细流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明实施例进一步详细说明。
需要说明的是，本发明实施例中所有使用“第一”和“第二”的表述均是为了区分两个相同名称非相同的实体或者非相同的参量，可见“第一”“第二”仅为了表述的方便，不应理解为对本发明实施例的限定，后续实施例对此不再一一说明。
基于上述目的，本发明实施例的第一个方面，提出了一种能够以更安全的方法修改BIOS固件的服务器安全漏洞修复方法一个实施例。图1示出的是本发明提供的服务器安全漏洞修复方法的流程示意图。
所述服务器安全漏洞修复方法，如图1所示，包括执行以下步骤：
步骤S101：生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；
步骤S103：在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；
步骤S105：响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(ROM)或随机存储记忆体(RAM)等。所述计算机程序的实施例，可以达到与之对应的前述任意方法实施例相同或者相类似的效果。
如图2所示，BIOS的可扩展固件接口(EFI)所连接的存储器镜像(ROM image)中包括多个固件卷(FV)，每个固件卷包括多个固件文件系统(FFS)；运行固件升级补丁包括：将固件升级补丁中的一个或多个固件文件系统分别加载到对应的固件卷中，并且对于存储器镜像中现有的多个固件文件系统不执行任何操作。具体的多个差异在FFS中以段落(section)的形式记载和读取。
在一些实施方式中，基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁包括：使用安全补丁生成器生成可独立运行以消除差异的固件文件系统驱动包。
在一些实施方式中，存储设备包括可移动磁盘和/或本地硬盘的分区。
在一些实施方式中，固件升级补丁在被校验之后由安全补丁解包器运行。
根据本发明实施例公开的方法还可以被实现为由CPU(中央处理器)执行的计算机程序，该计算机程序可以存储在计算机可读存储介质中。在该计算机程序被CPU执行时，执行本发明实施例公开的方法中限定的上述功能。上述方法步骤以及系统单元也可以利用控制器以及用于存储使得控制器实现上述步骤或单元功能的计算机程序的计算机可读存储介质实现。
下面根据如图3所示的具体实施例来进一步阐述本发明的具体实施方式。例如客户的线上版本为BIOS1，而添加安全漏洞补丁程序的版本为BIOS2，则使用SecPatchGenerator(安全补丁生成器)工具通过比较BIOS2与BIOS1的差异，来将安全补丁生成一只单独可运行的FFS driver patch(件文件系统驱动包)，并将driver patch拷贝进入U盘或者系统硬盘分区。BIOS1开始执行后，SecPatchDispatcher(安全补丁解包器)会轮询外插U盘或者系统硬盘分区上的FFS patch driver，找到并校验通过后执行，至此完成针对安全漏洞的patch补丁升级。
从上述实施例可以看出，本发明实施例提供的服务器安全漏洞修复方法，通过生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作的技术方案，能够以更安全的方法修改BIOS固件，提升稳定性并降低风险。
需要特别指出的是，上述服务器安全漏洞修复方法的各个实施例中的各个步骤均可以相互交叉、替换、增加、删减，因此，这些合理的排列组合变换之于服务器安全漏洞修复方法也应当属于本发明的保护范围，并且不应将本发明的保护范围局限在所述实施例之上。
基于上述目的，本发明实施例的第二个方面，提出了一种能够在可预期的时间内启动操作系统的服务器安全漏洞修复装置的一个实施例。服务器安全漏洞修复装置包括：
处理器；和
存储器，存储有处理器可运行的程序代码，程序代码在被运行时执行以下步骤：
生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；
在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；
响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作。
在一些实施方式中，BIOS的可扩展固件接口所连接的存储器镜像中包括多个固件卷，每个固件卷包括多个固件文件系统；运行固件升级补丁包括：将固件升级补丁中的一个或多个固件文件系统分别加载到对应的固件卷中，并且对于存储器镜像中现有的多个固件文件系统不执行任何操作。
在一些实施方式中，基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁包括：使用安全补丁生成器生成可独立运行以消除差异的固件文件系统驱动包。
在一些实施方式中，存储设备包括可移动磁盘和/或本地硬盘的分区。
在一些实施方式中，固件升级补丁在被校验之后由安全补丁解包器运行。
从上述实施例可以看出，本发明实施例提供的服务器安全漏洞修复装置，通过生成修复过漏洞的安全BIOS代码，并基于安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；在服务器中启动BIOS，通过轮询存储设备来获取固件升级补丁，并对固件升级补丁执行校验；响应于校验通过，运行固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作的技术方案，能够以更安全的方法修改BIOS固件，提升稳定性并降低风险。
需要特别指出的是，上述服务器安全漏洞修复装置的实施例采用了所述服务器安全漏洞修复方法的实施例来具体说明各模块的工作过程，本领域技术人员能够很容易想到，将这些模块应用到所述服务器安全漏洞修复方法的其他实施例中。当然，由于所述服务器安全漏洞修复方法实施例中的各个步骤均可以相互交叉、替换、增加、删减，因此，这些合理的排列组合变换之于所述服务器安全漏洞修复装置也应当属于本发明的保护范围，并且不应将本发明的保护范围局限在所述实施例之上。
以上是本发明公开的示例性实施例，但是应当注意，在不背离权利要求限定的本发明实施例公开的范围的前提下，可以进行多种改变和修改。根据这里描述的公开实施例的方法权利要求的功能、步骤和/或动作不需以任何特定顺序执行。此外，尽管本发明实施例公开的元素可以以个体形式描述或要求，但除非明确限制为单数，也可以理解为多个。
应当理解的是，在本文中使用的，除非上下文清楚地支持例外情况，单数形式“一个”旨在也包括复数形式。还应当理解的是，在本文中使用的“和/或”是指包括一个或者一个以上相关联地列出的项目的任意和所有可能组合。上述本发明实施例公开实施例序号仅仅为了描述，不代表实施例的优劣。
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。
所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明实施例公开的范围(包括权利要求)被限于这些例子；在本发明实施例的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，并存在如上所述的本发明实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。因此，凡在本发明实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。

Claims (6)

1.一种服务器安全漏洞修复方法，其特征在于，包括执行以下步骤：
生成修复过漏洞的安全BIOS代码，并基于所述安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；
在服务器中启动BIOS，通过轮询存储设备来获取所述固件升级补丁，并对所述固件升级补丁执行校验；
响应于校验通过，运行所述固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作；
其中，BIOS的可扩展固件接口所连接的存储器镜像中包括多个固件卷，每个固件卷包括多个固件文件系统；运行所述固件升级补丁包括：将所述固件升级补丁中的一个或多个固件文件系统分别加载到对应的固件卷中，并且对于所述存储器镜像中现有的所述多个固件文件系统不执行任何操作；
基于所述安全BIOS代码和所述现有BIOS代码之差异生成所述固件升级补丁包括：使用安全补丁生成器生成可独立运行以消除所述差异的固件文件系统驱动包。
2.根据权利要求1所述的方法，其特征在于，存储设备包括可移动磁盘和/或本地硬盘的分区。
3.根据权利要求1所述的方法，其特征在于，所述固件升级补丁在被校验之后由安全补丁解包器运行。
4.一种服务器安全漏洞修复装置，其特征在于，包括：
处理器；和
存储器，存储有处理器可运行的程序代码，所述程序代码在被运行时执行以下步骤：
生成修复过漏洞的安全BIOS代码，并基于所述安全BIOS代码和现有BIOS代码之差异生成固件升级补丁；
在服务器中启动BIOS，通过轮询存储设备来获取所述固件升级补丁，并对所述固件升级补丁执行校验；
响应于校验通过，运行所述固件升级补丁以向BIOS的固件卷中添加新的固件文件系统，并且对BIOS中任何现有的固件文件系统不执行任何操作；
其中，BIOS的可扩展固件接口所连接的存储器镜像中包括多个固件卷，每个固件卷包括多个固件文件系统；运行所述固件升级补丁包括：将所述固件升级补丁中的一个或多个固件文件系统分别加载到对应的固件卷中，并且对于所述存储器镜像中现有的所述多个固件文件系统不执行任何操作；
基于所述安全BIOS代码和所述现有BIOS代码之差异生成所述固件升级补丁包括：使用安全补丁生成器生成可独立运行以消除所述差异的固件文件系统驱动包。
5.根据权利要求4所述的装置，其特征在于，存储设备包括可移动磁盘和/或本地硬盘的分区。
6.根据权利要求4所述的装置，其特征在于，所述固件升级补丁在被校验之后由安全补丁解包器运行。
CN201911201645.0A 2019-11-29 2019-11-29 一种服务器安全漏洞修复方法与装置 Active CN111125709B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911201645.0A CN111125709B (zh) 2019-11-29 2019-11-29 一种服务器安全漏洞修复方法与装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911201645.0A CN111125709B (zh) 2019-11-29 2019-11-29 一种服务器安全漏洞修复方法与装置

Publications (2)

Publication Number Publication Date
CN111125709A CN111125709A (zh) 2020-05-08
CN111125709B true CN111125709B (zh) 2022-05-24

Family

ID=70497197

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911201645.0A Active CN111125709B (zh) 2019-11-29 2019-11-29 一种服务器安全漏洞修复方法与装置

Country Status (1)

Country Link
CN (1) CN111125709B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116204216A (zh) * 2021-12-01 2023-06-02 华为技术有限公司 补丁处理方法、装置及计算机设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106598667A (zh) * 2016-12-12 2017-04-26 百度在线网络技术（北京）有限公司 用于修复内核漏洞的方法和装置
CN107437029A (zh) * 2017-08-23 2017-12-05 北京奇虎科技有限公司 漏洞修复方法、漏洞修复装置及服务器
CN109409096A (zh) * 2018-11-15 2019-03-01 百度在线网络技术（北京）有限公司 内核漏洞修复方法、装置、服务器及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106598667A (zh) * 2016-12-12 2017-04-26 百度在线网络技术（北京）有限公司 用于修复内核漏洞的方法和装置
CN107437029A (zh) * 2017-08-23 2017-12-05 北京奇虎科技有限公司 漏洞修复方法、漏洞修复装置及服务器
CN109409096A (zh) * 2018-11-15 2019-03-01 百度在线网络技术（北京）有限公司 内核漏洞修复方法、装置、服务器及系统

Also Published As

Publication number Publication date
CN111125709A (zh) 2020-05-08

Similar Documents

Publication Publication Date Title
US10656936B2 (en) Systems and methods for software integrity validation using blockchain
US9043778B2 (en) Method and system for upgrading software
KR20190111037A (ko) 컨소시엄 블록체인에 의한 스마트 계약 업그레이드 방법 및 시스템
WO2017166446A1 (zh) 漏洞修复方法和装置
CN106575244B (zh) 确保云应用的高可用性的修补过程
US20120210311A1 (en) Updating apparatus, updating method and recording medium
CN108121543B (zh) 一种软件代码编译处理方法及装置
US11886886B2 (en) System and method for runtime synchronization and authentication of pre-boot device drivers for a rescue operating system
US20090132999A1 (en) Secure and fault-tolerant system and method for testing a software patch
CN107145359A (zh) 一种bmc修改bios选项的优化方法
CA3155732A1 (en) Business process configuring method, business request processing method, and devices
CN111414169B (zh) Bmc镜像升级方法及相关组件
CN110780942A (zh) 系统启动方法、装置、节点设备及计算机可读存储介质
CN106126303B (zh) Linux操作系统的安装方法、装置及系统
AU2021204593A1 (en) Methods and apparatuses for installing device application
CN111125709B (zh) 一种服务器安全漏洞修复方法与装置
CN112463165B (zh) 一种程序镜像构建方法、系统、计算设备及可读存储介质
CN107301105B (zh) 校验热补丁或者动态库的方法及装置
CN111142922A (zh) 应用程序更新方法、装置、终端及服务器
CN111984623A (zh) 数据库集群自动化部署方法、装置、介质和电子设备
CN110807195A (zh) 一种智能合约的发布方法、发布平台装置及发布系统
CN113051584B (zh) 一种系统安全启动方法、装置、计算设备及可读存储介质
US10210334B2 (en) Systems and methods for software integrity assurance via validation using build-time integrity windows
CN113553110A (zh) 一种服务器的硬件基线自动化修正方法、装置及系统
CN112732367A (zh) 事件流程的处理方法、装置、设备及可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant