[发明专利]利用提权漏洞的程序的确定方法、装置、设备及存储介质

权利要求书

1.一种利用提权漏洞的程序的确定方法，其特征在于，所述方法包括：

从进程创建组件获取目标进程的进程标识，所述进程创建组件用于创建新进程；

在对所述目标进程进行监控的过程中，通过所述目标进程的进程标识以及第一回调函数，从操作系统内核获取所述目标进程的第一权限等级，所述第一权限等级是本次获取的所述目标进程的权限等级；

获取所述目标进程的第二权限等级，所述第二权限等级是上一次获取的所述目标进程的权限等级；

当所述第一权限等级高于所述第二权限等级时，将所述目标进程对应的程序确定为利用提权漏洞的程序。

2.根据权利要求1所述的方法，其特征在于，所述通过所述目标进程的进程标识以及第一回调函数，从操作系统内核获取所述目标进程的第一权限等级，包括：

根据所述目标进程的进程标识，从所述操作系统内核获取所述目标进程的内核进程块；

根据所述内核进程块获取所述目标进程的授权令牌；

根据所述目标进程的授权令牌和系统宏参数，从所述操作系统内核获取所述目标进程的令牌等级值；所述系统宏参数是获取所述令牌等级值时，所述第一回调函数采用的令牌等级参数；

将所述目标进程的令牌等级值对应的权限等级获取为所述目标进程的第一权限等级。

3.根据权利要求1所述的方法，其特征在于，所述从进程创建组件获取目标进程的进程标识之前，还包括：

向所述进程创建组件注册第二回调函数；

所述从进程创建组件获取目标进程的进程标识，包括：

接收所述进程创建组件创建所述目标进程时，通过所述第二回调函数返回的所述目标进程的进程标识。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在接收到所述进程创建组件返回的所述目标进程的进程标识时，若所述目标进程的父进程属于被监控的进程，则通过所述父进程的进程标识以及所述第一回调函数，从所述操作系统内核获取所述父进程的第三权限等级；所述第三权限等级是本次获取的所述父进程的权限等级；

获取所述父进程的第四权限等级，所述第四权限等级是上一次获取的所述父进程的权限等级；

当所述第三权限等级高于所述第四权限等级时，将所述父进程对应的程序确定为所述利用提权漏洞的程序。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在对所述目标进程进行监控之前，通过所述目标进程的进程标识以及所述第一回调函数，从所述操作系统内核获取所述目标进程的初始权限等级；

当所述目标进程的初始权限等级低于预设权限等级时，执行所述对所述目标进程进行监控的步骤。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

若所述目标进程的父进程属于被监控的进程，则获取第五权限等级，所述第五权限等级是所述父进程的权限等级；

当所述第五权限等级低于所述目标进程的初始权限等级时，将所述父进程对应的程序确定为所述利用提权漏洞的程序。

7.根据权利要求1至6任一所述的方法，其特征在于，所述预设权限等级是系统权限对应的权限等级。

8.一种利用提权漏洞的程序的确定装置，其特征在于，所述装置包括：

进程标识获取模块，用于从进程创建组件获取目标进程的进程标识，所述进程创建组件用于创建新进程；

第一权限等级获取模块，用于在对所述目标进程进行监控的过程中，通过所述目标进程的进程标识以及第一回调函数，从操作系统内核获取所述目标进程的第一权限等级，所述第一权限等级是本次获取的所述目标进程的权限等级；

第二权限等级获取模块，用于获取所述目标进程的第二权限等级，所述第二权限等级是上一次获取的所述目标进程的权限等级；

第一程序确定模块，用于当所述第一权限等级高于所述第二权限等级时，将所述目标进程对应的程序确定为利用提权漏洞的程序。