[发明专利]漏洞检测方法及装置

说明书

技术领域

本发明涉及网络技术领域，尤其涉及一种漏洞检测方法及装置。

背景技术

现有对文档类漏洞的检测及解决方案主要是利用杀毒软件进行查杀，通常杀毒软件主要采用的是病毒样本特征比对的技术，通过获取病毒样本来完善病毒特征库的覆盖范围，采用静态分析技术将病毒文件与病毒样本库规则匹配。

首先，这种解决方案具有一定的滞后性，必须是病毒大范围传播以后才可以获得样本。对于小范围传播、变种、未公开的漏洞(0DAY)则不具备快速收集的条件，这样就无法查杀具有上述漏洞的恶意文档。

另外静态分析技术主要依赖于有经验的分析人员花费大量时间去进行反汇编调试，跟踪分析文档是否包含恶意代码的攻击行为，一旦攻击者在文档中加入了大量的花指令、反调试技术会导致分析单个文件的时间大大延长。而且静态漏洞分析方法依赖于个人经验，缺少规范化的机制和流程，所以有非常大的偶然性。并且有可能出现无法分析或者分析结果错误等问题。

综上所述可以看出，采用现有技术中的漏洞检测方法的漏洞分析结果的准确度较低，且该方法的使用范围较小。

发明内容

有鉴于此，本发明提供一种漏洞检测方法及装置，以解决现有技术中的漏洞检测结果的准确度较低，且使用范围较小问题。

其具体方案如下：

一种漏洞检测方法，包括：

选取输入的文档数据；

检测选取的文档数据中是否具有利用特定漏洞的代码shellcode；

当所述选取的文档数据中具有shellcode时，在预先设定的虚拟CPU环境内执行所述shellcode中的指令；

当执行所述shellcode中的指令过程中对内存进行读写操作时，判断被读取内存是否满足预设内存规则；

当所述被读取内存满足预设内存规则时，则判定存在漏洞。

优选的，还包括：显示所述漏洞的信息。

优选的，还包括：替换所述shellcode。

优选的，所述选取输入文档数据的过程包括：

设定滑动窗口的起始位置为文档数据的起始位置；

按照预设窗口范围依次选取所述文档数据。

优选的，还包括：

判断所述窗口范围的末位是否为文档数据的末位，若是，则结束，若否，则更新所述滑动窗口的起始位置，执行检测所述被选取的数据中是否具有利用特定漏洞的代码shellcode的过程。

优选的，所述检测所述被选取的数据中是否具有shellcode的过程包括：

反汇编所述被选取的数据；

判断所述反汇编结果与预先设定的指令规则是否匹配，若匹配，则所述被选取数据中具有shellcode，若不匹配，则所述被选取数据中不具有shellcode。

优选的，所述预设内存规则包括：内存的地址、长度、匹配次数和依赖规则链表中的任意一项或多项的组合。

优选的，所述内存规则按照树形结构进行存储匹配。

一种漏洞检测装置，包括：

数据选取单元，用于选取输入的文档数据；

指令过滤单元，用于检测所述选取的文档数据中是否具有利用特定漏洞的代码shellcode；

虚拟执行单元，用于当所述选取的数据中具有shellcode时，在预先设定的虚拟CPU环境内执行所述shellcode中的指令；

内存监视单元，用于监视所述执行所述shellcode中的指令过程中是否对内存进行读写操作；

规则匹配单元，用于当执行所述shellcode过程中对内存进行读写操作时，判断被读取内存是否满足预设内存规则；

漏洞判定单元，用于当所述被读取内存满足预设内存规则时，则判定存在漏洞。

优选的，还包括：漏洞信息显示单元，用于显示所述漏洞的信息。

优选的，还包括：替换单元，用于替换所述shellcode。

优选的，所述数据选取单元包括：

起始位置设定单元，用于设定滑动窗口的起始位置为文档数据的起始位置；

选取单元，用于按照预设窗口范围依次选取所述文档数据。

优选的，所述指令过滤单元包括：

反汇编单元，用于反汇编所述被选取的数据；

指令规则匹配单元，用于将所述反汇编结果与预先设定的指令规则进行匹配，若所述反汇编结果与预先设定的指令规则匹配，则所述被选取数据中具有shellcode，若不匹配，则所述被选取数据中不具有shellcode。