[发明专利]一种检测ROP攻击的方法和装置

权利要求书

1.一种检测ROP攻击的方法，其特征在于，包括：

获取目标进程的信息；

利用IPT机制对所述目标进程进行跟踪，并获得间接跳转跟踪数据；

根据所述目标进程的信息，为所述间接跳转跟踪数据预先分配物理内存；

当所述间接跳转跟踪数据将所述预先分配的物理内存写满时，触发性能监视中断，且记录触发所述性能监视中断的次数；

当触发所述性能监视中断的次数达到预设触发次数后，根据达到所述预设触发次数前的所述间接跳转跟踪数据构建基线；

在构建所述基线后，当所述性能监视中断再次被触发时，根据新产生的所述间接跳转跟踪数据构建间接跳转序列表；

当所述目标进程进入系统调用时，对比所述间接跳转序列表和所述基线，根据对比结果检测所述目标进程是否是ROP攻击所产生的进程。

2.根据权利要求1所述的方法，其特征在于，所述根据所述目标进程的信息，为所述间接跳转跟踪数据预先分配物理内存，包括：

根据所述目标进程的信息，获取所述目标进程的内核进程描述结构；

根据所述内核进程描述结构，为所述间接跳转跟踪数据预先分配物理内存。

3.根据权利要求2所述的方法，其特征在于，所述根据所述内核进程描述结构，为所述间接跳转跟踪数据预先分配物理内存，包括：

根据所述内核进程描述结构，获取所述目标进程的页目录地址；

根据所述页目录地址，为所述间接跳转跟踪数据预先分配物理内存。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述当所述目标进程进入系统调用时，对比所述间接跳转序列表和所述基线，根据对比结果检测所述目标进程是否是ROP攻击所产生的进程，包括：

若所述间接跳转序列表是所述基线的子串，则判定所述目标进程不是ROP攻击所产生的进程；

若所述间接跳转序列表不是所述基线的子串，则判定所述目标进程是ROP攻击所产生的进程。

5.一种检测ROP攻击的装置，其特征在于，包括获取模块、跟踪模块、物理内存分配模块、性能监视中断模块、第一构建模块、第二构建模块、以及对比模块；

所述获取模块，用于获取目标进程的信息；

所述跟踪模块，用于利用IPT机制对所述目标进程进行跟踪，并获得间接跳转跟踪数据；

所述物理内存分配模块，用于根据所述目标进程的信息，为所述间接跳转跟踪数据预先分配物理内存；

所述性能监视中断模块，用于当所述间接跳转跟踪数据将所述预先分配的物理内存写满时，触发性能监视中断，且记录触发所述性能监视中断的次数；

所述第一构建模块，用于当触发所述性能监视中断的次数达到预设触发次数后，根据达到所述预设触发次数前的所述间接跳转跟踪数据构建基线；

所述第二构建模块，用于在构建所述基线后，当所述性能监视中断再次被触发时，根据新产生的所述间接跳转跟踪数据构建间接跳转序列表；

所述对比模块，用于当所述目标进程进入系统调用时，对比所述间接跳转序列表和所述基线，根据对比结果检测所述目标进程是否是ROP攻击所产生的进程。

6.根据权利要求5所述的装置，其特征在于，所述物理内存分配模块包括获取单元和分配单元；

所述获取单元，用于根据所述目标进程的信息，获取所述目标进程的内核进程描述结构；

所述分配单元，用于根据所述内核进程描述结构，为所述间接跳转跟踪数据预先分配物理内存。

7.根据权利要求6所述的装置，其特征在于，所述获取单元包括获取子单元和分配子单元；

所述获取子单元，用于根据所述内核进程描述结构，获取所述目标进程的页目录地址；

所述分配子单元，用于根据所述页目录地址，为所述间接跳转跟踪数据预先分配物理内存。