[发明专利]用于在系统管理程序环境中进行内核ROOTKIT保护的系统和方法

权利要求书

1.一种方法，包括：

创建具有与包括系统管理程序的系统管理程序环境中的来宾操作系统(OS)的每一个来宾内核页相对应的条目的软白名单，其中每个条目是所述对应的来宾内核页的重复页；

当进程试图访问来宾内核页时，生成页错误；以及

如果所述页错误是指令页错误，则将所述进程重定向到对应于所述来宾内核页的重复页。

2.如权利要求1所述的方法，其特征在于，所述重新定向包括改变所述系统管理程序的阴影页表中的机器页帧号以指向对应于所述来宾内核页的所述重复页。

3.如权利要求1所述的方法，其特征在于，还包括：

如果所述页错误是数据页错误，则：

修复所述页错误；以及

将对应于所述来宾内核页的页表条目标记为非可执行的和可写入的。

4.如权利要求1所述的方法，其特征在于，还包括：

如果所述页错误是指令页错误，则将对应于所述来宾内核页的页表条目标记为只读。

5.如权利要求1所述的方法，其特征在于，还包括：

在所述系统管理程序的阴影页表中将每一个来宾内核页的页表条目标记为NOT_PRESENT。

6.如权利要求1所述的方法，其特征在于，还包括：

在域创建过程中在所述系统管理程序中设置锁合特征比特，以启用rootkit保护。

7.如权利要求1所述的方法，其特征在于，所述创建软白名单是在所述来宾OS在引导时加载内核组件之后执行的，并且还包括：

漫步所述系统管理程序的阴影页表；以及

将每一个来宾内核页的虚拟地址映射到所述对应的重复页的机器页帧号。

8.如权利要求1所述的方法，其特征在于，所述来宾OS没有加载至少一些内核组件，并还包括：

将每一个来宾内核页的虚拟基地址映射到所述对应的重复页的机器页帧号。

9.一种设备，包括：

存储器；以及

处理器；以及

系统管理程序，以便所述设备被配置成：

创建具有与包括系统管理程序的系统管理程序环境中的来宾OS的每一个来宾内核页相对应的条目的软白名单，其中每个条目是所述对应的来宾内核页的重复页；

当进程试图访问来宾内核页时，生成页错误；以及

如果所述页错误是指令页错误，则将所述进程重定向到对应于所述来宾内核页的重复页。

10.如权利要求9所述的设备，其特征在于，所述重新定向包括改变所述系统管理程序的阴影页表中的机器页帧号以指向对应于所述来宾内核页的所述重复页。

11.如权利要求9所述的设备，其特征在于，所述设备进一步被配置成：

如果所述页错误是数据页错误，则：

修复所述页错误；以及

将对应于所述来宾内核页的页表条目标记为非可执行的和可写入的。

12.如权利要求9所述的设备，其特征在于，所述设备进一步被配置成：

如果所述页错误是指令页错误，则将对应于所述来宾内核页的页表条目标记为只读。

13.如权利要求9所述的设备，其特征在于，所述设备进一步被配置成：

在所述系统管理程序的阴影页表中将每一个来宾内核页的页表条目标记为NOT_PRESENT。

14.编码在非瞬态介质中的逻辑，所述逻辑包括用于执行的代码，并且所述代码当由处理器执行时可操作用以执行包括下列各项的操作：

创建具有与包括系统管理程序的系统管理程序环境中的来宾OS的每一个来宾内核页相对应的条目的软白名单，其中每个条目是所述对应的来宾内核页的重复页；

当进程试图访问来宾内核页时，生成页错误；以及

如果所述页错误是指令页错误，则将所述进程重定向到对应于所述来宾内核页的重复页。

15.如权利要求14所述的逻辑，其特征在于，所述重新定向包括改变所述系统管理程序的阴影页表中的机器页帧号以指向对应于所述来宾内核页的所述重复页。