[发明专利]一种应用程序样本检测的方法及装置

权利要求书

1.一种应用程序样本检测的方法，其特征在于，该方法包括：

在计算机当前操作系统下加载应用程序样本；

设置的内核模块保存计算机当前操作系统的运行环境，进入内核模块的运行环境；

在内核模块的运行环境下，所加载的应用程序样本执行。

2.如权利要求1所述的方法，其特征在于，所述加载应用程序样本采用运行计算机应用程序CPU ring3指令完成；

所述保存计算机当前操作系统的运行环境，进入内核模块的运行环境采用运行计算机当前操作系统CPU ring0指令完成；

所加载的应用程序样本执行采用运行计算机应用程序CPU ring3指令完成。

3.如权利要求1所述的方法，其特征在于，所述设置的内核模块保存计算机当前操作系统的运行环境的为：

设置的内核模块对计算机当前操作系统关中断；

设置的内核模块保存计算机中央处理器的寄存器信息及计算机当前操作系统的寄存器信息；

所述进入内核模块的运行环境为：

设置的内核模块加载内核模块的运行环境信息后，进入内核模块的运行环境，所述内核模块的运行环境包括内核模块的中央处理器的寄存器信息及内核模块的寄存器信息；

所述所加载的应用程序样本执行为：

设置的内核模块将应用程序以堆栈的方式压入到内核模块中，将执行设置指令自切换到应用程序上，进行应用程序样本执行。

4.如权利要求1所述的方法，其特征在于，该方法还包括：

设置的内核模块检测到中断产生，判定为外部中断时，内核模块将该外 部中断发送给计算机当前操作系统，由计算机当前操作系统的中断处理模块处理完成；判定为执行应用程序样本异常时，调用所保存的计算机当前操作系统的运行环境，跳转到计算机当前操作系统的中断处理模块完成。

5.如权利要求1所述的方法，其特征在于，所加载的应用程序样本执行过程中，该方法还包括：

设置的内核模块判定应用程序样本执行需要浮点运算，进行计算机当前操作系统的运行环境的浮点环境保存，确定为是否第一次浮点运算，如果是，初始化内核模块的环境下的浮点环境，执行；否则恢复所保存的内核模块的运行环境中的浮点环境，执行；

在退出到计算机当前操作系统时，如果有要执行的浮点运算指令，则恢复所保存的计算机当前操作系统的运行环境的浮点环境。

6.如权利要求1所述的方法，其特征在于，所述应用程序样本执行时，采用PAE模式4级页结构或3级页结构缓存在设置的内核模块的运行环境的虚拟内存中。

7.一种应用程序样本检测的装置，其特征在于，包括：加载模块、内核模块及执行模块，其中，

加载模块，用于在计算机当前操作系统下加载应用程序样本；

内核模块，用于保存计算机当前操作系统的运行环境，进入内核模块的运行环境；

执行模块，用于在内核模块的运行环境下，所加载的应用程序样本采用操作计算机应用程序的指令执行。

8.如权利要求7所述的装置，其特征在于，所述内核模块还设置中断处理模块，用于检测到应用程序样本执行异常时，跳转到计算机当前操作系统的中断处理模块中进行中断处理。

9.如权利要求7所述的装置，其特征在于，所述内核模块还包括浮点环境设置模块，用于进行计算机当前操作系统的运行环境的浮点环境保存，当应用程序样本第一次浮点运算指令执行时，初始化内核模块的环境下的浮 点环境，执行；当应用程序样本不是第一次浮点运算指令执行时，恢复所保存的内核模块的运行环境中的浮点环境，执行。

10.如权利要求9所述的装置，其特征在于，所述内核模块还包括浮点环境设置模块，在退出到计算机当前操作系统时，如果有要执行的浮点运算指令，则恢复所保存的计算机当前操作系统的运行环境的浮点环境。