[发明专利]操作系统威胁检测方法、装置、电子设备及存储介质

说明书

本发明实施例提供一种操作系统威胁检测方法、装置、电子设备及存储介质，应用于电子设备，方法包括：采集针对电子设备的操作系统的目标操作产生的跳转指令；将跳转指令与操作系统的跳转指令数据库中的跳转指令数据进行比对；其中，跳转指令数据库包括：在操作系统处于可信状态时提取的操作系统中的跳转指令数据；在跳转指令与跳转指令数据库中的跳转指令数据均不匹配的情况下，确定操作系统中存在威胁。本发明能够检测出操作系统中是否存在威胁，实现在保证威胁检出率的前提下，降低误报率。

技术领域

本发明涉及网络设备技术领域，尤其涉及一种操作系统威胁检测方法、装置、电子设备及存储介质。

背景技术

随着计算机技术的发展，系统中的数据以各种各样的方式被存储至数据库中。

相关技术中，数据库是通过静态反编译软件(Interactive DisassemblerProfessional，IDA)静态分析系统中的相关模块，提取系统中的指令跳转信息而制作的，而数据库中只保存了通过静态分析的指令跳转信息，未保存静态分析不到的指令跳转信息。在检测系统中是否存在威胁时，导致检测的误报率较高。鉴于此，如何提升系统威胁的检测效果是亟待解决的技术问题。

发明内容

针对相关技术中的问题，本发明实施例提供一种操作系统威胁检测方法、装置、电子设备及存储介质。

具体地，本发明实施例提供了以下技术方案：

第一方面，本发明实施例提供了一种操作系统威胁检测方法，应用于电子设备，所述方法包括：

采集针对所述电子设备的操作系统的目标操作产生的跳转指令；

将所述跳转指令与所述操作系统的跳转指令数据库中的跳转指令数据进行比对；其中，所述跳转指令数据库包括：在所述操作系统处于可信状态时提取的所述操作系统中的跳转指令数据；

在所述跳转指令与所述跳转指令数据库中的跳转指令数据均不匹配的情况下，确定所述操作系统中存在威胁。

进一步地，所述跳转指令数据，包括以下至少一项：

跳转指令对数组、间接跳转指令数组、子函数调用指令数组和返回值指令数组。

进一步地，在所述跳转指令数据包括所述返回值指令数组的情况下，所述将所述跳转指令与所述操作系统的跳转指令数据库中的跳转指令数据进行比对，包括：

将所述跳转指令的起始地址from地址偏移与所述跳转指令数据库中所述返回值指令数组进行比对；

在从所述返回值指令数组中，查找到所述跳转指令的from地址偏移的情况下，将所述跳转指令的目标地址to地址偏移，与用户当前使用的目标栈中子函数调用指令的下一条子函数调用指令进行匹配；

若不匹配，则判定所述跳转指令与所述返回值指令数组不匹配。

进一步地，所述方法还包括：

在所述跳转指令与所述跳转指令数据库中子函数调用指令数组匹配的情况下，将所述跳转指令的from地址偏移写入所述目标栈中。

进一步地，所述将所述跳转指令与所述操作系统的跳转指令数据库中的跳转指令数据进行比对之前，所述方法还包括：

分别将所述跳转指令的from地址和to地址转偏移；在将所述跳转指令的from地址转偏移失败、或者，将所述跳转指令的to地址转偏移失败的情况下，确定所述操作系统中存在威胁；

在分别将所述跳转指令的from地址和to地址完成转偏移的情况下，在所述操作系统的跳转指令数据库中查找与所述跳转指令的from地址偏移或to地址偏移对应的目标模块；在所述跳转指令数据库中未查找到与所述跳转指令的from地址偏移或to地址偏移对应的目标模块的情况下，确定所述操作系统中存在威胁；