[发明专利]防止windows系统服务描述表被篡改的系统和方法

说明书

技术领域

本发明涉及计算机硬件虚拟化领域和操作系统安全领域，具体涉及一种硬件虚拟化（简称HEV）在AMD CPU下的支持技术，防止windows系统下的Windows系统服务描述表的被篡改的系统和方法。

背景技术

在现有技术中，公知的技术是随着云计算、大数据等新型技术的发展，对云服务器和PC终端的安全性要求越来越高。操作系统是云服务器和PC终端的核心，一旦操作系统被黑客或非法用户控制及利用，后果将不堪设想。SSDT是Windows操作系统的关键部件，是所有应用层API的统一入口，所以SSDT的安全就特别重要。事实上，黑客经常使用自己编写的Rootkit后门程序来篡改SSDT，以达到隐藏自身、破坏系统正常行为的目的。在目前已有的黑客攻击统计中，篡改SSDT的方式占了大多数。所以如何有效的保证SSDT的安全性和完整性就成为急需解决的技术问题。操作系统厂商已经意识到了这个问题，目前64位Windows操作系统自身已经有了PatchGuard机制，在操作系统运行期间这个机制会检查SSDT是否被篡改，如果被篡改操作系统马上报错、宕机。Windows操作系统的PatchGuard机制具有很大的局限性， 1、32位Windows操作系统没有该机制，且目前32位操作系统有大量用户在使用；2、这种事后检查机制有漏洞，因为在检查之前Rootkit后门程序可能已经完成了自己要做的事情；3、宕机的后果是用户接受不了的，尤其是关键的业务服务器；4、高级的黑客会在Rootkit程序中将Windows操作系统的运行模式置于调试模式，在调试模式下PatchGuard机制是不生效的。因此，要想防止Windows操作系统的SSDT被篡改，在硬件虚拟化层面采取措施是一劳永逸的手段，一种通过硬件虚拟化（简称HEV）在AMD CPU下的支持技术（简称Pacifica技术）的Windows系统服务描述表的防篡改方法应运而生。

发明内容

本发明的目的就是针对现有技术所存在的不足，而提供一种防止windows系统服务描述表被篡改的系统和方法，使通过修改系统服务描述表隐藏自己、进行破坏的Rootkit后门程序完全失效，使Windows操作系统上的各种程序安全运行，充分确保系统服务描述表的安全性和完整性，进而使通过修改系统服务描述表进行破坏的黑客程序完全失效，有效的提高了Windows操作系统的安全性、稳定性。

本方案是通过如下技术措施来实现的：一种防止windows操作系统下系统服务描述表被篡改的系统，其特征是包括如下模块：

CPU虚拟化驱动模块，用于分配硬件虚拟化数据结构所需的内存，设置CPU寄存器（EFER）的标志位、填充虚拟机控制块指明拦截内存操作、从通信驱动模块获取系统服务描述表SSDT的内存地址空间范围、让当前操作系统作为虚拟机运行在虚拟CPU上；拦截写入系统服务描述表地址范围的内存指令，让该内存写入失败；所述的硬件虚拟化数据结构包括最高特权进入区（简称HSA区域）和虚拟机控制块（简称VMCB控制块）。

通信驱动模块，用于获取当前操作系统的系统服务描述表的起始内存地址和内存地址范围，然后保存该地址，启动CPU虚拟化驱动模块和主服务进程模块的请求消息监听；所述的通信驱动模块启动CPU虚拟化驱动模块和主服务进程模块的请求消息监听后，一面等待CPU虚拟化模块发来的请求消息，包括获取系统服务描述表地址消息和已拦截日志消息，一面等待主服务进程模块发来的获取拦截日志消息。如果是CPU虚拟化模块发来的已拦截日志消息，它将消息缓存在日志链表中。

主服务进程模块，用于安装CPU虚拟化驱动模块和通信驱动模块，卸载两个模块和自身，与通信驱动模块进行通信获取篡改系统服务描述表的拦截日志，先安装CPU虚拟化驱动模块,再安装通信驱动模块，卸载时先卸载CPU虚拟化驱动模块,再卸载通信驱动模块。

一种防止windows操作系统下系统服务描述表被篡改的方法，其特征是在于包括如下步骤：

1）主服务进程模块初始化时加载通信驱动模块和CPU虚拟化驱动模块；

2）通信驱动模块运行后，获取当前操作系统的系统服务描述表的起始内存地址和内存地址范围，然后保存该地址；启动CPU虚拟化驱动模块和主服务进程模块的请求消息监听；

3）CPU虚拟化驱动模块运行后，依次执行分配硬件虚拟化数据结构所需的内存，设置CPU寄存器的标志位、填充虚拟机控制块指明拦截内存操作、从通信驱动模块获取系统服务描述表的内存地址空间范围、让当前操作系统作为虚拟机运行在虚拟CPU上；