CN112464303B - 一种过滤驱动实现方法、系统、设备以及介质 - Google Patents

一种过滤驱动实现方法、系统、设备以及介质 Download PDF

Info

Publication number
CN112464303B
CN112464303B CN202011367085.9A CN202011367085A CN112464303B CN 112464303 B CN112464303 B CN 112464303B CN 202011367085 A CN202011367085 A CN 202011367085A CN 112464303 B CN112464303 B CN 112464303B
Authority
CN
China
Prior art keywords
filter driver
kernel
security
memory address
filter
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011367085.9A
Other languages
English (en)
Other versions
CN112464303A (zh
Inventor
盛宏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suzhou Inspur Intelligent Technology Co Ltd
Original Assignee
Suzhou Inspur Intelligent Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Suzhou Inspur Intelligent Technology Co Ltd filed Critical Suzhou Inspur Intelligent Technology Co Ltd
Priority to CN202011367085.9A priority Critical patent/CN112464303B/zh
Publication of CN112464303A publication Critical patent/CN112464303A/zh
Application granted granted Critical
Publication of CN112464303B publication Critical patent/CN112464303B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/82—Protecting input, output or interconnection devices
    • G06F21/85—Protecting input, output or interconnection devices interconnection devices, e.g. bus-connected or in-line devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/54—Interprogram communication
    • G06F9/544—Buffers; Shared memory; Pipes

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种过滤驱动实现方法，包括以下步骤：响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址；将CR0寄存器的写保护位置位；将所述第一控制变量在所述内存地址中的数据更新为所述过滤驱动预设变量的数据，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。本发明还公开了一种系统、计算机设备以及可读存储介质。本发明提出的方案能够实现过滤驱动灵活的加载卸载，方便安装使用，还可以实现用户在WEB端与用户层应用程序通信，向过滤驱动发送安全规则，控制目标系统的文件读写，进程启动以及网络访问。

Description

一种过滤驱动实现方法、系统、设备以及介质
技术领域
本发明涉及过滤驱动领域，具体涉及一种过滤驱动实现方法、系统、设备以及存储介质。
背景技术
安全控制是安全操作系统的核心功能，能控制用户打开安装程序，控制用户访问互联网及用户文件读写权限的驱动是安全控制的核心。在Windows系统中，由于微软提供了各种Filter接口，使得过滤驱动编写变的容易，特别是在WFP、MiniFilter加入过滤驱动的大家庭后，更是使得网络及文件过滤驱动变得简单易行。但是在Linux中，由于其开源特性，并没有专门的热插拔过滤驱动接口供人调用。Linux只提供了LSM劫持点供人使用，相应的驱动有SELinux。但是需要用户层配置并且需要修改各种复杂配置才能启动SELinux，如果需要修改定制化的功能则需要修改SELinux源码，重新编译内核，没有很好的即插即用性。
发明内容
有鉴于此，为了克服上述问题的至少一个方面，本发明实施例提出一种过滤驱动实现方法，包括以下步骤：
响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址；
将CR0寄存器的写保护位置位；
将所述第一控制变量在所述内存地址中的数据更新为所述过滤驱动预设变量的数据，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。
在一些实施例中，还包括：
将所述CR0寄存器的写保护位复位。
在一些实施例中，还包括：
响应于接收到卸载所述过滤驱动的命令，将CR0寄存器的写保护位置位；
将所述第一控制变量在所述内存地址中的数据由所述过滤驱动预设变量对应的数据更新为原始数据；
将所述CR0寄存器的写保护位复位。
在一些实施例中，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址，进一步包括：
将所述过滤驱动的信息写入所述内核的配置文件；
响应于所述内核启动读取所述配置文件中的所述过滤驱动的信息，查询所述内核中的第一控制变量对应的内存地址。
在一些实施例中，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址，进一步包括：
响应于系统接收到预设的加载命令，调用所述过滤驱动对应的文件以查询所述内核中的第一控制变量对应的内存地址。
在一些实施例中，利用所述过滤驱动与应用层通信，进一步包括：
利用所述过滤驱动的netlink线程实现与所述应用层的通信。
在一些实施例中，还包括：
利用加密组件对所述过滤驱动与所述应用层之间的通信进行加密。
基于同一发明构思，根据本发明的另一个方面，本发明的实施例还提供了一种过滤驱动实现系统，包括：
查询模块，所述查询模块配置为响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址；
寄存器模块，所述寄存器模块配置为将CR0寄存器的写保护位置位；
更新模块，所述更新模块配置为将所述第一控制变量在所述内存地址中的数据更新为所述过滤驱动预设变量的数据，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。
基于同一发明构思，根据本发明的另一个方面，本发明的实施例还提供了一种计算机设备，包括：
至少一个处理器；以及
存储器，所述存储器存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时执行如上所述的任一种过滤驱动实现方法的步骤。
基于同一发明构思，根据本发明的另一个方面，本发明的实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时执行如上所述的任一种过滤驱动实现方法的步骤。
本发明具有以下有益技术效果之一：本发明提出的方案能够实现过滤驱动灵活的加载卸载，方便安装使用，还可以实现用户在WEB端与用户层应用程序通信，向过滤驱动发送安全规则，控制目标系统的文件读写，进程启动以及网络访问。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的实施例。
图1为本发明的实施例提供的过滤驱动实现方法的流程示意图；
图2为本发明的实施例提供的过滤驱动实现系统的结构示意图；
图3为本发明的实施例提供的计算机设备的结构示意图；
图4为本发明的实施例提供的计算机可读存储介质的结构示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明实施例进一步详细说明。
需要说明的是，本发明实施例中所有使用“第一”和“第二”的表述均是为了区分两个相同名称非相同的实体或者非相同的参量，可见“第一”“第二”仅为了表述的方便，不应理解为对本发明实施例的限定，后续实施例对此不再一一说明。
在本发明的实施例中，LSM为Linux内核的一个轻量级通用访问控制框架。它使得各种不同的安全访问控制模型能够以Linux可加载内核模块的形式实现出来，用户可以根据其需求选择适合的安全模块加载到Linux内核中，从而大大提高了Linux安全访问控制机制的灵活性和易用性。CR0：控制寄存器(CR0～CR3)用于控制和确定处理器的操作模式以及当前执行任务的特性。CR0中含有控制处理器操作模式和状态的系统控制标志；CR1保留不用；CR2含有导致页错误的线性地址；CR3中含有页目录表物理内存基地址，因此该寄存器也被称为页目录基地址寄存器PDBR。Netlink套接字是用以实现用户进程与内核进程通信的一种特殊的进程间通信(IPC)，也是网络应用程序与内核通信的最常用的接口。
根据本发明的一个方面，本发明的实施例提出一种过滤驱动实现方法，如图1所示，其可以包括步骤：
S1，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址；
S2，将CR0寄存器的写保护位置位；
S3，将所述第一控制变量在所述内存地址中的数据更新为所述过滤驱动预设变量的数据，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。
本发明提出的方案能够实现过滤驱动灵活的加载卸载，方便安装使用，还可以实现用户在WEB端与用户层应用程序通信，向过滤驱动发送安全规则，控制目标系统的文件读写，进程启动以及网络访问。
在一些实施例中，还包括：
将所述CR0寄存器的写保护位复位。
具体的，在加载过滤驱动之时，可以通过函数module_init使用kallsyms接口寻找内核中LSM的第一控制变量(security_ops)在内存中的地址。由于该变量属于静态变量，所以无法直接修改该参数的值。因此在寻找到该控制变量时，修改CPU的特殊寄存器CR0(针对X86_64指令集)，将CR0寄存器的写保护置位，即关闭写保护。例如可以通过命令(write_cr0(read_cr0()&(～0x10000)))将CR0寄存器的写保护位置0。然后将security_ops所指向的原始对象指针(struct security_operations)改为驱动自定义的指针，即将所述第一控制变量在所述内存地址中的数据更新为所述过滤驱动预设变量的数据，完成修改后恢复CR0状态，即开启即关闭写保护，例如可以通过命令(write_cr0(read_cr0()|0x10000))将CR0寄存器的写保护位置1。这样完成内核LSM架构的security_ops劫持之后，内核的文件读写及进程开启关闭都将通过过滤驱动自定义的函数做审计。
在一些实施例中，还包括：
响应于接收到卸载所述过滤驱动的命令，将CR0寄存器的写保护位置位；
将所述第一控制变量在所述内存地址中的数据由所述过滤驱动预设变量对应的数据更新为原始数据；
将所述CR0寄存器的写保护位复位。
具体的，当需要卸载过滤驱动，只需要重复加载过滤驱动时的步骤。并且由于在加载过滤驱动时已经查询到第一控制变量(security_ops)在内存中的地址，因此卸载时不需要再次查询，也即卸载过滤驱动时，只需要进行将CR0寄存器的写保护位置位，然后将所述第一控制变量在所述内存地址中的数据由所述过滤驱动预设变量对应的数据更新为原始数据，最后将所述CR0寄存器的写保护位复位。
在一些实施例中，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址，进一步包括：
将所述过滤驱动的信息写入所述内核的配置文件；
响应于所述内核启动读取所述配置文件中的所述过滤驱动的信息，查询所述内核中的第一控制变量对应的内存地址。
在一些实施例中，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址，进一步包括：
响应于系统接收到预设的加载命令，调用所述过滤驱动对应的文件以查询所述内核中的第一控制变量对应的内存地址。
具体的，可以通过两种途径加载过滤驱动，一种是通过将过滤驱动的相关信息写入内核的配置文件中，这样内核启动时即可命令过滤驱动的进行加载，然后过滤驱动开始执行加载，即通过函数module_init修改CR0寄存器，使静态区可写，然后修改LSM的第一控制变量，使其更新为过滤驱动自定义的指针，同时记录原指针，以便卸载过滤驱动时进行恢复，最后恢复CR0寄存器。
在一些实施例中，利用所述过滤驱动与应用层通信，进一步包括：
利用所述过滤驱动的netlink线程实现与所述应用层的通信。
在一些实施例中，还包括：
利用加密组件对所述过滤驱动与所述应用层之间的通信进行加密。
具体的，过滤驱动可以包括函数module_init、netlink线程、规则管理器以及加密组件。其中，函数module_init用于加载和卸载过滤驱动、netlink线程用于开启netlink套接字以接收分发应用层操作指令和发送驱动过滤日志；规则管理器可以将控制规则加入RCU链表中，判读是否拦截相对应的操作；加密组件可以解密Netlink接收到的数据，并加密输入到netlink的操作日志。这样用户即可使用用户层的应用程序通过NETLINK与过滤驱动通信，加密传输控制规则，从而达到远程控制用户行为的效果，即使用用户层的应用设置访问权限，就能控制用户对该系统的文件读写，应用程序使用，脚本使用以及网络访问的各方面权限。
本发明提出的方案可以通过修改CR0寄存器只读标识，从而修改LSM模块的控制函数指针，从到达到重定向数据过滤函数的目的，进而实现驱动动态的热插拔。
基于同一发明构思，根据本发明的另一个方面，本发明的实施例还提供了一种过滤驱动实现系统400，如图2所示，包括：
查询模块401，所述查询模块401配置为响应于获取到加载过滤驱动到内核的命令，查询所述内核中的第一控制变量对应的内存地址；
寄存器模块402，所述寄存器模块402配置为将CR0寄存器的写保护位置位；
更新模块403，所述更新模块403配置为将所述第一控制变量在所述内存地址中的数据更新为所述过滤驱动预设变量的数据，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。
基于同一发明构思，根据本发明的另一个方面，如图3所示，本发明的实施例还提供了一种计算机设备501，包括：
至少一个处理器520；以及
存储器510，存储器510存储有可在处理器上运行的计算机程序511，处理器520执行程序时执行如上的任一种过滤驱动实现方法的步骤。
基于同一发明构思，根据本发明的另一个方面，如图4所示，本发明的实施例还提供了一种计算机可读存储介质601，计算机可读存储介质601存储有计算机程序指令610，计算机程序指令610被处理器执行时执行如上的任一种过滤驱动实现方法的步骤。
最后需要说明的是，本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关硬件来完成，的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。
此外，应该明白的是，本文的计算机可读存储介质(例如，存储器)可以是易失性存储器或非易失性存储器，或者可以包括易失性存储器和非易失性存储器两者。
本领域技术人员还将明白的是，结合这里的公开所描述的各种示例性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。为了清楚地说明硬件和软件的这种可互换性，已经就各种示意性组件、方块、模块、电路和步骤的功能对其进行了一般性的描述。这种功能是被实现为软件还是被实现为硬件取决于具体应用以及施加给整个系统的设计约束。本领域技术人员可以针对每种具体应用以各种方式来实现的功能，但是这种实现决定不应被解释为导致脱离本发明实施例公开的范围。
以上是本发明公开的示例性实施例，但是应当注意，在不背离权利要求限定的本发明实施例公开的范围的前提下，可以进行多种改变和修改。根据这里描述的公开实施例的方法权利要求的功能、步骤和/或动作不需以任何特定顺序执行。此外，尽管本发明实施例公开的元素可以以个体形式描述或要求，但除非明确限制为单数，也可以理解为多个。
应当理解的是，在本文中使用的，除非上下文清楚地支持例外情况，单数形式“一个”旨在也包括复数形式。还应当理解的是，在本文中使用的“和/或”是指包括一个或者一个以上相关联地列出的项目的任意和所有可能组合。
上述本发明实施例公开实施例序号仅仅为了描述，不代表实施例的优劣。
本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。
所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明实施例公开的范围(包括权利要求)被限于这些例子；在本发明实施例的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，并存在如上的本发明实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。因此，凡在本发明实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。

Claims (10)

1.一种过滤驱动实现方法，其特征在于，包括以下步骤：
响应于获取到加载过滤驱动到内核的命令，查询所述内核中的security_ops对应的内存地址；
将CR0寄存器的写保护位置位；
将所述security_ops所指向的原始对象指针struct security_operations更新为所述过滤驱动自定义的指针，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。
2.如权利要求1所述的方法，其特征在于，还包括：
将所述CR0寄存器的写保护位复位。
3.如权利要求2所述的方法，其特征在于，还包括：
响应于接收到卸载所述过滤驱动的命令，将CR0寄存器的写保护位置位；
将所述security_ops在所述内存地址中的数据由所述过滤驱动自定义的指针更新为原始对象指针struct security_operations；
将所述CR0寄存器的写保护位复位。
4.如权利要求1所述的方法，其特征在于，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的security_ops对应的内存地址，进一步包括：
将所述过滤驱动的信息写入所述内核的配置文件；
响应于所述内核启动读取所述配置文件中的所述过滤驱动的信息，查询所述内核中的security_ops对应的内存地址。
5.如权利要求1所述的方法，其特征在于，响应于获取到加载过滤驱动到内核的命令，查询所述内核中的security_ops对应的内存地址，进一步包括：
响应于系统接收到预设的加载命令，调用所述过滤驱动对应的文件以查询所述内核中的security_ops对应的内存地址。
6.如权利要求1所述的方法，其特征在于，利用所述过滤驱动与应用层通信，进一步包括：
利用所述过滤驱动的netlink线程实现与所述应用层的通信。
7.如权利要求6所述的方法，其特征在于，还包括：
利用加密组件对所述过滤驱动与所述应用层之间的通信进行加密。
8.一种过滤驱动实现系统，其特征在于，包括：
查询模块，所述查询模块配置为响应于获取到加载过滤驱动到内核的命令，查询所述内核中的security_opssecurity_ops对应的内存地址；
寄存器模块，所述寄存器模块配置为将CR0寄存器的写保护位置位；
更新模块，所述更新模块配置为将所述security_ops所指向的原始对象指针structsecurity_operations更新为所述过滤驱动自定义的指针，以将所述过滤驱动加载到所述内核，进而利用所述过滤驱动与应用层通信。
9.一种计算机设备，包括：
至少一个处理器；以及
存储器，所述存储器存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时执行如权利要求1-7任意一项所述的方法的步骤。
10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时执行如权利要求1-7任意一项所述的方法的步骤。
CN202011367085.9A 2020-11-27 2020-11-27 一种过滤驱动实现方法、系统、设备以及介质 Active CN112464303B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011367085.9A CN112464303B (zh) 2020-11-27 2020-11-27 一种过滤驱动实现方法、系统、设备以及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011367085.9A CN112464303B (zh) 2020-11-27 2020-11-27 一种过滤驱动实现方法、系统、设备以及介质

Publications (2)

Publication Number Publication Date
CN112464303A CN112464303A (zh) 2021-03-09
CN112464303B true CN112464303B (zh) 2022-07-12

Family

ID=74809582

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011367085.9A Active CN112464303B (zh) 2020-11-27 2020-11-27 一种过滤驱动实现方法、系统、设备以及介质

Country Status (1)

Country Link
CN (1) CN112464303B (zh)

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104102857B (zh) * 2014-07-17 2017-02-15 浪潮电子信息产业股份有限公司 一种windows系统下的可执行文件全生命周期安全管理系统
CN104834835B (zh) * 2015-05-13 2017-09-22 武汉大学 一种Windows平台下的通用数字版权保护方法
CN109614147B (zh) * 2018-12-03 2022-02-22 郑州云海信息技术有限公司 一种phy寄存器读写方法和装置

Also Published As

Publication number Publication date
CN112464303A (zh) 2021-03-09

Similar Documents

Publication Publication Date Title
US7308570B2 (en) System and method for booting embedded systems using removable storage
JP2708349B2 (ja) セキュリティ機構を備えたコンピュータ・システム及び該機構の管理方法
US20070220226A1 (en) User terminal and method of managing a secondary storage unit in a user terminal
JP4527348B2 (ja) インタフェース装置、インタフェース装置におけるファームウェアの更新方法、及びそのプログラム
JP2006236193A (ja) 起動プログラム実行方法、デバイス、記憶媒体及びプログラム
EP3572933B1 (en) Updating firmware via a remote device
JP2020535504A (ja) システムバージョンをアップグレードする方法及び装置
US11941127B2 (en) Firmware password management
TW202137002A (zh) 資料儲存裝置及維持資料儲存裝置正常開機運作的方法
US11436367B2 (en) Pre-operating system environment-based sanitization of storage devices
US7958344B2 (en) Method for adjusting set-up default value of bios and mainboard using the same method
CN112464303B (zh) 一种过滤驱动实现方法、系统、设备以及介质
US7958345B2 (en) Method for adjusting setup default value of BIOS and main board thereof
US11354259B1 (en) Computer system configurations based on accessing data elements presented by baseboard management controllers
JPH07191835A (ja) コンピュータシステム
US10761892B2 (en) Method and electronic device for executing data reading/writing in volume migration
US20040107424A1 (en) Initialization process in a device driver
US7191322B2 (en) Method and apparatus for tuning multiple instances of kernel modules
JP2010026837A (ja) 仮想計算機装置、仮想計算機システム、仮想計算機プログラム、および、制御方法
JP2006190180A (ja) 情報装置及び起動管理プログラム
US20070220245A1 (en) Method and system for updating boot block BIOS program
CN105844151B (zh) 一种文件存储保护实现方法和系统
US20100169565A1 (en) Storage device, access control device and electronic apparatus
JP4641528B2 (ja) データ書き込みプログラム及びデータ書き込み方法
CN110018785B (zh) 卷间数据迁移中执行数据读写的方法及电子装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant