CN113722002A - 用于获取命令行参数的方法和系统、电子设备和存储介质 - Google Patents

Abstract

本公开提供了一种用于获取命令行参数的方法，包括：获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知；在接收到程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数；从用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息；以及基于所述第一地址信息，获取程序的命令行参数。本公开还提供了一种用于获取命令行参数的装置、一种电子设备、一种计算机可读存储介质和一种计算机程序产品。

Description

用于获取命令行参数的方法和系统、电子设备和存储介质

技术领域

本公开涉及计算机技术领域，更具体地，涉及一种用于获取命令行参数的方法、一种用于获取命令行参数的系统、一种电子设备、一种计算机可读存储介质和一种计算机程序产品。

背景技术

在操作系统中，例如Linux系统中，命令行程序几乎无处不在，在很多业务场景中，尤其是安全软件中，需要获取程序的完整命令行参数，然后对命令行参数进行解析，以便分析对应程序的行为是否是一个恶意行为。

在实现本公开构思的过程中，发明人发现相关技术中至少存在如下问题：

现有技术中，可以采用HOOK exec的方法，在程序启动时获取完整的命令行参数，但是实现方案比较复杂，需要HOOK Exec系统调用，该系统调用参数非常复杂，HOOK时要考虑非常多的因素。另一方式中，可以采用Preload注入的方法，在程序启动时将预先编译好的动态库注入到对应的程序中，在程序启动时获取完整的命令行参数，但是，这种方式对程序不友好，且注入时需要其他程序是完全静态链接的，否则该方案无法正常工作。另一方式中，可以应用重定向的方法，在程序启动时通过重定向执行预先编译好的其他程序，获取完整的命令行参数，但是，这种方式对程序同样不友好，且程序启动时被重定向后，会导致程序启动慢、运行上下文件改变等其他不良影响。

因此，现有技术中获取命令行参数的方法存在方案复杂、不稳定、对程序不友好容易造成干扰等问题。

发明内容

有鉴于此，本公开提供了一种用于获取命令行参数的方法、一种用于获取命令行参数的系统、一种电子设备、一种计算机可读存储介质和一种计算机程序产品。

本公开的一个方面提供了一种用于获取命令行参数的方法，包括：获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知；在接收到所述程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数；从所述用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息；以及基于所述第一地址信息，获取程序的命令行参数。

根据本公开的实施例，所述预先向内核注册程序启动通知包括：调用程序启动通知接口将目标结构体插入程序启动通知链表中，其中，将所述目标结构体中的目标函数指针指向所述预先定义的回调函数，将所述回调函数的参数设置为用于存放程序信息的结构体参数；所述获取程序启动的通知包括：获取内核调用所述回调函数的通知，并将所述调用所述回调函数的通知作为所述程序启动的通知，其中，内核在截获程序启动操作后，调用结构体的目标函数指针并基于所述函数指针调用所述回调函数。

根据本公开的实施例，所述获取关于程序命令行参数的第一地址信息包括：获取指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数信息；基于所述地址信息，获取程序的命令行参数包括：基于所述指向程序命令行参数的用户态栈顶指针和所述程序命令行参数的个数信息，获取程序的命令行参数。

根据本公开的实施例，所述用于获取命令行参数的方法还包括：获得进程的标识信息；基于所述进程的标识信息，获取进程的内核结构；从所述进程的内核结构中获取关于进程命令行参数的第二地址信息；以及基于所述第二地址信息，获取进程的命令行参数。

根据本公开的实施例，所述获取关于进程命令行参数的第二地址信息包括：获取进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址；所述基于所述第二地址信息，获取进程的命令行参数包括：基于所述进程命令行参数在用户态的起始地址和所述进程命令行参数在用户态的结束地址，获取进程的命令行参数。

根据本公开的实施例，所述基于所述进程命令行参数在用户态的起始地址和所述进程命令行参数在用户态的结束地址，获取进程的命令行参数包括：调用用于访问用户态地址空间的内核函数，获取所述用户态地址空间中的位于所述起始地址与所述结束地址之间的命令行参数。

本公开的另一个方面提供了一种用于获取命令行参数的系统，包括内核模块，所述内核模块包括：启动通知子模块，用于获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知；调用子模块，用于在接收到所述程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数；第一地址子模块，用于从所述用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息；以及第一获取子模块，用于基于所述第一地址信息，获取程序的命令行参数。

根据本公开的实施例，所述内核模块还包括：标识信息子模块，用于获得进程的标识信息；结构信息子模块，用于基于所述进程的标识信息，获取进程的内核结构；第二地址子模块，用于从所述进程的内核结构中获取关于进程命令行参数的第二地址信息；以及第二获取子模块，用于基于所述第二地址信息，获取进程的命令行参数。

本公开的另一个方面提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上所述的方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序产品，所述计算机程序产品包括计算机可读指令，所述计算机可读指令被执行时用于执行时用于实现如上所述的方法。

根据本公开的实施例，通过预先调用Linux内核预先提供的register_binfmt接口注册程序启动通知，在之后程序启动时可以获取到程序启动的通知，进而可以获取程序命令行参数的地址信息，进而可以获取到当前启动程序的完整命令行参数。上述方案中所使用的接口、函数均是Linux操作内核对外导出的，可以供第三方内核模块使用，不存在任何HOOK或者重定向等干扰程序运行的行为，对操作系统及用户态应用都非常友好，并且方案简单且稳定性好，可以不受用户态任何其他程序及因素的影响，准确地获取程序的命令行参数。因此，至少部分地克服了现有技术中存在的方案复杂、不稳定、对程序不友好容易造成干扰等问题，进而达到了方案简单、稳定、对程序友好的技术效果。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的可以应用用于获取命令行参数的方法的示例性应用场景；

图2示意性示出了根据本公开实施例的用于获取命令行参数的方法的流程图；

图3示意性示出了根据本公开实施例的程序命令行参数的用户态栈结构在内存中的布局示意图；

图4示意性示出了根据本公开另一实施例的用于获取命令行参数的方法的流程图；

图5示意性示出了根据本公开实施例的进程命令行用户态参数的内存布局示意图；

图6示意性示出了根据本公开的实施例的用于获取命令行参数的系统的框图；

图7示意性示出了根据本公开的另一实施例的内核模块的框图；以及

图8示意性示出了根据本公开实施例的适于实现用于获取命令行参数的方法的电子设备的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

本公开的实施例提供了一种用于获取命令行参数的方法，该方法包括：获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知。在接收到程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数；从用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息；以及基于第一地址信息，获取程序的命令行参数。

图1示意性示出了根据本公开实施例的可以应用用于获取命令行参数的方法的示例性应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的应用场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，可以在需要获取完整命令行参数的Linux系统中加入对应的内核模块，本公开实施例的方法可以由该内核模块执行，内核模块可以执行本公开实施例的方法来获取多个应用程序(应用程序1、应用程序2、…、应用程序N)各自的命令行参数。

内核模块获取的程序/进程命令行参数可以提供给安全程序(安全软件)等应用程序使用，以使安全程序等应用程序根据程序/进程的命令行参数对各个应用程序/进程进行分析，例如，安全程序可以根据程序/进程的命令行参数分析各个应用程序/进程的行为是否安全、可信。具体地，启动用户态的安全程序，该安全程序用于接收内核模块获取到的程序/进程的命令行参数信息，以便进行分析处理，例如，要对程序的命令行参数、以及启动该程序的进程命令行参数做分析处理，比如获取到命令行参数中要访问的文件、要访问的网络地址等等，以确定其行为是否安全。

在实际业务场景中，内核模块一旦发现有程序启动，就可以获取到程序的命令行参数，同时获取启动该程序的进程的命令行参数，并将相关信息发给安全程序等应用程序。其中，内核模块向应用程序发送相应的信息，可以采用Netlink机制。

图2示意性示出了根据本公开实施例的用于获取命令行参数的方法的流程图。

如图2所示，该方法可以包括操作S210-S240。

在操作S210，获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知。

根据本公开的实施例，可以调用名为register_binfmt的内核程序启动通知接口，向内核注册程序启动通知，其中，该程序启动通知接口是内核预先提供的对外接口，通过向内核注册程序启动通知就能够在内核拦截到程序启动操作后获取到表征程序启动的通知。

以第一程序为例，其中，第一程序可以是安装于系统中的任一应用程序，当向内核注册程序启动通知接口后，在第一程序启动时，就可以立刻获取该第一程序的启动通知。

根据本公开的实施例，预先向内核注册程序启动通知可以包括：调用程序启动通知接口将目标结构体插入程序启动通知链表中，其中，将目标结构体中的目标函数指针指向预先定义的回调函数，将回调函数的参数设置为用于存放程序信息的结构体参数。

例如，目标结构体可以是指struct linux_binfmt结构体，是linux系统提供的一种数据结构。以struct linux_binfmt结构体为参数，调用名为register_binfmt的内核程序启动通知接口，向内核注册程序启动通知，register_binfmt接口会将传入的structlinux_binfmt结构体类型参数插入到内核预先定义好的程序启动通知链表中，当程序启动时，内核会遍历程序启动通知链表。其中，struct linux_binfmt结构体中具有名为load_binary的成员，该成员是一个函数指针。

根据本公开的实施例，可以预先定义一个回调函数，将load_binary函数指针load_binary指向该预先定义的回调函数，并且可以将该回调函数的参数预先设定为struct linux_binprm结构体参数，其中，该struct linux_binprm结构体参数是在linux系统中用于存放程序信息的结构体参数。其中，该预先定义的回调函数例如可以命名为load_action_check回调函数。

根据本公开的实施例，获取程序启动的通知可以包括：获取内核调用回调函数的通知，并将调用所述回调函数的通知作为程序启动的通知，其中，内核在截获程序启动操作后，调用结构体的目标函数指针并基于所述函数指针调用所述回调函数。

例如，当程序启动时，内核会遍历程序启动通知链表，由于struct linux_binfmt结构体已被插入程序启动通知链表中，因此，内核会调用该链表中的保存的struct linux_binfmt结构体中的load_binary函数指针，由于该函数指针指向预先定义的回调函数，因此，内核会根据该函数指针调用该预先定义的回调函数。只有在程序启动时，内核才会调用该预先定义的回调函数，因此，可以将调用回调函数的通知作为程序启动的通知，在回调函数被调用时即可认为程序启动了。

在操作S220，在接收到程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数。

在拦截到第一程序启动操作后，即，获得程序启动通知后，可以触发调用名为load_action_check的回调函数，进而可以得到该回调函数的参数，该回调函数的参数是struct linux_binprm的结构体参数，该struct linux_binprm结构体参数可以存放有要执行的第一程序的一些相关信息，例如关于第一程序的命令行参数的相关信息。该structlinux_binprm详细的结构可以参考Linux内核的源代码。

在操作S230，从用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息。

如上所述，根据回调函数可以得到struct linux_binprm结构体参数bprm，该结构体参数存放有要执行的第一程序的一些相关信息，例如存放有关于第一程序的命令行参数的地址信息，其中，包括指向用户态栈中第一程序的命令行参数的指针。

在操作S240，基于第一地址信息，获取程序的命令行参数。

例如，可以根据第一地址信息，从相应位置处提取第一程序的命令行参数。

根据本公开的实施例，通过预先调用Linux内核预先提供的register_binfmt接口注册程序启动通知，在之后程序启动时可以获取到程序启动的通知，进而可以获取程序命令行参数的地址信息，进而可以获取到当前启动程序的完整命令行参数。上述方案中所使用的接口、函数均是Linux操作内核对外导出的，可以供第三方内核模块使用，不存在任何HOOK或者重定向等干扰程序运行的行为，对操作系统及用户态应用都非常友好，并且方案简单且稳定性好，可以不受用户态任何其他程序及因素的影响，准确地获取程序的命令行参数。因此，至少部分地克服了现有技术中存在的方案复杂、不稳定、对程序不友好容易造成干扰等问题，进而达到了方案简单、稳定、对程序友好的技术效果。

根据本公开的实施例，操作S230中的获取关于程序命令行参数的第一地址信息可以包括：获取指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数信息。

例如，struct linux_binprm结构体参数bprm有两个非常重要的成员：

(1)bprm-＞p指向程序命令行参数的用户态栈顶指针；

(2)bprm-＞argc程序命令行参数的个数。

程序命令行参数的第一地址信息可以是指上述的指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数。

根据本公开的实施例，操作S240中的基于地址信息，获取程序的命令行参数可以包括：基于指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数信息，获取程序的命令行参数。

图3示意性示出了根据本公开实施例的程序命令行参数的用户态栈结构在内存中的布局示意图。

如图3所示，程序命令行参数按照顺序存储，bprm-＞p对应的就是用户态栈中程序命令行参数的第一个参数的起始地址，程序命令行参数的个数由bprm-＞argc成员来标识。因此，可以根据bprm-＞p和bprm-＞argc，从用户态栈中逐个提取程序的命令行参数。

根据本公开的实施例，通过指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数来获取用户态栈中程序命令行参数，直接访问保存对应命令行参数的“内存地址空间”，从“内存地址空间”中获取相应的命令行参数，不经过任何文件读取及查找操作，实时性好并且，能够确保获取到完整的程序命令行参数。

以上介绍了获得程序的命令行参数的方式，此外，在一些应用场景下，例如，安全软件进行安全检测的场景中，还需要获取进程的完整命令行参数，以使安全软件能够分析对应进程的行为是否是恶意的行为。

相关技术中，均是在程序启动时获取命令行参数的方案，无法获取已经运行起来的进程的完整命令行参数。本公开实施例的方法可以解决这一问题，可以通过以下操作获取已经运行起来的进程的完整命令行参数。

图4示意性示出了根据本公开另一实施例的用于获取命令行参数的方法的流程图。

如图4所示，根据本公开的实施例，用于获取命令行参数的方法除了可以通过上述的S210～操作S240获取程序的命令行参数以外，还可以通过操作S410～操作S440获取已经运行起来的进程的命令行参数。

在操作S410，获得进程的标识信息。

以第一进程为例，其中，第一进程的标识信息可以是指第一进程的进程号PID，进程号PID是内核中用于唯一标识进程的整数值。

在操作S420，基于进程的标识信息，获取进程的内核结构。

例如，内核提供有find_pid_ns这类可以获取进程信息的接口函数，这类接口可以通过进程PID获取到对应的进程的内核结构：struct task_struct结构，该结构是内核用来存放进程信息的，例如存放有关于第一程序的命令行参数的地址信息。

struct task_struct结构及其相关成员的定义可以参考Linux内核的源代码。在操作S430，从进程的内核结构中获取关于进程命令行参数的第二地址信息。

如上所述，获取了进程的内核结构struct task_struct结构，该内核结构是内核用来存放进程的相关信息的，其中，存放有关于第一进程的命令行参数的地址信息。

在操作S440，基于第二地址信息，获取进程的命令行参数。

例如，可以根据第二地址信息，从相应位置处提取第一进程的命令行参数。

根据本公开的实施例，通过使用find_pid_ns这类可以获取进程信息的接口函数并且结合进程号，可以获取相应进程的内核结构，根据进程的内核结构可以获得进程命令行参数的地址信息，进而可以获取到相应进程的完整命令行参数。基于以上方式，可以获取已经运行起来的进程的命令行参数，并且，上述方案中所使用的接口、函数均是Linux操作内核对外导出的，可以供第三方内核模块使用，方案简单且稳定性好，能够准确地获取进程的命令行参数。

根据本公开的实施例，操作S430中的获取关于进程命令行参数的第二地址信息可以包括：获取进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址。

例如，truct task_struct结构体的struct mm_struct成员中包含描述当前进程命令行参数的用户态地址：arg_start，arg_end。其中，arg_start是进程命令行参数在用户态的起始地址，arg_end是进程命令行参数在用户态的结束地址。

进程命令行参数的第二地址信息可以是指上述的进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址。

根据本公开的实施例，操作S440中的基于第二地址信息，获取进程的命令行参数可以包括：基于进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址，获取进程的命令行参数。

根据本公开的实施例，基于进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址，获取进程的命令行参数包括：调用用于访问用户态地址空间的内核函数，获取用户态地址空间中的位于起始地址与结束地址之间的命令行参数。

图5示意性示出了根据本公开实施例的进程命令行用户态参数的内存布局示意图。

如图5所示，进程命令行参数在用户态的一块连续的内存中保存，进程命令行参数按照顺序存储。进程命令行参数在用户态的起始地址(arg_start)对应的就是内存中相应进程的命令行参数的第一个参数的地址，进程命令行参数在用户态的结束地址(arg_end)对应的就是内存中相应进程的命令行参数的最后一个参数的地址。可以通过copy_from_user函数，将起始地址(arg_start)和结束地址(arg_end)之间的进程命令行参数从用户态“复制”到内核空间中，即可完成对相应进程的命令行参数的获取。

其中，arg_start与arg_end标识的都是进程的用户态的地址，内核不能直接访问，因此需要通过copy_from_user这类访问用户态地址空间的内核函数函数，将用户态的内存中的数据复制到内核空间中，然后再进行访问。copy_from_user是内核专门为这类操作提供的函数，其定义形式如下：

unsigned long copy_from_user(void*to，const void_user*from，unsignedlong n)

根据本公开的实施例，通过进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址，直接访问保存对应进程命令行参数的“内存地址空间”，从“内存地址空间”中获取相应的进程命令行参数，不经过任何文件读取及查找操作，实时性好，并且，能够确保获取到完整的进程命令行参数。

通过以上方案，可以直接在内核中获取程序和进程的完整命令行参数，且高效、实时、准确。

本公开实施例的另一个方面提供了一种用于获取命令行参数的系统。

图6示意性示出了根据本公开的实施例的用于获取命令行参数的系统的框图。

如图6所示，该系统包括内核模块600，内核模块600包括启动通知子模块610、调用子模块620、第一地址子模块630和第一获取子模块640。

启动通知子模块610用于获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知。

调用子模块620用于在接收到程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数。

第一地址子模块630用于从用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息。

第一获取子模块640用于基于第一地址信息，获取程序的命令行参数。

根据本公开的实施例，预先向内核注册程序启动通知包括：调用程序启动通知接口将目标结构体插入程序启动通知链表中，其中，将目标结构体中的目标函数指针指向预先定义的回调函数，将回调函数的参数设置为用于存放程序信息的结构体参数。

获取程序启动的通知包括：获取内核调用回调函数的通知，并将调用所述回调函数的通知作为程序启动的通知，其中，内核在截获程序启动操作后，调用结构体的目标函数指针并基于函数指针调用所述回调函数。

根据本公开的实施例，获取关于程序命令行参数的第一地址信息包括：获取指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数信息。基于地址信息，获取程序的命令行参数包括：基于指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数信息，获取程序的命令行参数。

图7示意性示出了根据本公开的另一实施例的内核模块的框图。

如图7所示，根据本公开的实施例，内核模块600还可以包括标识信息子模块710、结构信息子模块720、第二地址子模块730和第二获取子模块740。

标识信息子模块710用于获得进程的标识信息。

结构信息子模块720用于基于进程的标识信息，获取进程的内核结构。

第二地址子模块730用于从进程的内核结构中获取关于进程命令行参数的第二地址信息。

第二获取子模块740用于基于第二地址信息，获取进程的命令行参数。

根据本公开的实施例，获取关于进程命令行参数的第二地址信息包括：获取进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址。基于第二地址信息，获取进程的命令行参数包括：基于进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址，获取进程的命令行参数。

根据本公开的实施例，基于进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址，获取进程的命令行参数包括：调用用于防问用户态地址空间的内核函数，获取用户态地址空间中的位于起始地址与结束地址之间的命令行参数。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，内核模块600、启动通知子模块610、调用子模块620、第一地址子模块630、第一获取子模块640、标识信息子模块710、结构信息子模块720、第二地址子模块730和第二获取子模块740中的任意多个可以合并在一个模块/单元/子单元中实现，或者其中的任意一个模块/单元/子单元可以被拆分成多个模块/单元/子单元。或者，这些模块/单元/子单元中的一个或多个模块/单元/子单元的至少部分功能可以与其他模块/单元/子单元的至少部分功能相结合，并在一个模块/单元/子单元中实现。根据本公开的实施例，内核模块600、启动通知子模块610、调用子模块620、第一地址子模块630、第一获取子模块640、标识信息子模块710、结构信息子模块720、第二地址子模块730和第二获取子模块740中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，内核模块600、启动通知子模块610、调用子模块620、第一地址子模块630、第一获取子模块640、标识信息子模块710、结构信息子模块720、第二地址子模块730和第二获取子模块740中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

需要说明的是，本公开的实施例中用于获取命令行参数的系统部分与本公开的实施例中用于获取命令行参数的方法部分是相对应的，用于获取命令行参数的系统部分的描述具体参考用于获取命令行参数的方法部分，在此不再赘述。

图8示意性示出了根据本公开实施例的适于实现上文描述的方法的电子设备的框图。图8示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图8所示，根据本公开实施例的电子设备800包括处理器801，其可以根据存储在只读存储器(ROM)802中的程序或者从存储部分808加载到随机访问存储器(RAM)803中的程序而执行各种适当的动作和处理。处理器801例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器801还可以包括用于缓存用途的板载存储器。处理器801可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 803中，存储有电子设备800操作所需的各种程序和数据。处理器801、ROM802以及RAM 803通过总线804彼此相连。处理器801通过执行ROM 802和/或RAM 803中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 802和RAM 803以外的一个或多个存储器中。处理器801也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备800还可以包括输入/输出(I/O)接口805，输入/输出(I/O)接口805也连接至总线804。电子设备800还可以包括连接至I/O接口805的以下部件中的一项或多项：包括键盘、鼠标等的输入部分806；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分807；包括硬盘等的存储部分808；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分809。通信部分809经由诸如因特网的网络执行通信处理。驱动器810也根据需要连接至I/O接口805。可拆卸介质811，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器810上，以便于从其上读出的计算机程序根据需要被安装入存储部分808。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分809从网络上被下载和安装，和/或从可拆卸介质811被安装。在该计算机程序被处理器801执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质。例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 802和/或RAM 803和/或ROM 802和RAM 803以外的一个或多个存储器。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (10)

1.一种用于获取命令行参数的方法，包括：

获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知；

在接收到所述程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数；

从所述用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息；以及

基于所述第一地址信息，获取程序的命令行参数。

2.根据权利要求1所述的方法，其中，

所述预先向内核注册程序启动通知包括：

调用程序启动通知接口将目标结构体插入程序启动通知链表中，其中，将所述目标结构体中的目标函数指针指向所述预先定义的回调函数，将所述回调函数的参数设置为用于存放程序信息的结构体参数；

所述获取程序启动的通知包括：

获取内核调用所述回调函数的通知，并将所述调用所述回调函数的通知作为所述程序启动的通知，其中，内核在截获程序启动操作后，调用结构体的目标函数指针并基于所述函数指针调用所述回调函数。

3.根据权利要求1所述的方法，其中：

所述获取关于程序命令行参数的第一地址信息包括：获取指向程序命令行参数的用户态栈顶指针和程序命令行参数的个数信息；

基于所述第一地址信息，获取程序的命令行参数包括：基于所述指向程序命令行参数的用户态栈顶指针和所述程序命令行参数的个数信息，获取程序的命令行参数。

4.根据权利要求1所述的方法，还包括：

获得进程的标识信息；

基于所述进程的标识信息，获取进程的内核结构；

从所述进程的内核结构中获取关于进程命令行参数的第二地址信息；以及

基于所述第二地址信息，获取进程的命令行参数。

5.根据权利要求4所述的方法，其中：

所述获取关于进程命令行参数的第二地址信息包括：获取进程命令行参数在用户态的起始地址和进程命令行参数在用户态的结束地址；

所述基于所述第二地址信息，获取进程的命令行参数包括：基于所述进程命令行参数在用户态的起始地址和所述进程命令行参数在用户态的结束地址，获取进程的命令行参数。

6.根据权利要求5所述的方法，其中，所述基于所述进程命令行参数在用户态的起始地址和所述进程命令行参数在用户态的结束地址，获取进程的命令行参数包括：

调用用于防问用户态地址空间的内核函数，获取所述用户态地址空间中的位于所述起始地址与所述结束地址之间的命令行参数。

7.一种用于获取命令行参数的系统，包括内核模块，所述内核模块包括：

启动通知子模块，用于获取程序启动的通知，其中，预先向内核注册程序启动通知，以在程序启动时从内核获取程序启动的通知；

调用子模块，用于在接收到所述程序启动的通知后，从预先定义的回调函数获取用于存放程序信息的结构体参数；

第一地址子模块，用于从所述用于存放程序信息的结构体参数中获取关于程序命令行参数的第一地址信息；以及

第一获取子模块，用于基于所述第一地址信息，获取程序的命令行参数。

8.一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1至6中任一项所述的方法。

9.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现权利要求1至6中任一项所述的方法。

10.一种计算机程序产品，包括计算机可读指令，其中，所述计算机可读指令被执行时用于执行根据权利要求1至6中任一项所述的方法。

Images