CN114707150A - 一种恶意代码检测方法、装置、电子设备和存储介质 - Google Patents

一种恶意代码检测方法、装置、电子设备和存储介质 Download PDF

Info

Publication number
CN114707150A
CN114707150A CN202210281367.XA CN202210281367A CN114707150A CN 114707150 A CN114707150 A CN 114707150A CN 202210281367 A CN202210281367 A CN 202210281367A CN 114707150 A CN114707150 A CN 114707150A
Authority
CN
China
Prior art keywords
target function
function
hook
malicious code
malicious
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210281367.XA
Other languages
English (en)
Other versions
CN114707150B (zh
Inventor
纪兴柱
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Anxin Wangdun Beijing Technology Co ltd
Original Assignee
Anxin Wangdun Beijing Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Anxin Wangdun Beijing Technology Co ltd filed Critical Anxin Wangdun Beijing Technology Co ltd
Priority to CN202210281367.XA priority Critical patent/CN114707150B/zh
Publication of CN114707150A publication Critical patent/CN114707150A/zh
Application granted granted Critical
Publication of CN114707150B publication Critical patent/CN114707150B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Abstract

本发明实施例涉及一种恶意代码检测方法、装置、电子设备和存储介质，所述检测方法包括：加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩；执行脚本命令时，通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码。本发明实施例提供的恶意代码检测方法，检测方式简单、高效，对PowerShell性能无明显影响，兼容性能好，并且执行挂钩的目标函数时，代码已经完全解混淆，从而可以有效地检出通过混淆逃避检测的恶意代码，准确率高。

Description

一种恶意代码检测方法、装置、电子设备和存储介质
技术领域
本发明实施例涉及网络信息安全技术领域，尤其涉及一种恶意代码检测方法、装置、电子设备和存储介质。
背景技术
目前，PowerShell恶意代码的检测方法主要是静态检测方法，通常包含两种。一种是反恶意软件扫描接口(Anti-Malware Scan Interface，以下简称“AMSI”)，是微软从Windows 10开始引入的一种机制。PowerShell会使用AMSI.DLL的导出函数来扫描用户输入。如果判断这些数据无害，则用户输入数据就会被执行，否则就会阻止执行操作。另一种是通过解混淆进行检测的方法，该方法将执行的表达式进行解混淆，然后匹配特定恶意代码特征库来判断是否是恶意代码。
AMSI具有一定的防护作用，但是对混淆的恶意代码检出率低，并且绕过AMSI的方法已被广泛利用。后者对加密混淆的代码有一定的检出率，然而恶意代码的混淆方式也在不断升级，导致检出率无法满足要求。
发明内容
基于现有技术的上述情况，本发明实施例的目的在于提供一种恶意代码检测方法、装置、电子设备和存储介质，以提升对于PowerShell恶意代码的检测能力。
为达到上述目的，根据本发明的一个方面，提供了一种恶意代码检测方法，包括：
生成并加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；
获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑；
执行脚本命令时，通过所调用目标函数中的挂钩与恶意代码检测的逻辑判断该脚本命令是否存在恶意代码。
进一步的，根据以下步骤生成并加载自定义程序集：
采用预设的派生类取代默认的应用程序域管理器以生成所述自定义程序集，所述派生类的初始化部分包含挂钩代码；
将所述自定义程序集注册到全局程序集缓存；
将目标进程的第一环境变量和第二环境变量设置为所述派生类的程序集和类型名，以加载所述自定义程序集。
进一步的，所述获取目标函数的机器码内存地址包括：
获取目标函数所在类类型，以获取该目标函数的句柄；
根据该目标函数的句柄编译所述目标函数，以获取该目标函数的机器码内存地址。
进一步的，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑包括：
根据所获取的目标函数的机器码内存地址，在目标函数处安装挂钩，以使目标函数跳转到预定义的挂钩函数，所述挂钩函数包含对应目标函数的恶意代码检测逻辑；
在预定义的跳板函数处安装挂钩,所述跳板函数使得当挂钩函数执行完恶意代码检测后，调回原始的目标函数。
进一步的，所述通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，包括：
获取输入参数的地址；若所调用目标函数待修改的地址与输入参数的地址相同，并且写入字节数据并非预设的字节数据，则判断为恶意代码；否则，执行该目标函数；
或者，
通过栈回溯判断目标函数的上层函数是否是具有下载功能的函数，并通过该目标函数的参数获取网络连接的地址；若是，并且该地址不在预设的白名单范围内，则判断为恶意代码；否则，执行调回该目标函数继续执行；
或者，
获取目标函数的目标字段名称和该目标字段的设置值；若该目标字段的设置值为真，则判定为恶意操作；若否，则继续执行该目标函数；
或者，
获取目标函数调用的所有API函数；通过对所述所有API函数进行分析以判定是否为恶意操作。
根据本发明的第二个方面，提供了一种恶意代码检测装置，包括自定义程序集生成及加载模块、挂钩安装模块和判断模块；其中，
所述自定义程序集生成及加载模块，用于生成并加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；
所述挂钩安装模块，用于获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑；
所述判断模块，用于执行脚本命令时，通过所调用目标函数中的挂钩与恶意代码检测的逻辑判断该脚本命令是否存在恶意代码。
进一步的，所述自定义程序集生成及加载模块生成并加载所述自定义程序集，包括：
采用预设的派生类取代默认的应用程序域管理器以生成所述自定义程序集，所述派生类的初始化部分包含挂钩代码；
将所述自定义程序集注册到全局程序集缓存；
将目标进程的第一环境变量和第二环境变量设置为所述派生类的程序集和类型名，以加载所述自定义程序集。
进一步的，所述判断模块通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，包括：
获取输入参数的地址；若所调用目标函数待修改的地址与输入参数的地址相同，并且写入字节数据并非预设的字节数据，则判断为恶意代码；否则，执行该目标函数；
或者，
通过栈回溯判断目标函数的上层函数是否是具有下载功能的函数，并通过该目标函数的参数获取网络连接的地址；若是，并且该地址不在预设的白名单范围内，则判断为恶意代码；否则，执行调回该目标函数继续执行；
或者，
获取目标函数的目标字段名称和该目标字段的设置值；若该目标字段的设置值为真，则判定为恶意操作；若否，则继续执行该目标函数；
或者，
获取目标函数调用的所有API函数；通过对所述所有API函数进行分析以判定是否为恶意操作。
根据本发明的第三个方面，提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，所述处理器执行所述程序时实现如本发明第一个方面所述的方法。
根据本发明的第四个方面，提供了一种计算机可读存储介质，其上存储有计算机可执行指令，所述可执行指令被处理器执行时实现如本发明第一个方面所述的方法。
综上所述，本发明实施例提供了一种恶意代码检测方法、装置、电子设备和存储介质，所述检测方法包括：加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩；执行脚本命令时，通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码。本发明实施例提供的恶意代码检测方法，检测方式简单、高效，对PowerShell性能无明显影响，兼容性能好，通过在目标函数中安装挂钩去检测恶意代码，由于此处执行的代码已经完全解混淆，从而可以有效地检出通过混淆逃避检测的恶意代码，准确率高。
附图说明
图1是本发明实施例提供的恶意代码检测方法的流程图；
图2是本发明实施例提供的恶意代码检测装置的构成框图；
图3是本发明实施例提供的电子设备的结构示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。
下面对结合附图对本发明实施例的技术方案进行详细说明。PowerShell脚本语言的功能在System.Management.Automation.dll(以下简称SMA.dll“”)中实现，该模块由C#编写，依赖于.NET框架。PowerShell恶意代码会调用.NET框架各个程序集(Assembly)中实现的函数去实现。这些函数被称为托管函数。因此，通过对.NET框架托管的函数安装挂钩(Hook)去检测是否恶意代码是一种行之有效的方法，并且此处执行的代码已经完全解混淆，从而可以有效地检出通过混淆逃避检测的恶意代码。由于程序集是由MSIL中间语言组成的，在运行前由公共语言运行库(Common Language Runtime，以下简称“CLR”)去触发即时编译器JIT编译成机器码。CLR和Java虚拟机一样也是一个运行时环境，它负责资源管理(内存分配和垃圾收集等)，并保证应用和底层操作系统之间必要的分离。
本发明实施例通过在被即时编译器JIT编译成的机器码所在内存地址安装挂钩，以实现对于恶意代码的检测。本发明的实施例中，提供了一种恶意代码检测方法，该检测方法100的流程图如图1所示，包括步骤：
S102、加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑。该步骤用于实现基于C#的自定义程序集供CLR加载。可以根据以下步骤生成并加载自定义程序集：
S1022、采用预设的派生类取代默认的应用程序域管理器，所述派生类的初始化部分包含挂钩代码。例如实现一个基于AppDomainManager的派生类，来取代默认的AppDomainManager，在该派生类的初始化部分调用挂钩的代码。
S1024、将所述自定义程序集注册到全局程序集缓存。例如通过gacutil.exe将自定义的程序集添至全局程序集缓存(Global Assembly Cache，简称“GAC”)，使得目标进程可以在全局程序集缓存取得自定义的程序集。
S1026、将目标进程的第一环境变量和第二环境变量设置为所述派生类的程序集和类型名。例如将PowerShell进程的环境变量“APPDOMAIN_MANAGER_ASM”和“APPDOMAIN_MANAGER_TYPE”替换为自定义的AppDomainManager的程序集和类型名，以上操作可以实现在PowerShell启动时，CLR加载上述预设的自定义程序集，以执行挂钩代码。
S104、获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩。执行安装挂钩首先要获得目标函数的机器码内存地址。反射是一种允许托管程序在运行时访问程序集及其方法、字段的技术，通过该技术可以获取到对应的目标函数句柄。进而采用RuntimeMethodHandle.GetFunctionPointer方法可以获得当前目标函数已被编译的机器码的地址。但在目标函数执行之前，如果目标函数还未编译，也就无法定位对应机器码的内存地址。可以通过RuntimeHelpers.PrepareMethod去触发即时编译器JIT编译目标函数。本发明实施例中，采用如下步骤获取目标函数的机器码内存地址并安装挂钩：
S1042、获取目标函数所在类类型，以获取该目标函数的句柄。
S1044、根据该目标函数的句柄编译所述目标函数，以获取该目标函数的机器码内存地址。例如通过调用PrepareMethod使即时编译器JIT编译目标函数，最后通过GetFunctionPointer获得目标函数的机器码内存地址。
S1046、采用如下步骤安装挂钩：首先定义一个挂钩函数，该函数包含了对应目标函数的恶意代码检测逻辑，然后按以上所述方式获取目标函数的机器码内存地址，在目标函数处通过Inline Hook方式安装挂钩，使目标函数跳转到挂钩函数。另外定义一个对应的跳板函数，通过以上所述方式在跳板函数安装挂钩,使其调回原始目标函数。当挂钩函数执行完恶意代码检测后,按需调用跳板函数,经由跳板函数调回原始的目标函数,以上完成了安装挂钩的过程。挂钩的目标函数可以为调用频率较高的函数，也可以根据实际需要选择挂钩的目标函数。挂钩的目标函数包括但不限于以下函数：System.Net.Mail.Send
System.Net.WebRequest.Create
System.Net.Sockets.TcpClient.GetStream
System.Net.NetworkInformation.Ping.Send
System.Net.Sockets.TcpClient.BeginConnect
System.Drawing.Graphics.CopyFromScreen
System.Reflection.FieldInfo.SetValue
System.Runtime.InteropServices.Marshal.WriteInt32
Microsoft.Win32.UnsafeNativeMethods.GetProcAddress
S106、执行脚本命令时，通过所调用目标函数中的挂钩函数判断该脚本命令是否存在恶意代码。即当PowerShell脚本调用目标函数时，会跳转到挂钩函数，在挂钩函数中实现相应逻辑代码，来判断当前执行的动操作是否恶意。通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，可以如下步骤：
S1061、获取输入参数的地址。
S1062、若所调用目标函数待修改的地址与输入参数的地址相同，并且写入字节数据并非预设的字节数据，则判断为恶意代码；否则，执行该目标函数。
以挂钩System.Runtime.InteropServices.Marshal.WriteInt32函数为例进行说明：AMSI提供AmsiScanBuffer函数来检测是否存在恶意代码。当传入的参数amsiContext指向的内存地址起始四字节是“AMSI”时，才可以正常调用。恶意代码在绕过AMSI时会调用Marshal.WriteInt32函数修改该内存地址的首4个字节，将其改为除“AMSI”之外的任意数据。在Marshal.WriteInt32对应的机器码地址挂钩，可通过以下逻辑检测该恶意操作：首先获取到amsiContext结构的地址，amsiContext存在于SMA.dll所在的程序集，可采用上文中提到的反射的方式获取。然后进行逻辑判断，如果Marshal.WriteInt32函数要修改的地址与amsiContext的地址相同，并且写入的四字节数据非“AMSI”，则判断是绕过AMSI的恶意代码，立即上报或阻断该风险。否则，调回原来的Marshal.WriteInt32函数，执行正常功能。
根据某些实施例，通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，可以通过如下步骤：
S1063、通过栈回溯判断目标函数的上层函数是否是具有下载功能的函数，并通过目标函数的参数获取网络连接的地址，其中，该上层函数可以为多级上层函数，该参数例如为所请求的网络地址；
S1064、若是，并且该地址不在预设的白名单范围内，则判断为恶意代码；否则，执行调回该目标函数继续执行。
以挂钩System.Net.WebRequest.Create函数为例进行说明：恶意代码通常会调用System.Net.WebClient.DownloadString等函数下载恶意脚本到内存中，进而执行恶意操作，这是一种常见PowerShell无文件攻击方式。这类函数会调用System.Net.WebRequest.Create来创建网络连接请求，通过以上所述方法在目标函数System.Net.WebRequest.Create对应的机器码地址挂钩，在该函数挂钩的好处是可以检测到所有具有下载功能的函数，而不用在每个具有下载功能的函数都进行挂钩。
根据某些实施例，通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，还可以通过如下步骤：
S1065、获取目标函数的目标字段名称和该目标字段的设置值；
S1066、若该目标字段的设置值为真(True)，则判定为恶意操作；若否，则继续执行该目标函数。
以挂钩System.Reflection.FieldInfo.SetValue函数为例进行说明：AMSI模块在初始化时会判断字段“amsiInitFailed”的值，若该字段的值为假，则表明初始化成功。恶意代码绕过AMSI保护的另一种方式是通过调用System.Reflection.FieldInfo.SetValue将字段“amsiInitFailed”设置为真。那么在函数System.Reflection.FieldInfo.SetValue对应的机器码地址挂钩，获取到要设置的字段名称是“amsiInitFailed”并且设置的值为真，则判定是一次恶意操作，立即上报或阻断该恶意操作。
根据某些实施例，通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，还可以通过如下步骤：
S1067、获取目标函数调用的所有API函数；
S1068、通过对所述所有API函数进行分析以判定是否为恶意操作。
以挂钩Microsoft.Win32.UnsafeNativeMethods.GetProcAddress函数为例进行说明：该函数的功能是获取Windows API的函数地址，恶意代码通常会通过该函数获取API函数地址并调用。通过以上所述方法在Microsoft.Win32.UnsafeNativeMethods.GetProcAddress函数对应的机器码地址挂钩，在该函数挂钩可以获取到恶意代码通过此种方式调用Windows API的所有API函数，然后分析获取到的API功能来确定是否是恶意操作，例如，如果获取了GetAsyncKeyState与SetWindowsHookExA的函数地址，则判定为该代码具有键盘记录功能，立即上报该风险。
本发明的实施例中，还提供了一种恶意代码检测装置，该检测装置200的构成框图如图2所示，包括自定义程序集生成及加载模块201、挂钩安装模块202和判断模块203；其中，
自定义程序集生成及加载模块201，用于生成并加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑。该自定义程序集生成及加载模块201生成并加载所述自定义程序集，包括：
采用预设的派生类取代默认的应用程序域管理器以生成所述自定义程序集，所述派生类的初始化部分包含挂钩代码；
将所述自定义程序集注册到全局程序集缓存；
将目标进程的第一环境变量和第二环境变量设置为所述派生类的程序集和类型名，以加载所述自定义程序集。
挂钩安装模块202，用于获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩。该挂钩安装模块202获取目标函数的机器码内存地址，包括：
获取目标函数所在类类型，以获取该目标函数的对象；
根据该目标函数的对象编译所述目标函数，通过获取函数指针获得该目标函数的机器码内存地址。
判断模块203，用于执行脚本命令时，通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码。该判断模块203通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，包括：
获取输入参数的地址；
若所调用目标函数待修改的地址与输入参数的地址相同，并且写入字节数据并非预设的字节数据，则判断为恶意代码；否则，执行该目标函数。
上述恶意代码检测装置200中的各个模块的具体功能和操作已经在上述实施例的恶意代码检测方法中进行了详细介绍，因此，这里将省略其重复描述。
本发明的实施例中，还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，所述处理器执行所述程序时实现如本发明上述实施例中所述的方法。图3所示为本申请该实施例提供的电子设备300的结构示意图。如图3所示，该电子设备300包括：一个或多个处理器301和存储器302；以及存储在存储器302中的计算机可执行指令，可执行指令在被处理器301运行时使得处理器301执行如上述实施例的木马检测方法。处理器301可以是中央处理单元(CPU)或者具有数据处理能力和/或指令执行能力的其他形式的处理单元，并且可以控制电子设备中的其他组件以执行期望的功能。存储器302可以包括一个或多个计算机程序产品，计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。易失性存储器例如可以包括随机存取存储器(RAM)和/或高速缓冲存储器(cache)等。非易失性存储器例如可以包括只读存储器(ROM)、硬盘、闪存等。在计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器301可以运行程序指令，以实现上文的本发明实施例的木马检测方法中的步骤以及/或者其他期望的功能。在一些实施例中，电子设备300还可以包括：输入装置303和输出装置304，这些组件通过总线系统和/或其他形式的连接机构(图3中未示出)互连。例如，在该电子设备是单机设备时，该输入装置303可以是通信网络连接器，用于从外部的可移动设备接收所采集的输入信号。此外，该输入设备303还可以包括例如键盘、鼠标、麦克风等。该输出装置304可以向外部输出各种信息，例如可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输出设备等。
本发明的实施例中，还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如本发明上述实施例中所述的方法中的步骤。计算机可读存储介质可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以包括但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器((RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
应当理解的是，本发明实施例中的处理器可以为中央处理单元(CentralProcessing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(DigitalSignal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
综上所述，本发明实施例涉及一种恶意代码检测方法、装置、电子设备和存储介质，所述检测方法包括：生成并加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑；执行脚本命令时，通过所调用目标函数中的挂钩与恶意代码检测的逻辑判断该脚本命令是否存在恶意代码。本发明实施例提供的恶意代码检测方法，检测方式简单、高效，对PowerShell性能无明显影响，兼容性能好，通过在目标函数中安装挂钩去检测恶意代码，由于此处执行的代码已经完全解混淆，从而可以有效地检出通过混淆逃避检测的恶意代码，准确率高。
应当理解的是，以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明的范围(包括权利要求)被限于这些例子；在本发明的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本发明一个或多个实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (10)

1.一种恶意代码检测方法，其特征在于，包括：
生成并加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；
获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑；
执行脚本命令时，通过所调用目标函数中的挂钩与恶意代码检测的逻辑判断该脚本命令是否存在恶意代码。
2.根据权利要求1所述的方法，其特征在于，根据以下步骤生成并加载自定义程序集：
采用预设的派生类取代默认的应用程序域管理器以生成所述自定义程序集，所述派生类的初始化部分包含挂钩代码；
将所述自定义程序集注册到全局程序集缓存；
将目标进程的第一环境变量和第二环境变量设置为所述派生类的程序集和类型名，以加载所述自定义程序集。
3.根据权利要求2所述的方法，其特征在于，所述获取目标函数的机器码内存地址包括：
获取目标函数所在类类型，以获取该目标函数的句柄；
根据该目标函数的句柄编译所述目标函数，以获取该目标函数的机器码内存地址。
4.根据权利要求3所述的方法，其特征在于，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑包括：
根据所获取的目标函数的机器码内存地址，在目标函数处安装挂钩，以使目标函数跳转到预定义的挂钩函数，所述挂钩函数包含对应目标函数的恶意代码检测逻辑；
在预定义的跳板函数处安装挂钩,所述跳板函数使得当挂钩函数执行完恶意代码检测后，调回原始的目标函数。
5.根据权利要求4所述的方法，其特征在于，所述通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，包括：
获取输入参数的地址；若所调用目标函数待修改的地址与输入参数的地址相同，并且写入字节数据并非预设的字节数据，则判断为恶意代码；否则，执行该目标函数；
或者，
通过栈回溯判断目标函数的上层函数是否是具有下载功能的函数，并通过该目标函数的参数获取网络连接的地址；若是，并且该地址不在预设的白名单范围内，则判断为恶意代码；否则，执行调回该目标函数继续执行；
或者，
获取目标函数的目标字段名称和该目标字段的设置值；若该目标字段的设置值为真，则判定为恶意操作；若否，则继续执行该目标函数；
或者，
获取目标函数调用的所有API函数；通过对所述所有API函数进行分析以判定是否为恶意操作。
6.一种恶意代码检测装置，其特征在于，包括自定义程序集生成及加载模块、挂钩安装模块和判断模块；其中，
所述自定义程序集生成及加载模块，用于生成并加载预设的自定义程序集，所述自定义程序集中包括安装挂钩与恶意代码检测的逻辑；
所述挂钩安装模块，用于获取目标函数的机器码内存地址，根据所述机器码内存地址安装所述挂钩与恶意代码检测的逻辑；
所述判断模块，用于执行脚本命令时，通过所调用目标函数中的挂钩与恶意代码检测的逻辑判断该脚本命令是否存在恶意代码。
7.根据权利要求6所述的装置，其特征在于，所述自定义程序集生成及加载模块生成并加载所述自定义程序集，包括：
采用预设的派生类取代默认的应用程序域管理器以生成所述自定义程序集，所述派生类的初始化部分包含挂钩代码；
将所述自定义程序集注册到全局程序集缓存；
将目标进程的第一环境变量和第二环境变量设置为所述派生类的程序集和类型名，以加载所述自定义程序集。
8.根据权利要求7所述的装置，其特征在于，所述判断模块通过所调用目标函数中的挂钩判断该脚本命令是否存在恶意代码，包括：
获取输入参数的地址；若所调用目标函数待修改的地址与输入参数的地址相同，并且写入字节数据并非预设的字节数据，则判断为恶意代码；否则，执行该目标函数；
或者，
通过栈回溯判断目标函数的上层函数是否是具有下载功能的函数，并通过该目标函数的参数获取网络连接的地址；若是，并且该地址不在预设的白名单范围内，则判断为恶意代码；否则，执行调回该目标函数继续执行；
或者，
获取目标函数的目标字段名称和该目标字段的设置值；若该目标字段的设置值为真，则判定为恶意操作；若否，则继续执行该目标函数；
或者，
获取目标函数调用的所有API函数；通过对所述所有API函数进行分析以判定是否为恶意操作。
9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，其特征在于，所述处理器执行所述程序时实现如权利要求1-5中任一项所述的方法。
10.一种计算机可读存储介质，其上存储有计算机可执行指令，其特征在于，所述可执行指令被处理器执行时实现如权利要求1-5中任一项所述的方法。
CN202210281367.XA 2022-03-21 2022-03-21 一种恶意代码检测方法、装置、电子设备和存储介质 Active CN114707150B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210281367.XA CN114707150B (zh) 2022-03-21 2022-03-21 一种恶意代码检测方法、装置、电子设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210281367.XA CN114707150B (zh) 2022-03-21 2022-03-21 一种恶意代码检测方法、装置、电子设备和存储介质

Publications (2)

Publication Number Publication Date
CN114707150A true CN114707150A (zh) 2022-07-05
CN114707150B CN114707150B (zh) 2023-05-09

Family

ID=82168589

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210281367.XA Active CN114707150B (zh) 2022-03-21 2022-03-21 一种恶意代码检测方法、装置、电子设备和存储介质

Country Status (1)

Country Link
CN (1) CN114707150B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115795444A (zh) * 2023-01-31 2023-03-14 北京微步在线科技有限公司 一种mssql后门的检测方法及装置
CN116318941A (zh) * 2023-03-09 2023-06-23 安芯网盾(北京)科技有限公司 检测注入TomcatUpgrade内存马的方法及装置
CN117891502A (zh) * 2024-03-14 2024-04-16 北京长亭科技有限公司 一种jsp文件解混淆方法、系统、设备及存储介质

Citations (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102819703A (zh) * 2012-07-19 2012-12-12 北京奇虎科技有限公司 用于防护网页攻击的方法和设备
US20150213260A1 (en) * 2014-01-27 2015-07-30 Igloo Security, Inc. Device and method for detecting vulnerability attack in program
CN106682512A (zh) * 2016-11-25 2017-05-17 腾讯科技（深圳）有限公司 一种防止程序被修改的方法及其装置、系统
CN106682493A (zh) * 2015-11-06 2017-05-17 珠海市君天电子科技有限公司 一种防止进程被恶意结束的方法、装置及电子设备
CN107679399A (zh) * 2017-10-19 2018-02-09 郑州云海信息技术有限公司 一种基于容器的恶意代码检测沙盒系统及检测方法
US20180046803A1 (en) * 2016-08-12 2018-02-15 Xiaoning Li Technologies for hardware assisted native malware detection
CN107808096A (zh) * 2017-11-23 2018-03-16 厦门安胜网络科技有限公司 检测apk运行时被注入恶意代码的方法、终端设备及存储介质
CN108985063A (zh) * 2018-07-13 2018-12-11 南方电网科学研究院有限责任公司 一种恶意代码混淆检测方法、系统、计算机设备、介质
CN111177665A (zh) * 2019-12-27 2020-05-19 浙大网新科技股份有限公司 一种新生成可执行文件的安全追溯方法
CN111191227A (zh) * 2019-07-22 2020-05-22 腾讯科技（深圳）有限公司 阻止恶意代码执行的方法和装置
CN111881449A (zh) * 2020-07-31 2020-11-03 北京微步在线科技有限公司 恶意代码辅助分析方法及装置
KR20210000398A (ko) * 2019-06-25 2021-01-05 라인플러스 주식회사 난독화 해제 방법 및 장치
CN112241529A (zh) * 2019-07-16 2021-01-19 腾讯科技（深圳）有限公司 恶意代码检测方法、装置、存储介质和计算机设备

Patent Citations (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102819703A (zh) * 2012-07-19 2012-12-12 北京奇虎科技有限公司 用于防护网页攻击的方法和设备
US20150213260A1 (en) * 2014-01-27 2015-07-30 Igloo Security, Inc. Device and method for detecting vulnerability attack in program
CN106682493A (zh) * 2015-11-06 2017-05-17 珠海市君天电子科技有限公司 一种防止进程被恶意结束的方法、装置及电子设备
US20180046803A1 (en) * 2016-08-12 2018-02-15 Xiaoning Li Technologies for hardware assisted native malware detection
CN106682512A (zh) * 2016-11-25 2017-05-17 腾讯科技（深圳）有限公司 一种防止程序被修改的方法及其装置、系统
CN107679399A (zh) * 2017-10-19 2018-02-09 郑州云海信息技术有限公司 一种基于容器的恶意代码检测沙盒系统及检测方法
CN107808096A (zh) * 2017-11-23 2018-03-16 厦门安胜网络科技有限公司 检测apk运行时被注入恶意代码的方法、终端设备及存储介质
CN108985063A (zh) * 2018-07-13 2018-12-11 南方电网科学研究院有限责任公司 一种恶意代码混淆检测方法、系统、计算机设备、介质
KR20210000398A (ko) * 2019-06-25 2021-01-05 라인플러스 주식회사 난독화 해제 방법 및 장치
CN112241529A (zh) * 2019-07-16 2021-01-19 腾讯科技（深圳）有限公司 恶意代码检测方法、装置、存储介质和计算机设备
CN111191227A (zh) * 2019-07-22 2020-05-22 腾讯科技（深圳）有限公司 阻止恶意代码执行的方法和装置
CN111177665A (zh) * 2019-12-27 2020-05-19 浙大网新科技股份有限公司 一种新生成可执行文件的安全追溯方法
CN111881449A (zh) * 2020-07-31 2020-11-03 北京微步在线科技有限公司 恶意代码辅助分析方法及装置

Non-Patent Citations (5)

* Cited by examiner, † Cited by third party
Title
HENG YIN 等: "hooking Behavior Analysis", 《AUTOMATIC MALWARE ANALYSIS》 *
ORI OR-MEIR 等: "Dynamic Malware Analysis in the Modern Era—A State of the Art Survey", 《ACM COMPUTING SURVEYS》 *
何博远: "逻辑漏洞检测与软件行为分析关键技术研究", 《中国优秀博士学位论文全文数据库 信息科技辑》 *
张海鹏: "恶意代码的行为分析", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *
李海才: "Hook技术在监控与安全防护领域的应用与研究", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115795444A (zh) * 2023-01-31 2023-03-14 北京微步在线科技有限公司 一种mssql后门的检测方法及装置
CN115795444B (zh) * 2023-01-31 2023-05-05 北京微步在线科技有限公司 一种mssql后门的检测方法及装置
CN116318941A (zh) * 2023-03-09 2023-06-23 安芯网盾(北京)科技有限公司 检测注入TomcatUpgrade内存马的方法及装置
CN116318941B (zh) * 2023-03-09 2023-10-10 安芯网盾(北京)科技有限公司 检测注入TomcatUpgrade内存马的方法及装置
CN117891502A (zh) * 2024-03-14 2024-04-16 北京长亭科技有限公司 一种jsp文件解混淆方法、系统、设备及存储介质
CN117891502B (zh) * 2024-03-14 2024-05-24 北京长亭科技有限公司 一种jsp文件解混淆方法、系统、设备及存储介质

Also Published As

Publication number Publication date
CN114707150B (zh) 2023-05-09

Similar Documents

Publication Publication Date Title
US11003764B2 (en) System and method for exploiting attack detection by validating application stack at runtime
US10887328B1 (en) System and method for detecting interpreter-based exploit attacks
CN114707150B (zh) 一种恶意代码检测方法、装置、电子设备和存储介质
US8904537B2 (en) Malware detection
US9858417B2 (en) Detecting malicious computer code in an executing program module
KR100645983B1 (ko) 불법 프로세스 검출 모듈 및 그 방법
US6907396B1 (en) Detecting computer viruses or malicious software by patching instructions into an emulator
US20150213260A1 (en) Device and method for detecting vulnerability attack in program
US7647636B2 (en) Generic RootKit detector
US7703081B1 (en) Fast system call hooking on x86-64 bit windows XP platforms
US9223964B2 (en) Detecting JAVA sandbox escaping attacks based on JAVA bytecode instrumentation and JAVA method hooking
US20090271867A1 (en) Virtual machine to detect malicious code
Livshits et al. Automatic mediation of {Privacy-Sensitive} resource access in smartphone applications
US20090320129A1 (en) Secure control flows by monitoring control transfers
US7797702B1 (en) Preventing execution of remotely injected threads
KR20010006750A (ko) 호출의 타겟이 동일한 패키지에 속한다고 보증된 자바패키지 내의 호출을 식별하는 방법
US20170078182A1 (en) Method And System For Automated Injection Of Process Type Specific In-Process Agents On Process Startup
JP2010262609A (ja) 効率的なマルウェアの動的解析手法
US20190138715A1 (en) Post sandbox methods and systems for detecting and blocking zero-day exploits via api call validation
CN111309334B (zh) 生成软件安装包的方法、装置、计算机设备及存储介质
CN110968874B (zh) 一种漏洞检测方法、装置、服务器及存储介质
CN109977671B (zh) 一种基于编译器修改的Android锁屏型勒索软件检测方法
US9483645B2 (en) System, method, and computer program product for identifying unwanted data based on an assembled execution profile of code
US9104868B2 (en) System, method, and computer program product for detecting unwanted data based on scanning associated with a payload execution and a behavioral analysis
US11860765B2 (en) Method and system for fuzzing windows kernel by utilizing type information obtained through binary static analysis

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant