[发明专利]文件隐藏rootkit检测方法及装置

权利要求书

1.一种文件隐藏rootkit检测方法，其特征在于，包括：

S1、基于待检测系统对外提供的外部接口，通过遍历方式获取所述待检测系统表层的磁盘文件的属性信息；

S2、基于待检测系统对内提供的内核接口，通过遍历方式获取所述待检测系统底层的磁盘文件的属性信息；

S3、基于获取的磁盘文件的属性信息，比对底层相对于表层的磁盘文件中是否存在差异文件；

S4、根据比对结果确定是否检测到rootkit。

2.根据权利要求1所述的方法，其特征在于，所述属性信息至少包括：挂载点、文件名、文件长度和文件类型中的一种或多种。

3.根据权利要求2所述的方法，其特征在于，所述比对底层相对于表层的磁盘文件中是否存在差异文件，包括：

当底层的第一磁盘文件未存在于表层中时，则将所述第一磁盘文件确定为存在的差异文件；

当底层和表层均存在相同挂载点、相同文件名且相同文件类型对应的第二磁盘文件时，若所述第二磁盘文件在底层的文件长度大于所述第二磁盘文件在表层的文件长度时，则将所述第二磁盘文件确定为存在的差异文件。

4.根据权利要求2所述的方法，其特征在于，所述根据比对结果确定是否检测到rootkit，包括：

基于多次执行S1～S3得到的多个比对结果，若多个比对结果中均存在相同差异文件，则确定检测到rootkit。

5.根据权利要求4所述的方法，其特征在于，在所述确定检测到rootkit之后，还包括：

确定该相同差异文件对应的系统调用API；

根据该API确定系统调用的内存地址；

确定所述内存地址是否具有加载模块。

6.根据权利要求1-5中任一所述的方法，其特征在于，对所述待检测系统表层磁盘文件的遍历时间与对所述待检测系统底层磁盘文件的遍历时间之间的时长不超设定时长。

7.一种文件隐藏rootkit检测装置，其特征在于，包括：

第一获取单元，用于基于待检测系统对外提供的外部接口，通过遍历方式获取所述待检测系统表层的磁盘文件的属性信息；

第二获取单元，用于基于待检测系统对内提供的内核接口，通过遍历方式获取所述待检测系统底层的磁盘文件的属性信息；

比对单元，用于基于获取的磁盘文件的属性信息，比对底层相对于表层的磁盘文件中是否存在差异文件；

确定单元，用于根据比对结果确定是否检测到rootkit。

8.根据权利要求7所述的装置，其特征在于，所述属性信息至少包括：挂载点、文件名、文件长度和文件类型中的一种或多种。

9.一种电子设备，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器执行所述计算机程序时，实现如权利要求1-6中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行权利要求1-6中任一项所述的方法。