[发明专利]终端设备系统防护方法及装置

权利要求书

1.一种终端设备系统防护方法，其特征在于，包括：

在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征；

利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；

若是，则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库；

若否，则确定所述操作行为为危险行为；

若是，则确定所述操作行为为安全行为。

2.根据权利要求1所述的方法，其特征在于，所述利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库，包括：

检测所述调用栈特征中的动态链接库对应的加载路径是否符合预设加载路径；

若不符合，则确定所述应用程序加载所述终端设备的非系统动态链接库；

若符合，则确定述应用程序并未加载所述终端设备的非系统动态链接库。

3.根据权利要求2所述的方法，其特征在于，所述确定所述应用程序是否加载所述终端设备的非系统动态链接库之前，所述方法还包括：

检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名；

若符合，则确定所述应用程序并未加载所述终端设备的非系统动态链接库；

所述确定所述应用程序加载所述终端设备的非系统动态链接库，包括：

若不符合，则确定所述应用程序加载所述终端设备的非系统动态链接库。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库之前，所述方法还包括：

判断加载的非系统动态链接库是否为已注册的非系统动态链接库；

若否，则确定所述操作行为为危险行为；

所述判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库，包括：

若是，则判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。

5.根据权利要求4所述的方法，其特征在于，所述判断加载的非系统动态链接库是否为已注册的非系统动态链接库，包括：

判断加载的非系统动态链接库是否为预设已注册的非系统动态链接库列表中的非系统动态链接库；

若是，则确定加载的非系统动态链接库为已注册的非系统动态链接库。

6.根据权利要求1所述的方法，其特征在于，所述利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库之后，所述方法还包括：

若否，则确定所述操作行为为安全行为。

7.根据权利要求1所述的方法，其特征在于，所述确定所述操作行为为危险行为之前，所述方法还包括：

检测所述调用栈特征中的动态链接库是否与预设调用栈特征库中的安全动态链接库匹配，所述预设调用栈特征库为根据样本安全行为对应的安全调用栈特征构建的，所述安全动态链接库为所述安全调用栈特征中的动态链接库；

所述确定所述操作行为为危险行为，包括：

若否，则确定所述操作行为为危险行为。

8.一种终端设备系统防护装置，其特征在于，包括：

捕获单元，用于在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征；

检测单元，用于利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；

判断单元，用于若所述检测单元检测所述应用程序加载所述终端设备的非系统动态链接库，则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库；

确定单元，用于若所判断单元判断加载的非系统动态链接库为所述应用程序对应目录内的动态链接库，则确定所述操作行为为危险行为；

所述确定单元，还用于若所判断单元判断加载的非系统动态链接库并非所述应用程序对应目录内的动态链接库，则确定所述操作行为为安全行为。