[发明专利]一种针对rootkit的检测方法及系统

权利要求书

1.一种针对rootkit的检测方法，其特征在于，包括：

调用待保护的系统的指定信息并储存；

设置rootkit标识范围，判断待保护的系统的标识是否超出rootkit标识范围；

若待保护的系统的标识超出rootkit标识范围，则判断系统未受到rootkit感染；

若待保护的系统的标识位于rootkit标识范围内，则再次调用待保护的系统的指定信息，与储存的指定信息比较，若两次信息不同，则判断系统受到rootkit感染。

2.根据权利要求1所述的针对rootkit的检测方法，其特征在于，包括：

所述rootkit标识采用magic id；

所述magic id包括uid或gid。

3.根据权利要求2所述的针对rootkit的检测方法，其特征在于，所述设置rootkit标识范围包括：

采集用户的uid或gid取值范围；

第一等级用户的uid取值为0；

第二等级用户的uid范围在1～499或1～999；

第三等级用户的uid范围在500～65535或1000～65535；

所述第一等级用户的权限级别高于所述第二等级用户，所述第二等级用户的权限级别高于所述第三等级用户；

根据用户的uid或gid取值范围作为起始值，设置rootkit标识范围。

4.根据权利要求3所述的针对rootkit的检测方法，其特征在于，所述根据用户的uid或gid取值范围作为起始值，设置rootkit标识范围，包括：

uid的取值范围从第三等级用户的uid+1作为起始值，向上递增。

5.根据权利要求4所述的针对rootkit的检测方法，其特征在于，所述rootkit标识范围中，uid的最大取值为2³²-1。

6.根据权利要求3所述的针对rootkit的检测方法，其特征在于，所述根据用户的uid或gid取值范围作为起始值，设置rootkit标识范围，包括：

gid的取值范围从0作为起始值，向上递增。

7.根据权利要求6所述的针对rootkit的检测方法，其特征在于，所述rootkit标识范围中，gid的最大取值为2³²-1。

8.一种针对rootkit的检测系统，其特征在于，包括：

调用模块，用于调用待保护的系统的指定信息并储存；

标识检测模块，用于设置rootkit标识范围，判断待保护的系统的标识是否超出rootkit标识范围，若待保护的系统的标识超出rootkit标识范围，则判断系统未受到rootkit感染；

指定信息比较模块，用于若待保护的系统的标识位于rootkit标识范围内，则再次调用待保护的系统的指定信息，与储存的指定信息比较，若两次信息不同，则判断系统受到rootkit感染。

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至7中任一项所述的针对rootkit的检测方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至7中任一项所述的针对rootkit的检测方法。