[发明专利]检测非法程序的方法和装置

说明书

本申请实施例提供了一种检测非法程序的方法和装置，属于计算机技术领域。所述方法包括：确定内核空间中第一内核数据结构对应的第一读取函数和第二读取函数，其中，所述第一读取函数用于读取当前结构内容，所述第二读取函数用于读取初始结构内容；调用所述第一读取函数，获取所述内核空间中第一内核数据结构的当前结构内容，并且调用所述第二读取函数，获取所述内核空间中预先存储的所述第一内核数据结构的初始结构内容；当所述第一内核数据结构的初始结构内容与当前结构内容不相同时，确定所述第一内核数据结构中存在非法程序。采用本申请，可以检测内核空间中的非法程序。

技术领域

本申请涉及计算机技术领域，特别涉及一种检测非法程序的方法和装置。

背景技术

非法程序(如Rootkits等)是一种在攻击操作系统时，用于隐藏踪迹和保留root访问权限的工具。非法程序可以分为应用级非法程序和内核级非法程序，应用级非法程序主要修改操作系统应用层的系统文件，比较容易预防和检测，内核级非法程序主要攻击操作系统内核空间，比较难预防和检测，所以需要提供在内核空间中检测非法程序的方法。

然而相关技术中，技术人员在用户空间中设置检测程序，对用户空间中的应用级非法程序进行检测。

这样，由于内核级非法程序仅在内核空间中可见，用户空间中的检测程序仅对应用级非法程序进行检测，无法检测到内核级非法程序。

发明内容

为了解决无法检测内核级非法程序的问题，本申请实施例提供了一种检测非法程序的方法和装置。所述技术方案如下：

第一方面，提供了一种检测非法程序的方法，该方法包括：

确定内核空间中第一内核数据结构对应的第一读取函数和第二读取函数，其中，所述第一读取函数用于读取当前结构内容，所述第二读取函数用于读取初始结构内容；调用所述第一读取函数，获取所述内核空间中所述第一内核数据结构的当前结构内容，并且调用所述第二读取函数，获取所述内核空间中预先存储的所述第一内核数据结构的初始结构内容；当所述第一内核数据结构的初始结构内容与当前结构内容不相同时，确定所述第一内核数据结构中存在非法程序。

其中，第一内核数据结构可以有系统调用表、中断描述符表、某些函数的函数指针和处理函数(如虚拟文件系统劫持等)等。

本申请实施例所示的方案，主机中安装有检测程序，检测程序的代码可以被主机中的中央处理器(Central Processing Unit，CPU)所运行，该检测程序一部分是安装在主机的Linux操作系统的用户空间，一部分是安装在主机的Linux操作系统的内核空间，安装在用户空间的部分运行于用户空间，安装在内核空间的部分运行于内核空间，用于检测内核空间中的非法程序。检测程序中还设置有第一内核数据结构的标识列表，在检测非法程序时，会遍历标识列表，对标识列表中的每个内核数据结构的标识对应的内核数据结构进行检测。内核空间包括核心程序，核心程序运行在高于预设等级的权限上，拥有访问主机的硬件的所有权限。用户空间中包括Linux操作系统中除核心程序之外的程序，该程序仅能访问Linux操作系统允许用户空间使用的系统资源，且不能直接访问内核空间和主机的硬件。

主机在检测内核空间中的非法程序时，可以由主机中的CPU执行检测程序在内核空间中的代码，获取标识列表中的任一内核数据结构的标识(后续可以称为是第一内核数据结构的标识)，确定内核空间中第一内核数据结构对应的第一读取函数和第二读取函数，第一读取函数用于读取内核数据结构的当前结构内容，第二读取函数用于读取内核数据结构的初始结构内容。例如，在Linux操作系统中，第一读取函数可以是probe_kernel_read函数，第二读取函数可以是kallsyms_lookup_name函数。