CN114692134A - 一种基于linux内核进程监控来保护代码及数据的系统和方法 - Google Patents

Abstract

本发明涉及数据保护相关领域，具体为一种基于linux内核进程监控来保护代码及数据的系统和方法，本发明支持加密储存非运行过程中的软件代码和数据；对软件运行过程中产生的中间文件，敏感数据进行有效的保护；通过进程管控防止外部程序访问解密后的数据和代码，只有可信进程才可以访问；基于虚拟内存式的文件系统的临时型特性(掉电后内存数据丢失特性)，有效防止解密后的代码在掉电后被非法窃取的可能性；被保护的目录下的程序，会对其执行的代码做路径匹配，只会执行保护目录下的代码，其他未受保护的代码会被视为可疑代码，都不会被执行，有效防止外部非法代码注入。

Description

一种基于linux内核进程监控来保护代码及数据的系统和 方法

技术领域

本发明涉及数据保护相关领域，具体为一种基于linux内核进程监控来保护代码及数据的系统和方法。

背景技术

随着计算机软件技术的发展，源码保护，重要数据保护，一直是软件开发领域的重要课题，软件破解、代码抄袭，数据泄露这些行为让企业蒙受了巨大的损失，且随着编程语言的不断进步与发展，其所带来的源码保护也面临着各种挑战。除了源码保护，往往在软件运行过程中，会产生一些重要的中间文件和数据，对于这些中间文件和敏感数据的保护也显得尤其重要。

在软件开发过程中，常见的编程语言可以分为编译型和解释型语言。其代码保护方法却不尽相同。

编译型的代码保护方法通常由外壳或硬件加密设备等方式。对于本身不经过编译的解释型语言，裸露源码用文本形式存储的脚本语言时，加外壳形式的保护并不适用。且这些加壳加密方法，往往对其运行过程中产生的重要代码和数据无法有效保护。

解释型语言相对于编译型语言存在的，源代码不是直接翻译成机器语言，而是先翻译成中间代码，再由解释器对中间代码进行解释运行。比如 Python/JavaScript/Perl/Shell等都是解释型语言。这些语言运行需要相应运行环境的解释器或者说虚拟机来执行。为了提高这些虚拟机的加载和解释源码的速度，在编译的时候，会把源码编译生成相应的中间二进制文件 (.pyc，.class等)。这些中间二进制文件存在巨大的隐患，可以通过相应的反编译手段来破译。

中国专利“CN112084490，一种基于Linux内核调用实现软件源代码的保护方法及系统”所述的技术方案中是通过unshare()这一系统调用函数去创建namespace，来实现进程空间和文件系统资源的隔离，这种方式可以做到不同的namespace之间的系统资源隔离，这种方式只是代表运行时，不同namespace 下的进程等系统资源是相互不可见(在相同的namespace下，资源是共享的)，但是在其namespace下运行时，系统中的每个进程都有/proc/[pid]/ns/这样一个目录，里面包含了如ipc namespace和mnt namespace等信息，可以通过这个目录/proc/[pid]/ns/获得其创建的namespace，然后通过系统调用setns函数进入这个已经存在的namespace，只要进入了这个namesapce，就可以轻松获得其文件目录信息，存在泄露解密后的代码的风险；中国专利“CN202110650645.X，一种基于pyc加密的Python源代码保护方法和系统”，此方案通过对产生的中间文件pyc进行加密，然后在把解密程序内置到解释器中，对解释器程序进行重新编译，在运行过程中去解密pyc文件，此方法缺陷在于，不管用什么方式加密，python解释器最终运行需要运行解密后的pyc文件，解密过程中存在读写文件的操作，实验过程中通过hook住文件系统中__vfs_read,__vfs_write等操作，可以提前获得解密后的pyc的文件，从而导致pyc被泄露出去。

发明内容

本发明的目的在于提供一种基于linux内核进程监控来保护代码及数据的系统和方法，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：一种基于linux内核进程监控来保护代码及数据的系统，其特征在于，包括：第一模块：用于对代码保护程序提供加密模块，可以对静态文件进行加密，采用自定义的加密算法进行加密，加密完成后替换原有的代码；

第二模块：用于对所述第一模块中加密完成代码和数据进行解密，解密之前会检查内核代码保护驱动模块是否开启和保护目录是否创建，满足条件后，会把加密数据解密到保护目录中；

第三模块：基于进程监控的动态保护，动态保护由内核代码保护驱动模块提供，会对访问保护目录中的进程进行实时监控，会对访问的进程进行数字签名验证和路径检查。同时也会限制应用层IO接口的访问；

第四模块：通过代码保护程序调用解释器执行相应的解密代码，代码保护程序调用解释器之前，会再一次判断要运行的代码路径是否为保护目录下的代码，对于其他目录非保护目录的代码将禁止执行。

优选的，所述第三模块中内核代码保护驱动模块是基于hook技术来实现，通过hook技术去hook住操作系统中的函数表中的主要的函数，在入口出注入勾子代码，实现对访问目录文件的进程监控和权限的控制，利用ftrace来实现，ftrace采用GCC的profile特性在所有内核函数的开始部分加入一段 stub代码，ftrace重载这段代码来实现trace功能，内核初始化的初期，ftrace查询__mcount_loc段，得到每个函数的入口地址，并将mcount替换为nop指令，这样在默认情况下，ftrace不会对内核性能产生影响，当用户打开ftrace功能时，ftrace将这些nop指令动态替换为ftrace_caller，该函数将调用用于进程鉴别的trace函数。

一种基于linux内核进程监控来保护代码及数据的方法，其特征在于，包括以下步骤：

步骤S1、在第一模块中对代码保护工具，解释器程序进行数字签名，把生成的数字签名保存到内核保护模块中，后续作为可信进程判别的依据,防止解释器程序被非法篡改或替换，同时对代码保护程序进行加密。

步骤S2、在第二模块中通过系统配置，设置开机自启动，创建基于内存文件系统tmpfs的保护目录；

步骤S3、在创建完成基于内存文件系统tmpfs的保护目录之后，开始安装内核保护驱动模块，并且在内核保护驱动模块内设置内核保护驱动，用于系统对指定的保护目录进行保护；

步骤S4、第二模块中数据已经保存到保护目录中后，运行解密后的代码，调用相应的解释器，通过第一模块的加密模块加密，把可靠的解释器程序文件进行加密，然后再解密到第二模块的解密模块中，通过解密程序，解密到保护目录中；

步骤S5、在完成步骤S4后，第三模块代码保护和执行的基础环境准备就绪，调用解释器运行解密后源代码，并且代码进行运行，同时在生成的中间文件都将在保护目录中生成，保护目录下的程序运行时，会对运行的代码做路径检查，中间文件符合内核保护驱动路径匹配规则，保护中间文件不被其他进程访问，非保护目录外的代码将无法运行以防止外部代码注入优选的，

优选的，所述步骤S2中保护目录文件夹下的文件保存在内存中，且非物理硬盘，使文件具有临时性、快速读写能力和动态收缩特点，具体为：临时性，由于tmpfs是构建在内存中的，所以存放在tmpfs中的所有数据在卸载或断电后都会丢失；快速读写能力，内存的访问速度要远快于磁盘I/O操作；动态收缩，tmpfs一开始使用很小的空间，但随着文件的复制和创建，tmpfs文件系统会分配更多的内存，并按照需求动态地增加文件系统的空间。而且，当tmpfs中的文件被删除时，tmpfs文件系统会动态地减小文件并释放内存资源。

优选的，所述步骤S3中保护内核驱动模块在系统函数执行前注入自定义勾子程序，当程序运行到hook住的函数入口后会跳转到自定义的勾子程序，来实现进程控制，驱动模块主要提供文件路径辨别，和进程管控两个主要功能，确保只有代码保护这个唯一进程可以访问保护目录下的文件，其他程序在路径判别后和数字校验后，都会判定为非法不可信进程，都将无法运行，通过这种方法以防止外部进程访问。

优选的，所述内核保护驱动模块在系统退出或或非法卸载都会触发内核保护驱动程序的安全卸载程序即清空保护目录文件夹下的文件和删除目录。

与现有技术相比，本发明的有益效果是：本发明支持加密储存非运行过程中的软件代码和数据；对软件运行过程中产生的中间文件，敏感数据进行有效的保护；通过进程管控防止外部程序访问解密后的数据和代码，只有可信进程才可以访问；基于虚拟内存式的文件系统的临时型特性(掉电后内存数据丢失特性)，有效防止解密后的代码在掉电后被非法窃取的可能性；被保护的目录下的程序，会对其执行的代码做路径匹配，只会执行保护目录下的代码，其他未受保护的代码会被视为可疑代码，都不会被执行，有效防止外部非法代码注入。

附图说明

图1为本发明的系统结构模块图；

图2为本发明的解密模块工作流程图；

图3为本发明的第三模块工作流程图；

图4为本发明的调用解释器运行解密后源代码流程图；

图5为本发明的方法原理架构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1-5，本发明提供一种技术方案：一种基于linux内核进程监控来保护代码及数据的系统，其特征在于，包括：第一模块：如附录图1中加密Ⅰ模块所示，用于对代码保护程序提供加密模块，可以对静态文件进行加密，采用自定义的加密算法进行加密，加密完成后替换原有的代码；

第二模块：如附录图1中解密II模块，用于对所述第一模块中加密完成代码和数据进行解密，解密之前会检查内核代码保护驱动模块是否开启和保护目录是否创建，满足条件后，会把加密数据解密到保护目录中；

第三模块：如附录图1中模块Ⅲ，基于进程监控的动态保护，动态保护由内核代码保护驱动模块提供，会对访问保护目录中的进程进行实时监控，会对访问的进程进行数字签名验证和路径检查。同时也会限制应用层IO接口的访问；

第四模块：如附录图1中解密模块Ⅳ，通过代码保护程序调用解释器执行相应的解密代码，代码保护程序调用解释器之前，会再一次判断要运行的代码路径是否为保护目录下的代码，对于其他目录非保护目录的代码将禁止执行。

进一步的，第三模块中内核代码保护驱动模块是基于hook技术来实现，通过hook技术去hook住操作系统中的函数表中的主要的函数，在入口出注入勾子代码，实现对访问目录文件的进程监控和权限的控制，利用ftrace来实现，ftrace采用GCC的profile特性在所有内核函数的开始部分加入一段 stub代码，ftrace重载这段代码来实现trace功能，内核初始化的初期，ftrace查询__mcount_loc段，得到每个函数的入口地址，并将mcount替换为nop指令，这样在默认情况下，ftrace不会对内核性能产生影响，当用户打开ftrace功能时，ftrace将这些nop指令动态替换为ftrace_caller，该函数将调用用于进程鉴别的trace函数。

一种基于linux内核进程监控来保护代码及数据的方法，其特征在于，包括以下步骤：

步骤S1、在第一模块中对代码保护工具，解释器程序进行数字签名，把生成的数字签名保存到内核保护模块中，后续作为可信进程判别的依据,防止解释器程序被非法篡改或替换，同时对代码保护程序进行加密。

步骤S2、在第二模块中通过系统配置，设置开机自启动，创建基于内存文件系统tmpfs的保护目录，如图五①所示；

步骤S3、在创建完成基于内存文件系统tmpfs的保护目录之后，开始安装内核保护驱动模块，并且在内核保护驱动模块内设置内核保护驱动，用于系统对指定的保护目录进行保护；

步骤S4、第二模块中数据已经保存到保护目录中后，运行解密后的代码，调用相应的解释器，通过第一模块的加密模块加密，把可靠的解释器程序文件进行加密，然后再解密到第二模块的解密模块中，通过解密程序，解密到保护目录中；

步骤S5、在完成步骤S4后，第三模块代码保护和执行的基础环境准备就绪，调用解释器运行解密后源代码，并且代码进行运行，同时在生成的中间文件都将在保护目录中生成，保护目录下的程序运行时，会对运行的代码做路径检查，中间文件符合内核保护驱动路径匹配规则，保护中间文件不被其他进程访问，非保护目录外的代码将无法运行以防止外部代码注入

进一步的，步骤S2中保护目录文件夹下的文件保存在内存中，且非物理硬盘，使文件具有临时性、快速读写能力和动态收缩特点，具体为：临时性，由于tmpfs是构建在内存中的，所以存放在tmpfs中的所有数据在卸载或断电后都会丢失；快速读写能力，内存的访问速度要远快于磁盘I/O操作；动态收缩，tmpfs一开始使用很小的空间，但随着文件的复制和创建，tmpfs文件系统会分配更多的内存，并按照需求动态地增加文件系统的空间。而且，当tmpfs中的文件被删除时，tmpfs文件系统会动态地减小文件并释放内存资源。

进一步的，步骤S3中保护内核驱动模块在系统函数执行前注入自定义勾子程序，当程序运行到hook住的函数入口后会跳转到自定义的勾子程序，来实现进程控制，驱动模块主要提供文件路径辨别，和进程管控两个主要功能，确保只有代码保护这个唯一进程可以访问保护目录下的文件，其他程序在路径判别后和数字校验后，都会判定为非法不可信进程，都将无法运行，通过这种方法以防止外部进程访问。

进一步的，内核保护驱动模块在系统退出或或非法卸载都会触发内核保护驱动程序的安全卸载程序即清空保护目录文件夹下的文件和删除目录。

本发明支持加密储存非运行过程中的软件代码和数据；对软件运行过程中产生的中间文件，敏感数据进行有效的保护；通过进程管控防止外部程序访问解密后的数据和代码，只有可信进程才可以访问；基于虚拟内存式的文件系统的临时型特性(掉电后内存数据丢失特性)，有效防止解密后的代码在掉电后被非法窃取的可能性；被保护的目录下的程序，会对其执行的代码做路径匹配，只会执行保护目录下的代码，其他未受保护的代码会被视为可疑代码，都不会被执行，有效防止外部非法代码注入。

尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (6)

1.一种基于linux内核进程监控来保护代码及数据的系统，其特征在于，包括：第一模块：用于对代码保护程序提供加密模块，可以对静态文件进行加密，采用自定义的加密算法进行加密，加密完成后替换原有的代码；

第二模块：用于对所述第一模块中加密完成代码和数据进行解密，解密之前会检查内核代码保护驱动模块是否开启和保护目录是否创建，满足条件后，会把加密数据解密到保护目录中；

第三模块：基于进程监控的动态保护，动态保护由内核代码保护驱动模块提供，会对访问保护目录中的进程进行实时监控，会对访问的进程进行数字签名验证和路径检查。同时也会限制应用层IO接口的访问；

第四模块：通过代码保护程序调用解释器执行相应的解密代码，代码保护程序调用解释器之前，会再一次判断要运行的代码路径是否为保护目录下的代码，对于其他目录非保护目录的代码将禁止执行。

2.根据权利要求1所述的一种基于linux内核进程监控来保护代码及数据的系统，其特征在于：所述第三模块中内核代码保护驱动模块是基于hook技术来实现，通过hook技术去hook住操作系统中的函数表中的主要的函数，在入口出注入勾子代码，实现对访问目录文件的进程监控和权限的控制，利用ftrace来实现，ftrace采用GCC的profile特性在所有内核函数的开始部分加入一段stub代码，ftrace重载这段代码来实现trace功能，内核初始化的初期，ftrace查询__mcount_loc段，得到每个函数的入口地址，并将mcount替换为nop指令，这样在默认情况下，ftrace不会对内核性能产生影响，当用户打开ftrace功能时，ftrace将这些nop指令动态替换为ftrace_caller，该函数将调用用于进程鉴别的trace函数。

3.一种基于linux内核进程监控来保护代码及数据的方法，其特征在于，包括以下步骤：

步骤S1、在第一模块中对代码保护工具，解释器程序进行数字签名，把生成的数字签名保存到内核保护模块中，后续作为可信进程判别的依据,防止解释器程序被非法篡改或替换，同时对代码保护程序进行加密。

步骤S2、在第二模块中通过系统配置，设置开机自启动，创建基于内存文件系统tmpfs的保护目录；

步骤S3、在创建完成基于内存文件系统tmpfs的保护目录之后，开始安装内核保护驱动模块，并且在内核保护驱动模块内设置内核保护驱动，用于系统对指定的保护目录进行保护；

步骤S4、第二模块中数据已经保存到保护目录中后，运行解密后的代码，调用相应的解释器，通过第一模块的加密模块加密，把可靠的解释器程序文件进行加密，然后再解密到第二模块的解密模块中，通过解密程序，解密到保护目录中；

步骤S5、在完成步骤S4后，第三模块代码保护和执行的基础环境准备就绪，调用解释器运行解密后源代码，并且代码进行运行，同时在生成的中间文件都将在保护目录中生成，保护目录下的程序运行时，会对运行的代码做路径检查，中间文件符合内核保护驱动路径匹配规则，保护中间文件不被其他进程访问，非保护目录外的代码将无法运行以防止外部代码注入。

4.根据权利要求3所述的一种基于linux内核进程监控来保护代码及数据的方法，其特征在于：所述步骤S2中保护目录文件夹下的文件保存在内存中，且非物理硬盘，使文件具有临时性、快速读写能力和动态收缩特点，具体为：临时性，由于tmpfs是构建在内存中的，所以存放在tmpfs中的所有数据在卸载或断电后都会丢失；快速读写能力，内存的访问速度要远快于磁盘I/O操作；动态收缩，tmpfs一开始使用很小的空间，但随着文件的复制和创建，tmpfs文件系统会分配更多的内存，并按照需求动态地增加文件系统的空间。而且，当tmpfs中的文件被删除时，tmpfs文件系统会动态地减小文件并释放内存资源。

5.根据权利要求3所述的一种基于linux内核进程监控来保护代码及数据的方法，其特征在于：所述步骤S3中保护内核驱动模块在系统函数执行前注入自定义勾子程序，当程序运行到hook住的函数入口后会跳转到自定义的勾子程序，来实现进程控制，驱动模块主要提供文件路径辨别，和进程管控两个主要功能，确保只有代码保护这个唯一进程可以访问保护目录下的文件，其他程序在路径判别后和数字校验后，都会判定为非法不可信进程，都将无法运行，通过这种方法以防止外部进程访问。

6.根据权利要求3所述的一种基于linux内核进程监控来保护代码及数据的方法，其特征在于：所述内核保护驱动模块在系统退出或或非法卸载都会触发内核保护驱动程序的安全卸载程序即清空保护目录文件夹下的文件和删除目录。

Images