CN112069499A - 一种检测方法、装置、存储介质及电子设备 - Google Patents

一种检测方法、装置、存储介质及电子设备 Download PDF

Info

Publication number
CN112069499A
CN112069499A CN202010964791.5A CN202010964791A CN112069499A CN 112069499 A CN112069499 A CN 112069499A CN 202010964791 A CN202010964791 A CN 202010964791A CN 112069499 A CN112069499 A CN 112069499A
Authority
CN
China
Prior art keywords
storage address
determining
process corresponding
target system
kernel
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010964791.5A
Other languages
English (en)
Inventor
卢胜
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing ThreatBook Technology Co Ltd
Original Assignee
Beijing ThreatBook Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing ThreatBook Technology Co Ltd filed Critical Beijing ThreatBook Technology Co Ltd
Priority to CN202010964791.5A priority Critical patent/CN112069499A/zh
Publication of CN112069499A publication Critical patent/CN112069499A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

本公开提供了一种检测方法、装置、存储介质及电子设备，其中，该检测方法包括：读取目标系统中的所有进程；确定每个所述进程的可执行文件的存储地址；基于所述存储地址确定所有所述进程中是否存在木马。本公开基于目标系统中进程的可执行文件的存储地址来检测进程中是否存在木马，能够有效地检测出目标系统中的无文件木马，解决现有技术中无法检测出无文件木马，导致无法满足用户对网络安全的需求的问题，提高了网络安全性，满足了用户的网络需求。

Description

一种检测方法、装置、存储介质及电子设备
技术领域
本公开涉及网络安全技术领域，具体而言，涉及一种检测方法、装置、存储介质及电子设备。
背景技术
木马是目前比较流行的病毒程序，它能够将自身伪装吸引用户下载至主机的硬盘上，在运行木马时向施种木马者(例如黑客)提供打开被种主机的门户，使施种者可以任意毁坏、窃取被种者(下载木马的用户)的文件，甚至远程操控被种主机，例如给被种主机增加口令，浏览、移动、复制、删除文件，修改注册表，更改被种主机配置等。木马的产生严重危害着现代网络的安全运行。
目前，针对Linux主机上木马的检测方法是扫描硬盘的文件中是否存在用于标识木马的特征码。但随着病毒编写技术的发展，近年来出现的木马其对应的可执行文件并不存放于系统中，也即其仅存在于内存当中，因此，上述检测方法无法检测出仅存在于内存的木马，进而无法满足用户对网络安全的需求。
发明内容
有鉴于此，本公开的目的在于提供一种检测方法、装置、存储介质及电子设备，能够解决现有技术中无法检测出仅存在于内存的木马，导致无法满足用户对网络安全的需求的问题。
第一方面，本公开提供了一种检测方方法，其中，包括：
读取目标系统中的所有进程；
确定每个所述进程的可执行文件的存储地址；
基于所述存储地址确定所有所述进程中是否存在木马。
在一种可能的实施方式中，所述基于所述存储地址确定所有所述进程中是否存在木马，包括：
判断所述存储地址是否为所述目标系统的硬盘；
在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
在一种可能的实施方式中，所述检测方法还包括：
在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；
在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
在一种可能的实施方式中，所述判断所述存储地址对应的所述进程是否为内核进程，包括：
判断所述存储地址对应的所述进程中是否存在内核进程的标识码；
若存在，则确定所述存储地址对应的所述进程为所述内核进程；
若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
第二方面，本公开还提供了一种检测装置，其中，包括：
读取模块，用于读取目标系统中的所有进程；
第一确定模块，用于确定每个所述进程的可执行文件的存储地址；
第二确定模块，用于基于所述存储地址确定所有所述进程中是否存在木马。
在一种可能的实施方式中，所述第二确定模块包括：
判断单元，用于判断所述存储地址是否为所述目标系统的硬盘；
第一确定单元，用于在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
在一种可能的实施方式中，所述第二确定模块还包括：
第二确定单元，用于在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；
在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
在一种可能的实施方式中，所述第二确定单元在判断所述存储地址对应的所述进程是否为内核进程时，具体用于：
判断所述存储地址对应的所述进程中是否存在内核进程的标识码；
若存在，则确定所述存储地址对应的所述进程为所述内核进程；
若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
第三方面，本公开还提供了一种计算机可读存储介质，其中，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如所述的检测方法的步骤。
第四方面，本公开还提供了一种电子设备，其中，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当电子设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行如所述的检测方法的步骤。
本公开基于目标系统中进程的可执行文件的存储地址来检测进程中是否存在木马，能够有效地检测出目标系统中的无文件木马，解决现有技术中无法检测出无文件木马，导致无法满足用户对网络安全的需求的问题，提高了网络安全性，满足了用户的网络需求。
为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。
附图说明
为了更清楚地说明本公开或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1示出了本公开所提供的一种检测方法的流程图；
图2示出了本公开所提供的另一种检测方法的流程图；
图3示出了本公开所提供的另一种检测方法的流程图；
图4示出了本公开所提供的一种检测装置的结构示意图；
图5示出了本公开所提供的电子设备的结构示意图。
具体实施方式
为了使得本公开的目的、技术方案和优点更加清楚，下面将结合本公开的附图，对本公开的技术方案进行清楚、完整地描述。显然，所描述的实施例是本公开的一部分实施例，而不是全部的实施例。基于所描述的本公开的实施例，本领域普通技术人员在无需创造性劳动的前提下所获得的所有其他实施例，都属于本公开保护的范围。
除非另外定义，本公开使用的技术术语或者科学术语应当为本公开所属领域内具有一般技能的人士所理解的通常意义。本公开中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。“上”、“下”、“左”、“右”等仅用于表示相对位置关系，当被描述对象的绝对位置改变后，则该相对位置关系也可能相应地改变。
为了保持本公开的以下说明清楚且简明，本公开省略了已知功能和已知部件的详细说明。
为便于对本公开进行理解，首先对本公开所公开的一种检测方法进行详细介绍。
本公开第一方面提供了一种检测方法，图1示出了该检测方法的流程图，具体步骤如下：
S101，读取目标系统中的所有进程。
这里，进程(Process)是计算机中的程序关于某数据集合上的一次运行活动，程序是指令、数据及其组织形式的描述，进程是程序的实体。考虑到处于运行中的木马才对被种主机进行毁坏、文件窃取；因此，在利用本公开实施例的检测方法检测目标系统中是否存在木马时，需要先读取目标系统中的所有进程，以确保能够有效地检测出目标系统中的木马。
本公开实施例以目标系统为linux系统进行阐述，具体地，符号链接/proc/self/exe表示当前运行中的程序，查找目标系统中符号链接为/proc/self/exe的，则确定为目标系统的进程。其中，在读取目标系统中的所有进程之后，可以实时监控目标系统中的进程的数量，若数量产生了变化，则进行再次读取；若未产生变化，则无需进行再次读取。当然，还可以设置周期性的读取目标系统中的所有进程，本公开实施例对此不做具体限定。
S102，确定每个进程的可执行文件的存储地址。
在读取到目标系统中的所有进程之后，查看每个进程的可执行文件的存储地址。具体地，/proc/pid/exe包含了正在进程中运行的程序连接，因此可以基于/proc/pid/exe获取每个进程的可执行文件的存储地址。
S103，基于存储地址确定所有进程中是否存在木马。
在确定出每个进程的可执行文件的存储地址之后，便可以根据该进程的可执行文件的存储地址来判断该进程是否为木马，也即能够确定所有进程中是否存在木马。
具体地，基于存储地址确定所有进程中是否存在木马的具体步骤可以参照图2，具体包括：
S201，判断存储地址是否为目标系统的硬盘。
通常，可执行文件被存储在硬盘中，在程序运行时其对应的可执行文件被调到内存中，进而实现程序的运行。
在确定出每个进程的可执行文件的存储地址之后，判断存储地址是否为目标系统的硬盘，也即判断进程的可执行文件是否存储在硬盘中。
S202，在存储地址为目标系统的硬盘的情况下，确定存储地址对应的进程不是木马。
考虑到本公开实施例的检测方法是针对无文件木马进行检测，也即可执行文件并不存放于硬盘仅存在于内存当中的木马，因此，在确定存储地址为目标系统的硬盘时，则确定该存储地址对应的进程不是木马。
S203，在存储地址不是目标系统的硬盘的情况下，判断存储地址对应的进程是否为内核进程。
进一步地，考虑到目标系统的内核进程也是直接运行在内存当中的，其并未将可执行文件存储在硬盘中，因此，确定存储地址不是目标系统的硬盘时，进一步判断存储地址对应的进程是否为内核进程，避免将内核进程误判为木马。
S204，在存储地址对应的进程不是内核进程的情况下，确定存储地址对应的进程为木马。
在判断存储地址对应的进程是否为内核进程的结果为存储地址对应的进程不是内核进程的情况下，则确定该存储地址对应的进程为木马。
具体的，图3示出了判断存储地址对应的进程是否为内核进程的方法，其中，具体步骤包括：
S301，判断存储地址对应的进程中是否存在内核进程的标识码。
在每个目标系统中，每类进程的代码段均携带有标识其特征的标识码，例如，“[aio/0]”即标识该进程为内核进程等，当然还可以用其他的标识码或多个不同的标识码来标识内核进程。
进一步地，在判断存储地址对应的进程中是否存在内核进程时，可以查看该进程中是否存在内核进程的标识码。
S302，若存在，则确定存储地址对应的进程为内核进程；
S303，若不存在，则确定存储地址对应的进程不是内核进程。
这里，在确定存储地址对应的进程不是内核进程则确定该进程为木马。
本公开基于目标系统中进程的可执行文件的存储地址来检测进程中是否存在木马，能够有效地检测出目标系统中的无文件木马，解决现有技术中无法检测出无文件木马，导致无法满足用户对网络安全的需求的问题，提高了网络安全性，满足了用户的网络需求。
基于同一发明构思，本公开的第二方面还提供了一种与检测方法对应的检测装置，由于本公开中的装置解决问题的原理与本公开上述检测方法相似，因此装置的实施可以参见方法的实施，重复之处不再赘述。
参见图4所示，检测装置包括：
读取模块401，用于读取目标系统中的所有进程；
第一确定模块402，用于确定每个所述进程的可执行文件的存储地址；
第二确定模块403，用于基于所述存储地址确定所有所述进程中是否存在木马。
在又一实施例中，所述第二确定模块403包括：
判断单元4031，用于判断所述存储地址是否为所述目标系统的硬盘；
第一确定单元4032，用于在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
在又一实施例中，所述第二确定模块403还包括：
第二确定单元4033，用于在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；
在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
在又一实施例中，所述第二确定单元4033在判断所述存储地址对应的所述进程是否为内核进程时，具体用于：
判断所述存储地址对应的所述进程中是否存在内核进程的标识码；
若存在，则确定所述存储地址对应的所述进程为所述内核进程；
若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
本公开基于目标系统中进程的可执行文件的存储地址来检测进程中是否存在木马，能够有效地检测出目标系统中的无文件木马，解决现有技术中无法检测出无文件木马，导致无法满足用户对网络安全的需求的问题，提高了网络安全性，满足了用户的网络需求。
本公开的第三方面还提供了一种存储介质，该存储介质为计算机可读介质，存储有计算机程序，该计算机程序被处理器执行时实现本公开任意实施例提供的方法，包括如下步骤：
S11，读取目标系统中的所有进程；
S12，确定每个所述进程的可执行文件的存储地址；
S13，基于所述存储地址确定所有所述进程中是否存在木马。
计算机程序被处理器执行基于所述存储地址确定所有所述进程中是否存在木马时，具体被处理器执行如下步骤：判断所述存储地址是否为所述目标系统的硬盘；在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
计算机程序被处理器执行基于所述存储地址确定所有所述进程中是否存在木马时，具体被处理器执行如下步骤：在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
计算机程序被处理器执行判断所述存储地址对应的所述进程是否为内核进程时，具体被处理器执行如下步骤：判断所述存储地址对应的所述进程中是否存在内核进程的标识码；若存在，则确定所述存储地址对应的所述进程为所述内核进程；若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
本公开基于目标系统中进程的可执行文件的存储地址来检测进程中是否存在木马，能够有效地检测出目标系统中的无文件木马，解决现有技术中无法检测出无文件木马，导致无法满足用户对网络安全的需求的问题，提高了网络安全性，满足了用户的网络需求。
本公开的第四方面还提供了一种电子设备，如图5所示，该电子设备至少包括存储器501和处理器502，存储器501上存储有计算机程序，处理器502在执行存储器501上的计算机程序时实现本公开任意实施例提供的方法。示例性的，电子设备计算机程序执行的方法如下：
S21，读取目标系统中的所有进程；
S22，确定每个所述进程的可执行文件的存储地址；
S23，基于所述存储地址确定所有所述进程中是否存在木马。
处理器在执行存储器上存储的基于所述存储地址确定所有所述进程中是否存在木马时，还执行如下计算机程序：判断所述存储地址是否为所述目标系统的硬盘；在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
处理器在执行存储器上存储的基于所述存储地址确定所有所述进程中是否存在木马时，还执行如下计算机程序：在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
处理器在执行存储器上存储的判断所述存储地址对应的所述进程是否为内核进程时，还执行如下计算机程序：判断所述存储地址对应的所述进程中是否存在内核进程的标识码；若存在，则确定所述存储地址对应的所述进程为所述内核进程；若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
本公开基于目标系统中进程的可执行文件的存储地址来检测进程中是否存在木马，能够有效地检测出目标系统中的无文件木马，解决现有技术中无法检测出无文件木马，导致无法满足用户对网络安全的需求的问题，提高了网络安全性，满足了用户的网络需求。
在一些实施方式中，客户端、服务器可以利用诸如HTTP(HyperText TransferProtocol，超文本传输协议)之类的任何当前已知或未来研发的网络协议进行通信，并且可以与任意形式或介质的数字数据通信(例如，通信网络)互连。通信网络的示例包括局域网(LAN)、广域网(WAN)、网际网(例如，互联网)以及端对端网络(例如，ad hoc端对端网络)，以及任何当前已知或未来研发的网络。
上述存储介质可以是上述电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。
上述存储介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：获取至少两个网际协议地址；向节点评价设备发送包括至少两个网际协议地址的节点评价请求，其中，节点评价设备从至少两个网际协议地址中，选取网际协议地址并返回；接收节点评价设备返回的网际协议地址；其中，所获取的网际协议地址指示内容分发网络中的边缘节点。
或者，上述存储介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：接收包括至少两个网际协议地址的节点评价请求；从至少两个网际协议地址中，选取网际协议地址；返回选取出的网际协议地址；其中，接收到的网际协议地址指示内容分发网络中的边缘节点。
可以以一种或多种程序设计语言或其组合来编写用于执行本公开的操作的计算机程序代码，上述程序设计语言包括但不限于面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
需要说明的是，本公开上述的存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何存储介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(射频)等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本公开中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。其中，单元的名称在某种情况下并不构成对该单元本身的限定。
本文中以上描述的功能可以至少部分地由一个或多个硬件逻辑部件来执行。例如，非限制性地，可以使用的示范类型的硬件逻辑部件包括：现场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、片上系统(SOC)、复杂可编程逻辑设备(CPLD)等等。
在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本邻域技术人员应当理解，本公开中所涉及的公开范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述公开构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。
此外，虽然采用特定次序描绘了各操作，但是这不应当理解为要求这些操作以所示出的特定次序或以顺序次序执行来执行。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本公开的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实施例中。相反地，在单个实施例的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实施例中。
尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。
以上对本公开多个实施例进行了详细说明，但本公开不限于这些具体的实施例，本邻域技术人员在本公开构思的基础上，能够做出多种变型和修改实施例，这些变型和修改都应落入本公开所要求保护的范围之内。

Claims (10)

1.一种检测方法，其特征在于，包括：
读取目标系统中的所有进程；
确定每个所述进程的可执行文件的存储地址；
基于所述存储地址确定所有所述进程中是否存在木马。
2.根据权利要求1的检测方法，其特征在于，所述基于所述存储地址确定所有所述进程中是否存在木马，包括：
判断所述存储地址是否为所述目标系统的硬盘；
在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
3.根据权利要求2的检测方法，其特征在于，还包括：
在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；
在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
4.根据权利要求3的检测方法，其特征在于，所述判断所述存储地址对应的所述进程是否为内核进程，包括：
判断所述存储地址对应的所述进程中是否存在内核进程的标识码；
若存在，则确定所述存储地址对应的所述进程为所述内核进程；
若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
5.一种检测装置，其特征在于，包括：
读取模块，用于读取目标系统中的所有进程；
第一确定模块，用于确定每个所述进程的可执行文件的存储地址；
第二确定模块，用于基于所述存储地址确定所有所述进程中是否存在木马。
6.根据权利要求5的检测装置，其特征在于，所述第二确定模块包括：
判断单元，用于判断所述存储地址是否为所述目标系统的硬盘；
第一确定单元，用于在所述存储地址为所述目标系统的硬盘的情况下，确定所述存储地址对应的所述进程不是木马。
7.根据权利要求6的检测装置，其特征在于，所述第二确定模块还包括：
第二确定单元，用于在所述存储地址不是所述目标系统的硬盘的情况下，判断所述存储地址对应的所述进程是否为内核进程；
在所述存储地址对应的所述进程不是所述内核进程的情况下，确定所述存储地址对应的所述进程为木马。
8.根据权利要求7的检测装置，其特征在于，所述第二确定单元在判断所述存储地址对应的所述进程是否为内核进程时，具体用于：
判断所述存储地址对应的所述进程中是否存在内核进程的标识码；
若存在，则确定所述存储地址对应的所述进程为所述内核进程；
若不存在，则确定所述存储地址对应的所述进程不是所述内核进程。
9.一种计算机可读存储介质，其特征在于，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如权利要求1至4任意一项所述的检测方法的步骤。
10.一种电子设备，其特征在于，包括：处理器、存储器和总线，所述存储器存储有所述处理器可执行的机器可读指令，当电子设备运行时，所述处理器与所述存储器之间通过总线通信，所述机器可读指令被所述处理器执行时执行如权利要求1至4任意一项所述的检测方法的步骤。
CN202010964791.5A 2020-09-15 2020-09-15 一种检测方法、装置、存储介质及电子设备 Pending CN112069499A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010964791.5A CN112069499A (zh) 2020-09-15 2020-09-15 一种检测方法、装置、存储介质及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010964791.5A CN112069499A (zh) 2020-09-15 2020-09-15 一种检测方法、装置、存储介质及电子设备

Publications (1)

Publication Number Publication Date
CN112069499A true CN112069499A (zh) 2020-12-11

Family

ID=73696433

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010964791.5A Pending CN112069499A (zh) 2020-09-15 2020-09-15 一种检测方法、装置、存储介质及电子设备

Country Status (1)

Country Link
CN (1) CN112069499A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115688106A (zh) * 2022-11-16 2023-02-03 安芯网盾(北京)科技有限公司 一种Java agent无文件注入内存马的检测方法及装置
CN116595527A (zh) * 2023-07-18 2023-08-15 中孚安全技术有限公司 一种内存木马的检测方法、系统、装置及可读存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102855274A (zh) * 2012-07-17 2013-01-02 北京奇虎科技有限公司 一种可疑进程检测的方法和装置
CN103020516A (zh) * 2013-01-17 2013-04-03 珠海市君天电子科技有限公司 一种防御网购木马的方法及其装置
CN106407805A (zh) * 2015-07-30 2017-02-15 腾讯科技（深圳）有限公司 基于Linux系统的木马检测方法及装置
US20170237749A1 (en) * 2016-02-15 2017-08-17 Michael C. Wood System and Method for Blocking Persistent Malware
CN109033828A (zh) * 2018-07-25 2018-12-18 山东省计算中心（国家超级计算济南中心） 一种基于计算机内存分析技术的木马检测方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102855274A (zh) * 2012-07-17 2013-01-02 北京奇虎科技有限公司 一种可疑进程检测的方法和装置
CN103020516A (zh) * 2013-01-17 2013-04-03 珠海市君天电子科技有限公司 一种防御网购木马的方法及其装置
CN106407805A (zh) * 2015-07-30 2017-02-15 腾讯科技（深圳）有限公司 基于Linux系统的木马检测方法及装置
US20170237749A1 (en) * 2016-02-15 2017-08-17 Michael C. Wood System and Method for Blocking Persistent Malware
CN109033828A (zh) * 2018-07-25 2018-12-18 山东省计算中心（国家超级计算济南中心） 一种基于计算机内存分析技术的木马检测方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115688106A (zh) * 2022-11-16 2023-02-03 安芯网盾(北京)科技有限公司 一种Java agent无文件注入内存马的检测方法及装置
CN116595527A (zh) * 2023-07-18 2023-08-15 中孚安全技术有限公司 一种内存木马的检测方法、系统、装置及可读存储介质
CN116595527B (zh) * 2023-07-18 2023-10-20 中孚安全技术有限公司 一种内存木马的检测方法、系统、装置及可读存储介质

Similar Documents

Publication Publication Date Title
US9619649B1 (en) Systems and methods for detecting potentially malicious applications
CN111356985B (zh) 用于阻止恶意应用程序利用应用程序服务的系统和方法
US9330258B1 (en) Systems and methods for identifying uniform resource locators that link to potentially malicious resources
US9407664B1 (en) Systems and methods for enforcing enterprise data access control policies in cloud computing environments
US8627469B1 (en) Systems and methods for using acquisitional contexts to prevent false-positive malware classifications
US8776196B1 (en) Systems and methods for automatically detecting and preventing phishing attacks
US9509697B1 (en) Systems and methods for authorizing attempts to access shared libraries
US8595829B1 (en) Systems and methods for automatically blacklisting an internet domain based on the activities of an application
CN104798080B (zh) 反恶意软件签名的动态选择和加载
EP2893481B1 (en) Systems and methods for detecting illegitimate applications
CN109997138B (zh) 用于检测计算设备上的恶意进程的系统和方法
CN104517054A (zh) 一种检测恶意apk的方法、装置、客户端和服务器
US8321940B1 (en) Systems and methods for detecting data-stealing malware
US11463463B1 (en) Systems and methods for identifying security risks posed by application bundles
US10075456B1 (en) Systems and methods for detecting exploit-kit landing pages
CN111163095A (zh) 网络攻击分析方法、网络攻击分析装置、计算设备和介质
CN112069499A (zh) 一种检测方法、装置、存储介质及电子设备
US10678917B1 (en) Systems and methods for evaluating unfamiliar executables
CN111177727A (zh) 漏洞检测方法及装置
CN115378735A (zh) 一种数据处理方法、装置、存储介质及电子设备
US9483643B1 (en) Systems and methods for creating behavioral signatures used to detect malware
US9552481B1 (en) Systems and methods for monitoring programs
US9219707B1 (en) Systems and methods for sharing the results of malware scans within networks
US9646157B1 (en) Systems and methods for identifying repackaged files
CN116210017A (zh) 用于防止网站上的误导性点击的系统和方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20201211