WO2014048367A1 - 对主引导记录恶意程序进行处理的方法及装置 - Google Patents

对主引导记录恶意程序进行处理的方法及装置 Download PDF

Info

Publication number
WO2014048367A1
WO2014048367A1 PCT/CN2013/084467 CN2013084467W WO2014048367A1 WO 2014048367 A1 WO2014048367 A1 WO 2014048367A1 CN 2013084467 W CN2013084467 W CN 2013084467W WO 2014048367 A1 WO2014048367 A1 WO 2014048367A1
Authority
WO
WIPO (PCT)
Prior art keywords
malicious
disk
boot record
driver
master boot
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2013/084467
Other languages
English (en)
French (fr)
Inventor
邵坚磊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Qihoo Technology Co Ltd
Qizhi Software Beijing Co Ltd
Original Assignee
Beijing Qihoo Technology Co Ltd
Qizhi Software Beijing Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CN201210375717.5A external-priority patent/CN102930201B/zh
Priority claimed from CN201210380353.XA external-priority patent/CN102867141B/zh
Application filed by Beijing Qihoo Technology Co Ltd, Qizhi Software Beijing Co Ltd filed Critical Beijing Qihoo Technology Co Ltd
Publication of WO2014048367A1 publication Critical patent/WO2014048367A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements

Definitions

  • the present invention relates to the field of computer security technologies, and in particular, to a method and apparatus for processing a master boot record malicious program. Background technique
  • the master boot record (MBR) of the disk is located on the 0 head of the disk. 0 sector 1 sector. There is a fixed size storage area, which is the first area read by the computer after accessing the disk.
  • the master boot record typically consists of three parts: the main boot program, the disk partition table, and the end flag word. Among them, the main boot program is used to check whether the partition table is correct when the computer starts, and hand over control to the system boot program on the disk after the system hardware completes the self-test.
  • the main boot program in the MBR has independence from the operating system.
  • the general calculation startup process is to perform a self-test after the computer is powered on, and when it is determined that the disk is used as the startup source, the basic The input/output system reads the MBR into the memory, and the control is given to the main boot program.
  • the master boot program checks the partition table, finds the active partition, and then passes control to the system boot program of the active partition, which is loaded by the system boot program. operating system.
  • the loading of the main bootloader and the loading of the operating system are two relatively independent processes throughout the process, so the main bootloader in the MBR has independence from the operating system, that is, the main bootloader in the MBR is loaded before the operating system. And does not depend on, nor belongs to the operating system.
  • the MBR area has become the object of some malicious programs, and the "ghost" virus is the representative.
  • the virus is hosted in the master boot record of the disk, can be booted before the computer is booted, and can cause the infected computer to load another malicious driver B that has been carefully hidden at system startup.
  • the malicious driver B succeeds. After loading, it will implement operations such as shutting down anti-virus software and downloading other malicious programs to achieve theft of user information and damage to the user's computer.
  • the present invention has been made in order to provide a method for processing a master boot record malicious program that overcomes the above problems or at least partially solves the above problems, and a corresponding apparatus for processing a master boot record malicious program.
  • a method for processing a master boot record malicious program including:
  • the secure driver is loaded
  • the read/write data is detected. If it is detected that the read/write data contains malicious code, the return disk read fails to block The link between a malicious program in the master boot record and a malicious driver in the disk partition.
  • loading the security driver includes:
  • the security driver is registered as a system reservation type in the operating system's registry so that the operating system loads the security driver during kernel initialization during startup.
  • the invoking the secure driver after the hard disk initialization is completed includes: when the secure driver is loaded, registering a callback function with the system, so that the secure driver is invoked by the operating system after the hard disk initialization ends .
  • the method further includes:
  • the clearing the malicious program in the master boot record comprises: reconstructing a master boot record.
  • the method further includes:
  • an apparatus for processing a master boot record malicious program including: a loading unit, configured to load a security driver during kernel initialization during startup of the operating system;
  • a calling unit configured to invoke the secure driver after the hard disk initialization is completed
  • a monitoring unit configured to monitor, by the secure driver, a read operation of the disk
  • a detecting unit configured to detect read/write data when a read/write operation to the disk is detected, and if the detected read/write data includes malicious code, return to the disk to read Failed to block the connection between the malicious program in the master boot record and the malicious driver in the disk partition.
  • the loading unit includes:
  • a registry write unit that registers a secure driver as a system reservation type in the operating system's registry so that the operating system loads the secure driver during kernel initialization during startup.
  • the calling unit includes:
  • a callback function registration unit is configured to register a callback function with the system when the secure driver is loaded, so that the secure driver is called by the operating system after the hard disk initialization is completed.
  • the method further includes:
  • a clearing unit configured to clear a malicious program in the master boot record.
  • the clearing unit includes:
  • Rebuild subunit for rebuilding the master boot record.
  • the method further includes:
  • a delete unit is used to delete a malicious driver in the disk partition.
  • an apparatus for processing a master boot record malicious program comprising the apparatus for processing a master boot record malicious program according to any of the preceding claims.
  • the method and apparatus for processing a master boot record malicious program according to the present invention may be capable of initializing MBR, B00TL0ADER, B00TMGR, etc. in an early stage of system startup After that, when the system initializes the kernel, the security driver is loaded, and then the H00K system reads and writes the disk. When the read sector contains malicious code, the return fails, so that the malicious driver cannot be loaded, completely cut off. MBR and the connection with the malicious driver System, the MBR malicious program is completely invalid, and then the residual MBR virion can be easily handled, effectively preventing the damage of such malicious programs to the computer system.
  • FIG. 1 shows a flow chart of a method in accordance with one embodiment of the present invention
  • FIG. 2 shows a schematic diagram of an apparatus in accordance with one embodiment of the present invention.
  • a method for processing a master boot record malicious program includes the following steps:
  • the kernel space consists of four major parts: process management (responsible for allocating CPU time), file access (provisioning the device into a file system, and providing a consistent interface for upper-level program calls), security control (responsible for mandatory processes) Specific permissions and separate memory ranges to avoid conflicts between processes) and memory management (responsible for the allocation, use, release, and reclamation of memory resources while the process is running).
  • process management responsible for allocating CPU time
  • file access provisioning the device into a file system, and providing a consistent interface for upper-level program calls
  • security control responsible for mandatory processes
  • memory management responsible for the allocation, use, release, and reclamation of memory resources while the process is running.
  • the kernel is A data structure, Rootki t technology hides the process, files, network communication and other related information of other programs (such as the registry and system logs that may be generated by modification) by modifying the data structure of the kernel.
  • Bootki t is a more advanced Rootki t. Bootki t bypasses kernel checking and starts stealth by infecting MBR (Master Boot Record). Bootki t is an MBR-based Rootki t. It can be considered that all technologies that load and implement kernel hijacking earlier than the Windows kernel at startup can be called Bootki t, such as later BIOS Rootki t, VBootki t, SMM Rootki t and so on. Since the MBR virus (MBR BOOTKIT) is parasitic in the MBR, the virus release driver can destroy most security tools and system aids. When the system restarts again, the virus program will load earlier than the operating system kernel.
  • MBR Master Boot Record
  • the security driver can be loaded before the hard disk drive is initialized.
  • the system initializes the NT KERNEL.
  • the secure driver is loaded in order to get executed before the malicious driver in the MBR area is loaded.
  • BOOTLOADER is a system boot program that runs before the operating system kernel runs. Through this system boot program, you can initialize the hardware device and establish a memory space map to bring the system's hardware and software environment to a suitable state, in order to prepare the correct environment for the final call of the operating system kernel.
  • BIOS Basic Input Output System
  • BOOTMGR is an acronym for Boot Manager. It is a boot manager used in Windows Vi sta and Windows 7, similar functions, as well as a boot manager in Windows XP, NTLDR, and so on.
  • NT KERNEL is the system kernel.
  • the boot process of the computer system is: Power on self-test 1.
  • the motherboard BIOS starts from the floppy disk, hard disk or CD-ROM drive according to the boot sequence specified by the user.
  • the system BIOS reads the master boot record MBR.
  • the main boot program checks the status of the partition table, looking for the active partition.>
  • the main boot program passes control to the boot record of the active partition, and the boot record is loaded. System startup file.
  • the MBR is powered on by the computer. After the self-test of the motherboard is completed, the first read position is located at the 0 head of the hard disk, and the size of the disk is 512 bytes. It does not belong to any operation. The system cannot be read by the disk operation commands provided by the operating system.
  • DPT disk Partition Table
  • PBR Partition Boot Record
  • the security driver in order to ensure that during the process of starting the operating system, when the kernel is initialized, the security driver is loaded, and the security driver can be registered as the system reservation type in the registry of the operating system (that is, registered as system reserved). This allows the system to load the secure driver as early as possible.
  • the system that comes with the simple file reading and writing system inside the system has already read the file into the memory through INT13 in real mode, and then accesses it in protected mode. So the system will automatically load the driver with BOOT TYPE 0 in the registry into memory without having to go through disk drive and file drive.
  • the security driver After the secure driver is loaded, the security driver needs to be called by the operating program to perform the related operations and play a real role. For this reason, when the security driver is loaded, the callback function can be registered with the system, so that After the hard drive initialization is complete, the operating system immediately calls the secure driver, allowing the secure driver to run immediately.
  • the reason why the callback function is registered with the system is because the secure driver needs to hook up the operation of the hard disk drive, but the operation must be performed after the hard disk drive is initialized, so it is necessary to register a callback function to the system so that the hard disk drive is initialized. , the security driver can get the execution in time.
  • the secure driver can monitor the read operation of the disk. Since the malicious program in the MBR area wants to contact the malicious driver in the disk partition, it needs to read the malicious driver code in the disk partition into the memory, thereby loading the malicious driver in the disk partition. In the process of reading into the memory, the disk needs to be read.
  • the security driver in the embodiment of the present invention is loaded earlier than the malicious driver, and therefore, the malicious program reads and writes to the disk. It can be monitored by the secure driver.
  • the H00K disk drive read and write related operations can be used to monitor the disk read and write operations.
  • the security driver can intercept the read data and perform security detection. If it finds that the read data contains malicious code, it proves that the malicious program in the MBR area may be Read the malicious driver code on the disk, so you can directly return to the disk to read the failure, so that the malicious driver code can not be read into the memory, it can not run, and then, can block malicious programs and disks in the MBR.
  • the connection between the malicious drivers in the partition after the connection between the two is blocked, the malicious programs and malicious drivers in the MBR will not cause any harm to the user's computer even if they still exist. For example, ghost 5, when reading a disk sector, will verify a certain feature code. If it matches, it will think that the code of the malicious driver is read, so that the code will be executed.
  • the malicious program in the MBR can also be cleared, and in addition, the disk partition can be Malicious driver removed. Among them, the malicious driver is saved on the disk, so it can be deleted directly through the disk operation command.
  • the malicious program in the MBR is located in the MBR. Since the MBR is located on the 0 head of the hard disk, the sector 1 is 512 bytes.
  • the malicious program in the MBR is cleared, it can be implemented by rebuilding the MBR or the like.
  • an existing application for MBR reconstruction can be called.
  • the default MBR of the system can be written into the MBR area or the system command FDISK /MBRo to restore the MBR area by using the program in the embodiment of the present invention.
  • the malicious program in the MBR since the malicious program in the MBR is executed after the MBR is executed, it will mount INT13, when loading B00TMGR, perform H00K, and when loading NT KERNEL, perform H00K, and then load its own malicious driver code to complete Self-protection.
  • a malicious program in the MBR will mount the underlying driver ATAPI.SYS and the file system driver NTFS.SYS, which causes the security program to fail to obtain the information of the original disk file or obtain the original MBR information. The false information redirected, that is, after the malicious driver is loaded, it is difficult for the security program to detect and clear it.
  • the system loads the security driver when the NT KERNEL is initialized, and then the H00K system reads and writes the disk operation.
  • the return fails, so that the malicious driver can not be loaded, completely cut off the connection between the MBR and the malicious driver, completely invalidating the MBR malicious program, and thus can easily handle the residual MBR virion.
  • the device for processing the malicious program of the master boot record is provided in the embodiment of the present invention.
  • the embodiment of the present invention further provides a device for processing the malicious program of the master boot record.
  • the device may specifically include:
  • the loading unit 201 is configured to load a security driver when the kernel is initialized during the startup of the operating system
  • the calling unit 202 is configured to invoke the secure driver after the hard disk initialization is completed; and the monitoring unit 203 is configured to perform a read/write operation on the disk by the secure driver after the secure driver is called. monitor;
  • the detecting unit 204 is configured to detect read/write data when the read/write operation of the disk is detected, and return to the disk if it is detected that the read/write data contains malicious code The read failed to block the connection between the malicious program in the master boot record and the malicious driver in the disk partition.
  • the loading unit 201 may include:
  • a registry write unit that registers a secure driver as a system reservation type in the operating system's registry so that the operating system loads the secure driver during kernel initialization during startup.
  • the calling unit 202 can include:
  • a callback function registration unit is configured to register a callback function with the system when the secure driver is loaded, so that the secure driver is called by the operating system after the hard disk initialization is completed.
  • the device may further include:
  • a clearing unit configured to clear a malicious program in the master boot record.
  • the clearing unit includes:
  • Rebuild subunit for rebuilding the master boot record.
  • the device may further include: a deleting unit, configured to delete the malicious driver in the disk partition.
  • the malicious driver code in the disk partition can be deleted using the disk operation command.
  • the system loads the security driver when the kernel is initialized, and then the H00K system reads and writes the disk. Operation, when the read sector contains malicious code, the return fails, so that the malicious driver can not be loaded, completely cut off the connection between the MBR and the malicious driver, completely invalidating the MBR malicious program, and thus can be easily
  • the residual MBR virion is treated.
  • the embodiment of the present invention further provides a method for performing a master boot record malicious program.
  • the device needs to be described.
  • the device can effectively block the MBR through the CPU, the memory, the hard disk, and other related parts, the BIOS, and the like. The destruction of computer systems by malicious programs in the area.
  • modules in the devices of the embodiments can be adaptively changed and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of the features disclosed in the specification, including the accompanying claims, the abstract and the drawings, and any methods so disclosed, or All processes or units of the device are combined.
  • Each feature disclosed in the specification (including the accompanying claims, the abstract and the drawings) may be replaced by the same, equivalent or similar purpose, unless stated otherwise.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some of some or all of the components of the device for processing a master boot record malicious program in accordance with an embodiment of the present invention. Or all features.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the present invention may be stored on a computer readable medium or may have the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Stored Programmes (AREA)

Description

对主引导记录恶意程序进行处理的方法及装置 技术领域
本发明涉及计算机安全技术领域， 特别是涉及对主引导记录恶意 程序进行处理的方法及装置。 背景技术
磁盘的主引导记录 （Master Boot Record , 简称 MBR ) 是位于磁盘 的 0磁头 0磁道 1扇区， 有固定大小的一块存储区域， 是计算机开机 后访问磁盘所读取的首个区域。 主引导记录一般包含三个部分： 主引 导程序、 磁盘分区表、 以及结束标志字。 其中， 主引导程序用来在计 算机启动时检查分区表是否正确， 并且在系统硬件完成自检后将控制 权交给磁盘上的系统引导程序。 MBR中的主引导程序具有相对于操作系 统的独立性， 这种独立性体现在计算机的启动过程中： 一般的计算启 动过程是计算机通电后执行自检， 当确定以磁盘作为启动源后由基本 输入输出系统将 MBR读入内存， 控制权交给其中的主引导程序， 由主 引导程序检查分区表， 找到活动的分区， 而后将控制权交给活动分区 的系统引导程序， 由系统引导程序加载操作系统。 整个过程中主引导 程序的加载和操作系统的加载是两个相对独立的过程， 因此 MBR 中的 主引导程序具有相对于操作系统的独立性， 即 MBR 中的主引导程序先 于操作系统加载， 并且不依赖、 也不属于操作系统。
正是由于 MBR中的主引导程序这种相对于操作系统的独立性， MBR 区域成为了一些恶意程序利用的对象， "鬼影"病毒便是其中的代表。 该病毒寄存于磁盘的主引导记录中， 能够在计算机开机后先于操作系 统启动， 并且能够使受感染的计算机在系统启动时加载经过精心隐藏 的另一个恶意驱动程序 B， 恶意驱动程序 B成功加载后， 会实施关闭杀 毒软件、 下载其他恶意程序等操作， 以实现窃取用户信息、 破坏用户 计算机等不法行为。 由于该病毒寄存于磁盘主引导记录中， 在其成功 运行后， 在操作系统中通常找不到任何异常， 同时由于磁盘的主引导 记录通常不会因重新安装而重写， 导致该病毒甚至能够在用户重新安 装操作系统后依然存在， 并且在计算机启动后仍然能发挥作用， 可见 该病毒的顽固程度。 因此， 迫切需要本领域技术人员解决的技术问题 就在于， 如何有效的阻止此类恶意程序对计算机系统的破坏。 发明内容
鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至 少部分地解决上述问题的对主引导记录恶意程序进行处理的方法和相 应的对主引导记录恶意程序进行处理的装置。
依据本发明的一个方面， 提供了一种对主引导记录恶意程序进行 处理的方法， 包括：
在启动操作系统的过程中， 进行内核初始化时， 加载安全驱动程 序；
在硬盘初始化结束后调用所述安全驱动程序；
通过所述安全驱动程序对磁盘的读取操作进行监控；
当监控到磁盘的读取 /写入操作发生时， 对读取 /写入的数据进行 检测， 如果检测出所述读取 /写入的数据中包含恶意代码， 返回磁盘读 取失败， 以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程 序之间的联系。
可选地， 所述在启动操作系统的过程中， 进行内核初始化时， 加 载安全驱动程序包括：
在操作系统的注册表中将安全驱动程序注册为系统预留类型， 以 便操作系统在启动过程中， 进行内核初始化时， 加载安全驱动程序。
可选地， 所述在硬盘初始化结束后调用所述安全驱动程序包括： 在所述安全驱动程序被加载时， 向系统注册回调函数， 以便在硬 盘初始化结束之后所述安全驱动程序被操作系统调用。
可选地， 还包括：
对所述主引导记录中的恶意程序进行清除。
可选地， 所述对所述主引导记录中的恶意程序进行清除包括： 重建主引导记录。
可选地， 还包括：
对所述磁盘分区中的恶意驱动程序进行删除。
根据本发明的另一方面， 提供了一种对主引导记录恶意程序进行 处理的装置， 包括： 加载单元， 用于在启动操作系统的过程中， 进行内核初始化时， 加载安全驱动程序；
调用单元， 用于在硬盘初始化结束后调用所述安全驱动程序； 监控单元， 用于通过所述安全驱动程序对磁盘的读取操作进行监 控；
检测单元， 用于当监控到磁盘的读取 /写入操作发生时， 对读取 / 写入的数据进行检测， 如果检测出所述读取 /写入的数据中包含恶意代 码， 返回磁盘读取失败， 以阻断主引导记录中的恶意程序与磁盘分区 中的恶意驱动程序之间的联系。
可选地， 所述加载单元包括：
注册表写入单元， 用于在操作系统的注册表中将安全驱动程序注 册为系统预留类型， 以便操作系统在启动过程中， 进行内核初始化时， 加载安全驱动程序。
可选地， 所述调用单元包括：
回调函数注册单元， 用于在所述安全驱动程序被加载时， 向系统 注册回调函数， 以便在硬盘初始化结束之后所述安全驱动程序被操作 系统调用。
可选地， 还包括：
清除单元， 用于对所述主引导记录中的恶意程序进行清除。
可选地， 所述清除单元包括：
重建子单元， 用于重建主引导记录。
可选地， 还包括：
删除单元， 用于对所述磁盘分区中的恶意驱动程序进行删除。
根据本发明的另一方面， 提供了一种对主引导记录恶意程序进行 处理的设备， 包括前述任一项所述的对主引导记录恶意程序进行处理 的装置。
根据本发明提供的具体实施例， 本发明公开了以下技术效果： 根据本发明的对主引导记录恶意程序进行处理的方法及装置， 可 以能够在系统启动的早期阶段， MBR、 B00TL0ADER、 B00TMGR等初始化 好后， 系统在初始化内核的时候， 加载安全驱动程序， 然后 H00K系统 读写磁盘的操作， 当读取的扇区内包含恶意代码的时候， 返回失败， 从而让恶意驱动无法被加载， 完全切断了 MBR和与恶意驱动之间的联 系， 使 MBR恶意程序完全失效， 进而可以轻易的处理残留的 MBR病毒 体， 有效的阻止此类恶意程序对计算机系统的破坏。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发 明的技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明 的上述和其它目的、 特征和优点能够更明显易懂， 以下特举本发明的 具体实施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处 对于本领域普通技术人员将变得清楚明了。 附图仅用于示出优选实施 方式的目的， 而并不认为是对本发明的限制。 而且在整个附图中， 用 相同的参考符号表示相同的部件。 在附图中：
图 1示出了根据本发明一个实施例的方法的流程图； 以及 图 2示出了根据本发明一个实施例的装置的示意图。 具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。 虽然附图 中显示了本公开的示例性实施例， 然而应当理解， 可以以各种形式实 现本公开而不应被这里阐述的实施例所限制。 相反， 提供这些实施例 是为了能够更透彻地理解本公开， 并且能够将本公开的范围完整的传 达给本领域的技术人员。
参见图 1，本发明实施例提供的对主引导记录恶意程序进行处理的 方法包括以下步骤：
S101 : 在启动操作系统的过程中， 进行内核初始化时， 加载安全 驱动程序；
在现代操作系统中， 应用程序不能直接访问硬件， 而是通过调用 操作系统提供的接口来使用硬件， 而操作系统依赖内核空间来管理和 调度这些应用。 内核空间由四大部分组成， 分别是： 进程管理 （负责 分配 CPU 时间） 、 文件访问 （把设备调配成文件系统， 并提供一个一 致的接口供上层程序调用） 、 安全控制 （负责强制规定各个进程的具 体的权限和单独的内存范围， 避免各进程之间发生冲突） 和内存管理 (负责进程运行时对内存资源的分配、 使用、 释放和回收） 。 内核是 一种数据结构， Rootki t技术通过修改内核的数据结构来隐藏其他程序 的进程、 文件、 网络通讯和其它相关信息 （比如注册表和可能因修改 而产生的系统日志等） 。
Bootki t是更高级的 Rootki t , Bootki t通过感染 MBR (Master Boot Record , 磁盘主引导记录） 的方式， 实现绕过内核检查和启动隐身， 即 Bootki t是一种基于 MBR的 Rootki t。 可以认为， 所有在开机时比 Windows内核更早加载、实现内核劫持的技术，都可以称之为 Bootki t , 例如后来的 BIOS Rootki t 、 VBootki t、 SMM Rootki t等。 由于 MBR病 毒 （MBR BOOTKIT ) 寄生在 MBR中， 病毒释放的驱动程序， 能够破坏大 多数安全工具和系统辅助工具， 当系统再次重启时， 该病毒程序会早 于操作系统内核先行加载。
为了能够对抗这种 MBR病毒， 就需要在 MBR病毒加载恶意驱动之 前， 加载安全驱动程序。 为了达到该目的， 在本发明实施例中， 就可 以在硬盘驱动初始化之前加载安全驱动程序，具体实现时，可以在 MBR、 BOOTLOADER, BOOTMGR等初始化好后，系统在初始化 NT KERNEL的时候， 就对安全驱动程序进行加载， 以期赶在 MBR 区的恶意驱动程序加载之 前获得执行。
其中， BOOTLOADER就是在操作系统内核运行之前运行的一段系统 引导程序。 通过这段系统引导程序， 可以初始化硬件设备、 建立内存 空间映射图， 从而将系统的软硬件环境带到一个合适状态， 以便为最 终调用操作系统内核准备好正确的环境。 在嵌入式系统中， 通常并没 有像 BIOS ( Bas ic Input Output System, 基本输入输出系统） 那样的 固件程序 （有的嵌入式 CPU也会内嵌一段短小的启动程序） ， 因此整 个系统的加载启动任务就完全由 BootLoader来完成。 BOOTMGR是 Boot Manager的缩写， 是在 Windows Vi sta和 Windows 7中使用的启动管理 器， 类似功能的， 还有 Windows xp 中的启动管理器一 NTLDR, 等等。 NT KERNEL是系统内核。
以 Windows系统为例， 正常情况下， 计算机系统的开机过程是： 开机通电自检一〉主板 BIOS 根据用户指定的启动顺序从软盘、 硬 盘或光驱进行启动一〉系统 BIOS将主引导记录 MBR读入内存一〉控制权 交给主引导程序一〉主引导程序检查分区表状态， 寻找活动的分区一〉 主引导程序将控制权交给活动分区的引导记录， 由引导记录加载操作 系统启动文件。
由上可知， MBR是电脑通电开机， 主板自检完成后， 被第一个读取 到的位置， 位于硬盘的 0磁头 0磁道 1扇区， 它的大小是 512字节， 不属于任何一个操作系统， 也不能用操作系统提供的磁盘操作命令来 读取。
当电脑加电后， 首先是启动 BIOS程序， BIOS自检完毕后， 找到硬 盘上的主引导记录 MBR， MBR读取 DPT ( Disk Partition Table , 硬盘 分区表） ， 从中找出活动的主分区， 然后读取活动主分区的 PBR ( Partition Boot Record, 分区引导记录） ， PBR再搜寻分区内的启 动管理器文件 B00TMGR , 在 BOOTMGR 被找到后， 控制权就交给了 BOOTMGR。 BOOTMGR 读取 \B00T\BCD 文件 ( BCD=Boot Configuration Data ， 启动配置数据） ， 如果存在着多个操作系统并且选择操作系统 的等待时间不为 0， 这时就会在显示器上显示操作系统的选择界面。如 果选择启 动 Windows 7 后 ， BOOTMGR 就会去启 动盘寻找 WIND0WS\system32\winload. exe，然后通过 winload. exe力口载 Windows7 内核， 从而启动整个 Windows7系统。 总之， 在 Windows7操作系统中， 可以把这个过程简单地概括为： BIOS- -〉 MBR- -〉 DPT- -〉 PBR- -〉 BOOTMGR- -〉 BCD- -〉 Winload. exe- -〉内核加载 --〉整个 windows7系统。 在内核加载之后， 启动整个 Windows7系统时， 需要先对内核进行初始 化， 然后对硬盘进行初始化， 而在本发明实施例中， 就是在上述对内 核进行初始化的环节中， 加载安全驱动程序。
具体实现时， 为了能够保证启动操作系统的过程中， 进行内核初 始化时， 加载安全驱动程序， 可以在操作系统的注册表中将安全驱动 程序注册为系统预留类型 （也即注册为 system reserved ) ， 这样可以 使得系统能够最早加载该安全驱动程序。 另外， 系统内部自带的简单 的文件读写的系统， 在实模式下就已经通过 INT13读取文件到内存中， 然后在保护模式下访问。 所以系统会自动加载注册表中 BOOT TYPE为 0 的驱动到内存中， 而无需通过磁盘驱动和文件驱动。
S102 : 在硬盘初始化结束后调用所述安全驱动程序；
安全驱动程序被加载之后， 需要由操作程序来调用该安全驱动程 序， 才能执行相关的操作， 发挥出真正的作用。 为此， 具体实现时， 可以在安全驱动程序被加载时， 向系统注册回调函数， 这样就能够在 硬盘驱动初始化结束之后， 操作系统马上调用安全驱动程序， 使得安 全驱动程序立即得以运行。
之所以要向系统注册回调函数， 是因为， 安全驱动程序需要挂钩 硬盘驱动的操作， 但该操作也要等硬盘驱动初始化好以后才能执行， 所以需要向系统注册一个回调函数， 以便硬盘驱动初始化后， 安全驱 动程序能及时获得执行操作。
S 103 : 在所述安全驱动程序被调用后， 通过所述安全驱动程序对 磁盘的读取 /写入操作进行监控；
安全驱动程序在获得执行之后， 就可以对磁盘的读取操作进行监 控。 由于 MBR 区的恶意程序要想与磁盘分区中的恶意驱动程序取得联 系， 就需要将磁盘分区中的恶意驱动代码读入内存， 从而加载运行恶 意驱动程序， 而在将磁盘分区中的恶意驱动代码读入内存的过程中， 就需要对磁盘进行读取； 另一方面， 本发明实施例中的安全驱动程序 又是早于恶意驱动程序加载的， 因此， 恶意程序读取及写入磁盘的操 作就能被安全驱动程序监控到。 具体实现时， 可以通过 H00K磁盘驱动 的读写的相关操作， 来实现对磁盘读写操作的监控。
S 104 : 当监控到磁盘的读取 /写入操作发生时， 对读取 /写入的数 据进行检测， 如果检测出所述读取 /写入的数据中包含恶意代码， 返回 磁盘读取失败， 以阻断主引导记录中的恶意程序与磁盘分区中的恶意 驱动程序之间的联系。
安全驱动程序在监控到磁盘读取操作之后， 就可以对读取的数据 进行拦截， 并进行安全性检测， 如果发现读取的数据中包含有恶意代 码， 就证明可能是 MBR区的恶意程序正在读取磁盘中的恶意驱动代码， 因此， 就可以直接返回磁盘读取失败， 使得恶意驱动代码无法被读取 到内存中， 也就无法运行， 进而， 就可以阻断 MBR 中的恶意程序与磁 盘分区中的恶意驱动程序之间的联系， 这两者之间的联系被阻断之后， MBR中的恶意程序与恶意驱动程序即使依然存在，也不会对用户的计算 机产生任何的危害。 比如鬼影 5， 在读取磁盘扇区时候， 会验证某特征 码， 如果符合， 则认为读到恶意驱动的代码， 从而会执行该代码， 通 过修改这些， 让其认为没有读到， 即可跳过， 避免运行恶意代码。 其 中， 检测被读取的数据中是否存在恶意代码的相关实现可以参见已有 技术中的方法， 这里不再赘述。 当然， 为了进一步保证用户计算机的安全， 在阻断 MBR 中的恶意 程序与磁盘中的恶意驱动程序之间的联系之后， 还可以将 MBR 中的恶 意程序清除， 此外， 还可以将磁盘分区中的恶意驱动程序删除。 其中， 恶意驱动程序就在保存在磁盘上， 因此直接通过磁盘操作命令进行删 除即可。 但 MBR中的恶意程序是位于 MBR中， 由于 MBR位于硬盘的 0 磁头 0磁道 1扇区， 它的大小是 512字节， 不属于任何一个操作系统， 也不能用操作系统提供的磁盘操作命令来读取， 因此， 在对 MBR 中的 恶意程序进行清除时， 可以通过重建 MBR等方式来实现。 其中， 关于 如何进行 MBR的重建， 可以调用已有的用于进行 MBR重建的应用程序。 具体实现时， 可以通过本发明实施例中的程序， 将系统默认的 MBR 写 入 MBR区， 或系统的命令 FDISK /MBRo 来恢复 MBR区。
总之， 由于 MBR中的恶意程序在 MBR获得执行后， 会挂接 INT13 , 在加载 B00TMGR的时候， 进行 H00K, 并在加载 NT KERNEL的时候， 进 行 H00K ，然后加载自己的恶意驱动代码， 从而实现完整的自我保护。 例如， MBR中的恶意程序会挂接系统底层驱动 ATAPI. SYS和文件系统驱 动 NTFS. SYS , 这导致安全程序根本无法获得原始磁盘文件的信息， 也 无法获得原始 MBR 的信息， 获得的都是被重定向的虚假信息， 也就是 说恶意驱动加载后， 安全程序就很难再对其进行检测和清除。
因此， 本发明实施例所要做的就是在系统启动的早期阶段， MBR、 B00TL0ADER、 B00TMGR等初始化好后，系统在初始化 NT KERNEL的时候， 加载安全驱动程序， 然后 H00K系统读写磁盘的操作， 当读取的扇区内 包含恶意代码的时候， 返回失败， 从而让恶意驱动无法被加载， 完全 切断了 MBR和与恶意驱动之间的联系， 使 MBR恶意程序完全失效， 进 而可以轻易的处理残留的 MBR病毒体。
与本发明实施例提供的对主引导记录恶意程序进行处理的方法相 对应， 本发明实施例还提供了一种对主引导记录恶意程序进行处理的 装置， 参见图 2， 该装置具体可以包括：
加载单元 201，用于在启动操作系统的过程中，进行内核初始化时， 加载安全驱动程序；
调用单元 202， 用于在硬盘初始化结束后调用所述安全驱动程序； 监控单元 203， 用于在所述安全驱动程序被调用后， 通过所述安全 驱动程序对磁盘的读取 /写入操作进行监控； 检测单元 204， 用于当监控到磁盘的读取 /写入操作发生时， 对读 取 /写入的数据进行检测， 如果检测出所述读取 /写入的数据中包含恶 意代码， 返回磁盘读取失败， 以阻断主引导记录中的恶意程序与磁盘 分区中的恶意驱动程序之间的联系。
具体实现时， 加载单元 201可以包括：
注册表写入单元， 用于在操作系统的注册表中将安全驱动程序注 册为系统预留类型， 以便操作系统在启动过程中， 进行内核初始化时， 加载安全驱动程序。
调用单元 202可以包括：
回调函数注册单元， 用于在所述安全驱动程序被加载时， 向系统 注册回调函数， 以便在硬盘初始化结束之后所述安全驱动程序被操作 系统调用。
为了进一步保证用户计算机的安全， 在阻断 MBR 中的恶意程序与 磁盘中的恶意驱动程序之间的联系之后， 还可以将 MBR 中的恶意程序 清除， 此时， 该装置还可以包括：
清除单元， 用于对所述主引导记录中的恶意程序进行清除。
由于 MBR位于硬盘的 0磁头 0磁道 1扇区， 它的大小是 512字节， 不属于任何一个操作系统， 也不能用操作系统提供的磁盘操作命令来 读取， 因此， 在对 MBR 中的恶意程序进行清除时， 可以通过重建 MBR 等方式来实现， 相应的， 所述清除单元包括：
重建子单元， 用于重建主引导记录。
另外， 为了进一步保证用户计算机的安全， 该装置还可以包括： 删除单元， 用于对所述磁盘分区中的恶意驱动程序进行删除。
由于恶意驱动程序就保存在磁盘分区中， 因此， 可以使用磁盘操 作命令对磁盘分区中的恶意驱动程序代码删除。
总之， 在本发明实施例提供的上述装置中， 能够在系统启动的早 期阶段， MBR、 B00TL0ADER、 B00TMGR等初始化好后， 系统在初始化内 核的时候， 加载安全驱动程序， 然后 H00K系统读写磁盘的操作， 当读 取的扇区内包含恶意代码的时候， 返回失败， 从而让恶意驱动无法被 加载， 完全切断了 MBR和与恶意驱动之间的联系， 使 MBR恶意程序完 全失效， 进而可以轻易的处理残留的 MBR病毒体。
此外， 本发明实施例还提供了一种对主引导记录恶意程序进行处 理的设备， 需要说明的是， 在具体实现时， 针对上述对主引导记录恶 意程序进行处理的设备， ， 所述设备通过 CPU、 内存、 硬盘以及其他相 关部分， BIOS等， 可以有效的阻止 MBR区域中出现的恶意程序对计算 机系统的破坏。
在此提供的算法和显示不与任何特定计算机、 虚拟系统或者其它 设备固有相关。 各种通用系统也可以与基于在此的示教一起使用。 根 据上面的描述， 构造这类系统所要求的结构是显而易见的。 此外， 本 发明也不针对任何特定编程语言。 应当明白， 可以利用各种编程语言 实现在此描述的本发明的内容， 并且上面对特定语言所做的描述是为 了披露本发明的最佳实施方式。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理 解， 本发明的实施例可以在没有这些具体细节的情况下实践。 在一些 实例中， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本说 明书的理解。
类似地， 应当理解， 为了精简本公开并帮助理解各个发明方面中 的一个或多个， 在上面对本发明的示例性实施例的描述中， 本发明的 各个特征有时被一起分组到单个实施例、 图、 或者对其的描述中。 然 而， 并不应将该公开的方法解释成反映如下意图： 即所要求保护的本 发明要求比在每个权利要求中所明确记载的特征更多的特征。 更确切 地说， 如下面的权利要求书所反映的那样， 发明方面在于少于前面公 开的单个实施例的所有特征。 因此， 遵循具体实施方式的权利要求书 由此明确地并入该具体实施方式， 其中每个权利要求本身都作为本发 明的单独实施例。
本领域那些技术人员可以理解， 可以对实施例中的设备中的模块 进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个 设备中。 可以把实施例中的模块或单元或组件组合成一个模块或单元 或组件， 以及此外可以把它们分成多个子模块或子单元或子组件。 除 了这样的特征和 /或过程或者单元中的至少一些是相互排斥之外， 可以 采用任何组合对本说明书 （包括伴随的权利要求、 摘要和附图） 中公 开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进 行组合。 除非另外明确陈述， 本说明书 （包括伴随的权利要求、 摘要 和附图） 中公开的每个特征可以由提供相同、 等同或相似目的的替代 特征来代替。
此外， 本领域的技术人员能够理解， 尽管在此所述的一些实施例 包括其它实施例中所包括的某些特征而不是其它特征， 但是不同实施 例的特征的组合意味着处于本发明的范围之内并且形成不同的实施 例。 例如， 在下面的权利要求书中， 所要求保护的实施例的任意之一 都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多 个处理器上运行的软件模块实现， 或者以它们的组合实现。 本领域的 技术人员应当理解， 可以在实践中使用微处理器或者数字信号处理器 ( DSP )来实现根据本发明实施例的对主引导记录恶意程序进行处理的 设备中的一些或者全部部件的一些或者全部功能。 本发明还可以实现 为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序 (例如， 计算机程序和计算机程序产品） 。 这样的实现本发明的程序 可以存储在计算机可读介质上， 或者可以具有一个或者多个信号的形 式。 这样的信号可以从因特网网站上下载得到， 或者在载体信号上提 供， 或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行 限制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可 设计出替换实施例。 在权利要求中， 不应将位于括号之间的任何参考 符号构造成对权利要求的限制。 单词 "包含" 不排除存在未列在权利 要求中的元件或步骤。 位于元件之前的单词 "一" 或 "一个" 不排除 存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件 以及借助于适当编程的计算机来实现。 在列举了若干装置的单元权利 要求中， 这些装置中的若干个可以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等的使用不表示任何顺序。 可将这些单词 解释为名称。

Claims

权 利 要 求
1、 一种对主引导记录恶意程序进行处理的方法， 包括：
在启动操作系统的过程中， 进行内核初始化时， 加载安全驱动程 序；
在硬盘初始化结束后调用所述安全驱动程序；
通过所述安全驱动程序对磁盘的读取操作进行监控；
当监控到磁盘的读取 /写入操作发生时， 对读取 /写入的数据进行 检测， 如果检测出所述读取 /写入的数据中包含恶意代码， 返回磁盘读 取失败， 以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程 序之间的联系。
2、 根据权利要求 1所述的方法， 所述在启动操作系统的过程中， 进行内核初始化时， 加载安全驱动程序包括：
在操作系统的注册表中将安全驱动程序注册为系统预留类型， 以 便操作系统在启动过程中， 进行内核初始化时， 加载安全驱动程序。
3、 根据权利要求 1或 2所述的方法， 所述在硬盘初始化结束后调 用所述安全驱动程序包括：
在所述安全驱动程序被加载时， 向系统注册回调函数， 以便在硬 盘初始化结束之后所述安全驱动程序被操作系统调用。
4、 根据权利要求 1或 2所述的方法， 还包括：
对所述主引导记录中的恶意程序进行清除。
5、 根据权利要求 4所述的方法， 所述对所述主引导记录中的恶意 程序进行清除包括：
重建主引导记录。
6、 根据权利要求 1或 2所述的方法， 还包括：
对所述磁盘分区中的恶意驱动程序进行删除。
7、 一种对主引导记录恶意程序进行处理的装置， 包括：
加载单元， 用于在启动操作系统的过程中， 进行内核初始化时， 加载安全驱动程序；
调用单元， 用于在硬盘初始化结束后调用所述安全驱动程序； 监控单元， 用于通过所述安全驱动程序对磁盘的读取操作进行监 控； 检测单元， 用于当监控到磁盘的读取 /写入操作发生时， 对读取 / 写入的数据进行检测， 如果检测出所述读取 /写入的数据中包含恶意代 码， 返回磁盘读取失败， 以阻断主引导记录中的恶意程序与磁盘分区 中的恶意驱动程序之间的联系。
8、 根据权利要求 7所述的装置， 所述加载单元包括：
注册表写入单元， 用于在操作系统的注册表中将安全驱动程序注 册为系统预留类型， 以便操作系统在启动过程中， 进行内核初始化时， 加载安全驱动程序。
9、 根据权利要求 7或 8所述的装置， 所述调用单元包括： 回调函数注册单元， 用于在所述安全驱动程序被加载时， 向系统 注册回调函数， 以便在硬盘初始化结束之后所述安全驱动程序被操作 系统调用。
10、 根据权利要求 7或 8所述的装置， 还包括：
清除单元， 用于对所述主引导记录中的恶意程序进行清除。
11、 根据权利要求 10所述的装置， 所述清除单元包括：
重建子单元， 用于重建主引导记录。
12、 根据权利要求 7或 8所述的装置， 还包括：
删除单元， 用于对所述磁盘分区中的恶意驱动程序进行删除。
13、 一种对主引导记录恶意程序进行处理的设备， 包括权利要求 7 至 12任一项所述的对主引导记录恶意程序进行处理的装置。
14、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读 代码在服务器上运行时， 导致所述服务器执行根据权利要求 1-6 中的 任一个所述的对主引导记录恶意程序进行处理的方法。
15、 一种计算机可读介质， 其中存储了如权利要求 1-6 中任一项 所述的对主引导记录恶意程序进行处理的方法。
PCT/CN2013/084467 2012-09-29 2013-09-27 对主引导记录恶意程序进行处理的方法及装置 Ceased WO2014048367A1 (zh)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
CN201210380353.X 2012-09-29
CN201210375717.5 2012-09-29
CN201210375717.5A CN102930201B (zh) 2012-09-29 2012-09-29 对主引导记录恶意程序进行处理的方法及装置
CN201210380353.XA CN102867141B (zh) 2012-09-29 2012-09-29 对主引导记录恶意程序进行处理的方法及装置

Publications (1)

Publication Number Publication Date
WO2014048367A1 true WO2014048367A1 (zh) 2014-04-03

Family

ID=50387012

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/084467 Ceased WO2014048367A1 (zh) 2012-09-29 2013-09-27 对主引导记录恶意程序进行处理的方法及装置

Country Status (1)

Country Link
WO (1) WO2014048367A1 (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101477600A (zh) * 2009-01-20 2009-07-08 中国人民解放军保密委员会技术安全研究所 一种基于固件的软件自动防护系统及安全卡
CN102332070A (zh) * 2011-09-30 2012-01-25 中国人民解放军海军计算技术研究所 一种可信计算平台的信任链传递方法
CN102867141A (zh) * 2012-09-29 2013-01-09 北京奇虎科技有限公司 对主引导记录恶意程序进行处理的方法及装置
CN102930201A (zh) * 2012-09-29 2013-02-13 北京奇虎科技有限公司 对主引导记录恶意程序进行处理的方法及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101477600A (zh) * 2009-01-20 2009-07-08 中国人民解放军保密委员会技术安全研究所 一种基于固件的软件自动防护系统及安全卡
CN102332070A (zh) * 2011-09-30 2012-01-25 中国人民解放军海军计算技术研究所 一种可信计算平台的信任链传递方法
CN102867141A (zh) * 2012-09-29 2013-01-09 北京奇虎科技有限公司 对主引导记录恶意程序进行处理的方法及装置
CN102930201A (zh) * 2012-09-29 2013-02-13 北京奇虎科技有限公司 对主引导记录恶意程序进行处理的方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
LUO, XIAOYONG ET AL.: "Analysis of the Worm Virus", GANSU SCIENCE AND TECHNOLOGY, vol. 24, no. 16, August 2008 (2008-08-01), pages 48 - 51 *

Similar Documents

Publication Publication Date Title
CN102867141B (zh) 对主引导记录恶意程序进行处理的方法及装置
CN102930201B (zh) 对主引导记录恶意程序进行处理的方法及装置
US10032024B2 (en) System and method for virtual partition monitoring
US7886190B2 (en) System and method for enabling seamless boot recovery
US10146938B2 (en) Method, apparatus and virtual machine for detecting malicious program
CN115136114A (zh) 固件更新补丁
JP5307196B2 (ja) シリコンに一体化されたコードのシステムへの提供
EP2317454A2 (en) Providing authenticated anti-virus agents a direct access to scan memory
US20020166059A1 (en) Methods and apparatus for protecting against viruses on partitionable media
US8533445B2 (en) Disabling a feature that prevents access to persistent secondary storage
US20250021369A1 (en) Securely persisting information across system reboots
JP2017507431A (ja) コンピューティングデバイスの初期化トレース
RU2586576C1 (ru) Способ выполнения обращения к процедурам загрузочного драйвера
US9448888B2 (en) Preventing a rollback attack in a computing system that includes a primary memory bank and a backup memory bank
CN114430834A (zh) 用于引导加载程序的安全缓冲区
US11500787B2 (en) Enforcing code integrity using a trusted computing base
US8572742B1 (en) Detecting and repairing master boot record infections
CN101303716A (zh) 基于tpm的嵌入式系统恢复机制
US20170262341A1 (en) Flash memory-hosted local and remote out-of-service platform manageability
ES3064406T3 (en) Securely persisting information across system reboots
EP2729893B1 (en) Security method and apparatus
KR20100026195A (ko) 시스템 보호 장치 및 방법
WO2015043010A1 (zh) 数据处理方法、装置及电子设备
WO2007022687A1 (en) System and method for security control of operating system
CN110457899B (zh) 一种操作系统保护系统及方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13840349

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13840349

Country of ref document: EP

Kind code of ref document: A1