CN1818857A

CN1818857A - 计算机程序识别的方法和系统

Info

Publication number: CN1818857A
Application number: CN 200510007680
Authority: CN
Inventors: 刘旭
Original assignee: DONGFANG MICRO-POINT INFORMATION SECURITY Co Ltd FUJIAN
Current assignee: DONGFANG MICRO-POINT INFORMATION SECURITY Co Ltd FUJIAN
Priority date: 2005-02-07
Filing date: 2005-02-07
Publication date: 2006-08-16

Abstract

本发明涉及一种计算机程序识别的方法和系统，其目的在于，提供一种计算机程序识别的方法和系统，通过在程序知识库中查询已知程序的信息，分别对已知程序和未知程序的动作行为进行监控，并将上述信息向用户报告，以使用户对计算机中运行的程序进行了解，而且可以给用户对程序的可靠性进行判断提供依据。对应用程序进行监控并记录其动作行为并向用户报告该程序的动作行为；如果该程序为已知程序，则还要在程序知识库中进行查询，并将已知程序的信息，并将该已知程序的信息连同该程序的动作行为一同报告给用户。

Description

计算机程序识别的方法和系统

技术领域

本发明涉及一种计算机程序识别的方法和系统，其目的在于，提供一种计算机程序识别的方法和系统，通过在程序知识库中查询已知程序的信息，分别对已知程序和未知程序的动作行为进行监控，并将上述信息向用户报告，以使用户对计算机中运行的程序进行了解，而且可以给用户对程序的可靠进行判断提供依据。

背景技术

通常计算机中具有成千上万的大大小小各种各样的程序。用户在使用计算机时，尤其是对于那些计算机专业知识了解较少的用户，对于计算机中运行的程序并不了解，即使是专业的计算机专业人士，也存在相当多的自己并不了解的程序。虽然一部分程序有其自己的帮助说明，但也是对于那些一个大的程序中的某些功能模块的简要说明，并不能使用户了解该软件中的所有程序的信息、功能。对于用户，当遇到自己不认识的程序时，他们最想知道的是这个程序是作什么的，例如，计算机中有播放软件，系统服务软件等等，虽然对于主程序用户可能会知道其功能，当用户遇到由上述主程序调用的子程序、子进程时，就可能不是十分了解了，甚至会以为和上述主程序毫无关系，甚至还会以为是对计算机造成不良影响的有害程序。

因此，对于用户来说，计算机中执行的程序是不透明的，用户并不知道这些程序都做了什么，例如，微软视窗(Microsoft Windows)操作系统中，虽然提供了任务管理器功能，却只能让用户知道，当前正在运行的程序、进程有哪些。但是，当计算机出现异常时，用户通常关心的是近期到底有什么程序侵入，这些程序调用了什么进程，这些进程是由谁调用，并且他们都做了些什么？什么时候做的？例如，程序的来源以及它是执行了网络操作，还是修改注册表操作。但是，用户是不可能从操作系统捆绑的软件中获得任何帮助；并且，现有的系统实时监控软件，也没有向用户提供有关上述方面的支持。

但是，对于一些有一定计算机知识的用户，他们其实是可以通过程序所执行的动作，对该程序是否是有害程序做出判断的，例如，如果一个程序本来就不应该执行网络操作，但是确不停向外部发送数据保，很明显，该程序一定是收到的病毒的攻击，因此用户就可以自行将其结束。

而一些没有计算机知识或计算机知识较少的用户，他们迫切想知道某一程序其功能到底是什么，例如，这些用户，对于微软Office办公软件中包含的几千个文件可能感觉不知所措，那么对于每个文件到底是用来作什么的这些用户会产生很强的好奇心。因此，对于现有的技术来说，并不能满足用户需求。

发明内容

为解决上述问题，满足用户的需要，本发明提供了一种计算机程序识别的方法和系统。其目的在于提供一种计算机程序识别的方法和系统，使用户了解计算机中的程序，并且能够通过程序的来源和动作行为对计算机中的程序是否是有害程序进行判断。

通过本发明的计算机程序识别的方法，是对应用程序进行监控并记录其动作行为并向用户报告该程序的动作行为；如果该程序为已知程序，则还要在程序知识库中进行查询，并将该已知程序的信息连同该程序的动作行为一同报告给用户；

其中，所述程序知识库为，存储已知程序信息的数据库；其内容包括，程序ID、程序类别、程序说明。该程序知识库中已经由开发商收集大量已知程序的信息，但是对于每个用户来说，并不是每个已知程序的信息都是有用的信息，因此在向用户计算机安装数据库时，通过在程序知识库中检索，仅安装用户已经安装的程序的信息，或通过用户自定义安装哪些已知程序的信息。这样，不但提高了用户计算机上执行的效率，而且也减少了用户存储空间的占用。对于那些没有记录在程序知识库中的程序，在此称之“未知程序”。

本发明的计算机程序识别的方法中，所述进行监控、记录的动作行为包括：

监控动作，该动作可能影响计算机安全、需要对其进行实时监控；并且所述监控动作，是计算机程序所执行的常见的动作，是多数的正常程序也必须执行的动作。

所述监控动作包括：文件操作；网络操作；创建进程、创建线程；注册表操作；窗口、托盘操作；堆栈溢出；注入线程；拦截系统API调用以及访问、修改和创建用户帐号。

危险动作，该动作首先是一个监控动作，在程序运行中，该动作可能威胁计算机安全。并且所述危险动作为少数正常程序会执行的动作，并且多数的病毒程序或木马程序需要执行的程序，因此执行这样的动作的程序具有危害性会更大，例如，程序自行改变运行层级，在微软Windows操作系统中，某程序自动从应用级(RING3)提升系统级(RING0)执行，只有少数的正常程序才具有这一特征，但是却是很多具有攻击性的病毒程序所共同具有的特征。

所述危险动作包括：调用SHELL程序；修改程序文件或写程序文件；调用FTP或TFTP；创建FTP或TFTP服务；发送邮件；浏览器或邮件系统自动运行其他程序；创建大量相同线程；修改和创建用户帐号；危险网络操作；向系统注册表添加启动项；修改系统启动文件；向其他进程注入线程；堆栈溢出；应用级进程时自动提升为系统级进程操作；拦截系统API调用。

另外，还包括非监控动作，即不影响计算机安全无需进行监控的动作。例如，修改显示设置、对GDI资源的调用等，这些程序不会对计算机的安全造成影响，因此不进行监控，以减小系统开销。

本发明的计算机程序识别的方法中，对程序的监控、记录通过勾挂系统的API函数调用来实现。现有的操作系统，程序执行时通常需要进行系统提供的API的调用，因此，只需要通过勾挂程序的系统API调用，即可对程序所执行的动作行为进行监控。

如上所述本发明的计算机程序识别的方法，包括如下步骤：

6.1)程序开始执行；

6.2)勾挂程序系统API调用；

6.3)监控程序的动作行为，捕获监控动作和危险动作；

6.4)判断该程序是否是已知程序。

所述步骤6.4)中，如果判断结果是已知程序，则包括如下步骤：

7.1)通过程序知识库查询该已知程序的信息；

7.2)将捕获到的该已知程序的动作行为和查询到的程序信息一同向用户报告。

所述步骤6.4)中，如果判断为未知程序，则包括如下步骤：

8.1)将捕获到的该程序的动作行为向用户报告。

本发明的计算机程序识别的方法，通过升级的方式，向程序知识库添加新的已知程序的信息。

利用本发明的计算机程序识别方法建立的计算机程序识别的系统，包括如下部分：

勾挂模块，勾挂程序系统API调用；

监控模块，监控程序动作行为，捕获程序所执行的监控动作和危险动作；

程序知识库，存储已知程序信息的数据库；其内容包括，程序ID、程序类别、程序说明；

用户接口模块，将程序信息向用户报告；

程序知识库维护模块，向程序知识库添加新程序的信息。

本发明的计算机程序识别的系统中，所述进行监控、记录的动作行为包括：如上所述监控动作、危险动作。

另外，还包括如上所述非监控动作，即不影响计算机安全无需进行监控的动作。

本发明的计算机程序识别的系统，包括如下步骤：

14.1)程序开始执行；

14.2)利用勾挂模块勾挂该程序系统API调用；

14.3)通过监控模块，监控程序动作行为，捕获程序所执行的监控动作和危险动作；

14.4)在程序知识库中检索，判断该程序是否为已知程序。

所述步骤14.4)中，如果检索结果已知程序，则包括如下步骤：

15.1)从程序知识库提取该程序的信息；

15.2)通过用户接口模块，将程序知识库中提取的该程序的信息以及捕获到的该程序的动作行为向用户报告。

所述步骤14.4)中，如果在程序知识库中未检索到该程序，则将该程序判断为未知程序，并进行如下步骤：

16.1)通过用户接口模块，将捕获到的该未知程序的动作行为向用户报告。

本发明的计算机程序识别的方法中，通过程序知识库维护模块，对程序知识库进行升级，向程序知识库添加新的已知程序的信息。

如上所述本发明的计算机程序识别的方法和系统，能够向用户提供完整的计算机程序的信息，包括已知程序的信息，已知程序和未知程序的来源以及动作行为的信息。如上所述的信息，不但可以帮助用户更加了解计算机中各个程序的功能、来源，而且为那些有一定计算机知识的用户提供了人工监控计算机程序执行的方法和系统。因此，本发明对于学习计算机使用、计算机软件知识以及系统监控等方面具有革命性的进步，实现了现有技术所不能够实现的功能。

附图说明

图1为本发明的计算机程序识别方法的流程图。

具体实施方式

下面对本发明的具体实施例进行详细说明。

通过本发明的计算机程序识别的方法，是对应用程序进行监控并记录其动作行为并向用户报告该程序的动作行为；如果该程序为已知程序，则还要在程序知识库中进行查询，并将已知程序的信息，并将该已知程序的信息连同该程序的动作行为一同报告给用户；

如图1所示，为本发明的计算机程序识别方法的流程图，本发明的计算机程序识别的方法，包括如下步骤：

6.1)程序开始执行；

6.2)勾挂程序系统API调用；

6.3)监控程序的动作行为，捕获监控动作和危险动作；

6.4)判断该程序是否是已知程序。

7.1)通过程序知识库查询该已知程序的信息；

所述步骤6.4)中，如果判断为未知程序，则包括如下步骤：

8.1)将捕获到的该程序的动作行为向用户报告。

勾挂模块，勾挂程序系统API调用；

用户接口模块，将程序信息向用户报告；

程序知识库维护模块，向程序知识库添加新程序的信息。

本发明的计算机程序识别的系统，包括如下步骤：

14.1)程序开始执行；

14.2)利用勾挂模块勾挂该程序系统API调用；

14.4)在程序知识库中检索，判断该程序是否为已知程序。

15.1)从程序知识库提取该程序的信息；

如上所述本发明的计算机程序识别的方法和系统，能够向用户提供完整的计算机程序的信息，包括已知程序的信息，和已知程序和未知程序的动作行为的信息。如上所述的信息，不但可以帮助用户更加了解计算机中各个程序的功能、来源，而且为那些有一定计算机知识的用户提供了人工监控计算机程序执行的方法和系统。

对于计算机知识很少的用户，往往会对计算机中几千个甚至上万个文件感到不知所措，这些用户，他们可以利用文件名在程序知识库中检索，得知该文件属于什么程序，被什么程序调用，该程序得功能是什么，因此就会在很大程度上避免由于用户对计算机不了解，而删除、更改一些他们认为没有用的文件，而这些文件正是程序所要调用的重要文件，导致程序出现错误，或使操作系统崩溃。因此为用户学习了解计算机软件知识提供了良好的帮助。

对于有一定计算机知识的用户，他们会对计算机中的软件进行理性的维护，因此，这些用户不但需要了解计算机中各程序的功能、调用等信息，而且更需要知道计算机中的程序都做了什么。对于这一部分用户，会对一些来源不明的计算机程序产生怀疑，因此通过本发明的计算机程序识别系统，不但可以使这些用户特别注意那些不属于已知程序的未知程序，并且能够帮助用户了解该未知程序的动作行为，因此，为用户判断该未知程序是否是有害程序提供了依据。

因此，本发明对于学习计算机使用、计算机软件知识以及系统监控等方面具有革命性的进步，实现了现有技术所不能够实现的功能。

综上所述，本发明领域相关工作人员完全可以在不偏离本项发明技术思想的范围内，进行多样的变更以及修改。因此，本项发明的技术性范围并不局限于说明书上的内容，必须要根据权利范围来确定其技术性范围。

Claims

1、一种计算机程序识别的方法，其特征在于：

对应用程序进行监控并记录其动作行为并向用户报告该程序的动作行为；如果该程序为已知程序，则还要在程序知识库中进行查询，并将已知程序的信息，并将该已知程序的信息连同该程序的动作行为一同报告给用户；

所述程序知识库为，存储已知程序信息的数据库；其内容包括，程序ID、程序类别、程序说明。

2、按照权利要求1所述计算机程序识别的方法，其特征在于，所述进行监控、记录的动作行为包括：

监控动作，该动作可能影响计算机安全、需要对其进行实时监控；

危险动作，该动作首先是一个监控动作，在程序运行中，该动作可能威胁计算机安全；

另外，还包括非监控动作，即不影响计算机安全无需进行监控的动作。

3、按照权利要求2所述计算机程序识别的方法，其特征在于，所述监控动作，包括：

文件操作；网络操作；创建进程、创建线程；注册表操作；窗口、托盘操作；堆栈溢出；注入线程；拦截系统API调用以及访问、修改和创建用户帐号。

4、按照权利要求2所述计算机程序识别的方法，其特征在于，所述危险动作包括：

调用SHELL程序；修改程序文件或写程序文件；调用FTP或TFTP；创建FTP或TFTP服务；发送邮件；浏览器或邮件系统自动运行其他程序；创建大量相同线程；修改和创建用户帐号；危险网络操作；向系统注册表添加启动项；修改系统启动文件；向其他进程注入线程；堆栈溢出；应用级进程时自动提升为系统级进程操作；拦截系统API调用。

5、按照权利要求1所述计算机程序识别的方法，其特征在于：对程序的监控、记录通过勾挂系统的API函数调用来实现。

6、按照权利要求1所述计算机程序识别的方法，其特征在于，包括如下步骤：

6.1)程序开始执行；

6.2)勾挂程序系统API调用；

6.3)监控程序的动作行为，捕获监控动作和危险动作；

6.4)判断该程序是否是已知程序。

7、按照权利要求1或2所述计算机程序识别的方法，其特征在于，所述步骤6.4)中，如果判断结果是已知程序，则包括如下步骤：

7.1)通过程序知识库查询该已知程序的信息；

8、按照权利要求1或6所述计算机程序识别的方法，其特征在于，所述步骤6.4)中，如果判断为未知程序，则包括如下步骤：

8.1)将捕获到的该程序的动作行为向用户报告。

9、按照权利要求1所述计算机程序识别的方法，其特征在于：通过升级的方式，向程序知识库添加新的已知程序的信息。

10、一种计算机程序识别的系统，其特征在于包括如下部分：

勾挂模块，勾挂程序系统API调用；

用户接口模块，将程序信息向用户报告；

程序知识库维护模块，向程序知识库添加新程序的信息。

11、按照权利要求10所述计算机程序识别的系统，其特征在于，所述进行监控、记录的动作行为包括：

12、按照权利要求11所述计算机程序识别的系统，其特征在于，所述监控动作，包括：

13、按照权利要求11所述计算机程序识别的系统，其特征在于，所述危险动作包括：

14、按照权利要求10计算机程序识别的系统，其特征在于包括如下步骤：

14.1)程序开始执行；

14.2)利用勾挂模块勾挂该程序系统API调用；

14.4)在程序知识库中检索，判断该程序是否为已知程序。

15、按照权利要求14所述计算机程序识别的系统，其特征在于，所述步骤14.4)中，如果检索结果为已知程序，则包括如下步骤：

15.1)从程序知识库提取该程序的信息；

16、按照权利要求14所述计算机程序识别的系统，其特征在于，所述步骤14.4)中，如果在程序知识库中未检索到该程序，则将该程序判断为未知程序，并进行如下步骤：

17、按照权利要求10所述计算机程序识别的系统，其特征在于，通过程序知识库维护模块，对程序知识库进行升级，向程序知识库添加新的已知程序的信息。