[发明专利]利用提权漏洞的程序的确定方法、装置、设备及存储介质

说明书

本申请公开了一种利用提权漏洞的程序的确定方法，属于计算机技术领域。所述方法包括：从进程创建组件获取目标进程的进程标识；在对目标进程进行监控的过程中，通过目标进程的进程标识以及第一回调函数，从系统内核获取目标进程的第一权限等级；获取第二权限等级；当第一权限等级高于第二权限等级时，将目标进程对应的程序获取为利用提权漏洞的程序。本申请从进程创建组件获取目标进程的进程标识，根据进程标识从系统内核获取目标进程的权限等级，通过先后两次获取到的权限等级确定目标进程对应的程序是否利用了提权漏洞，该过程不需要监控系统中的各种提权行为，而是从进程的权限变化判断哪些进程利用了提权漏洞，提高检测的准确性和检测效率。

技术领域

本申请涉及计算机技术领域，特别涉及一种利用提权漏洞的程序的确定方法、装置、设备及存储介质。

背景技术

随着计算机领域的发展，终端中的应用程序种类越来越多，伴随这些应用程序的使用，终端中存储的用户数据也越来越多，这些数据一旦被泄露，可能对用户带来极大损失，应用程序的安全问题一直被用户关注。

例如，在网络环境中，存在一种利用提权漏洞窃取用户应用权限的恶意程序，该类恶意程序可以将自身的应用权限提升至系统权限甚至更高，从而使得自身可以获取用户数据、删除系统文件、修改系统配置等。在相关技术中，对于这类程序的检测，是通过终端中的驱动程序监控当前操作系统的重要操作，如：删除系统文件、修改防火墙设置、添加系统账户等等，如果通过该驱动程序监控发现发起这些操作的进程不在操作系统的白名单中时，则认为是可疑程序进行的可疑操作，进而转给人工分析。

相关技术中，较为依赖驱动程序监控策略的完整性，驱动程序监控的重要操作并不能覆盖所有可能的重要操作，并且，当驱动程序监控的重要操作过多时，也会降低终端的系统性能，从而影响对利用提权漏洞的恶意程序进行检测的准确性和检测效率。

发明内容

本申请实施例提供了一种利用提权漏洞的程序的确定方法、装置、设备以及存储介质，可以提高对利用提权漏洞的程序进行检测的准确性和检测效率。所述技术方案如下：

一方面，本申请实施例提供了一种利用提权漏洞的程序的确定方法，所述方法包括：

从进程创建组件获取目标进程的进程标识，所述进程创建组件用于创建新进程；

在对所述目标进程进行监控的过程中，通过所述目标进程的进程标识以及第一回调函数，从操作系统内核获取所述目标进程的第一权限等级，所述第一权限等级是本次获取的所述目标进程的权限等级；

获取所述目标进程的第二权限等级，所述第二权限等级是上一次获取的所述目标进程的权限等级；

当所述第一权限等级高于所述第二权限等级时，将所述目标进程对应的程序确定为利用提权漏洞的程序。

另一方面，本申请实施例提供了一种利用提权漏洞的程序的确定装置，所述装置包括：

进程标识获取模块，用于从进程创建组件获取目标进程的进程标识，所述进程创建组件用于创建新进程；

第一权限等级获取模块，用于在对所述目标进程进行监控的过程中，通过所述目标进程的进程标识以及第一回调函数，从操作系统内核获取所述目标进程的第一权限等级，所述第一权限等级是本次获取的所述目标进程的权限等级；

第二权限等级获取模块，用于获取所述目标进程的第二权限等级，所述第二权限等级是上一次获取的所述目标进程的权限等级；

第一程序确定模块，用于当所述第一权限等级高于所述第二权限等级时，将所述目标进程对应的程序确定为利用提权漏洞的程序。

可选的，所述第一权限等级获取模块，包括：内核进程块获取单元，授权令牌获取单元，令牌等级值获取单元以及第一权限等级获取单元；