[发明专利]一种漏洞利用的检测方法和系统

权利要求书

1.一种漏洞利用的检测方法，其特征在于，所述方法包括以下步骤：

Loader管理模块获得数据流中待分析的数据块；

所述Loader管理模块从所述待分析的数据块的起始位置或者指定位置，尝试将所述待分析的数据块视为指令执行，并在尝试将所述待分析的数据块视为指令执行的过程中，监控漏洞利用程序中的指定类型函数调用；其中，所述指定类型函数在调用时，表示存在漏洞利用；

所述Loader管理模块在监控到所述指定类型函数被调用，且调用所述指定类型函数的地址位于所述待分析的数据块的起止范围之内时，则判定所述数据流中包含漏洞利用。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述Loader管理模块在尝试将所述待分析的数据块视为指令执行之前，将所述待分析的数据块的起始位置以及块大小通知给Monitor管理模块；

所述Monitor管理模块利用所述待分析的数据块的起始位置以及所述块大小对所述Loader管理模块的指令执行过程进行监控；

如果所述Loader管理模块在指令执行过程中触发异常，或者，所述Loader管理模块在指令执行过程中的执行时间超过预设阈值，则：所述Monitor管理模块中断所述Loader管理模块的指令执行过程，调整所述Loader管理模块的重新执行的位置，并继续由所述Loader管理模块从所述待分析的数据块的调整后的位置开始，尝试将所述待分析的数据块视为指令执行。

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述Loader管理模块在尝试将所述待分析的数据块视为指令执行之前，将所述Loader管理模块当前已加载模块的信息通知给Monitor管理模块；

所述Monitor管理模块利用所述Loader管理模块当前已加载模块的信息对所述Loader管理模块的指令执行过程进行监控；

所述Monitor管理模块在接收到所述Loader管理模在指令执行过程中触发的模块加载事件，且加载的模块不是所述Loader管理模块当前已加载模块时，则判定所述数据流中包含漏洞利用。

4.如权利要求1-3任一项所述的方法，其特征在于，所述Loader管理模块获得数据流中待分析的数据块的过程，具体包括：

所述Loader管理模块获得已经剥离网络协议头的负载数据，搜索负载数据中的指定特征，在发现指定特征之后再将相应的数据块作为所述待分析的数据块；或者，

所述Loader管理模块获得已经剥离网络协议头的负载数据，利用Shellcode中限制存在的字节集合将所述负载数据分割为多个数据子块，且仅将数据子块长度大于Shellcode预设最小指令长度的数据子块作为所述待分析的数据块。

5.如权利要求2或3所述的方法，其特征在于，所述Loader管理模块具体为模拟存在缓冲区溢出漏洞的数据模拟执行程序；所述Monitor管理模块具体为对Loader管理模块的各种异常和事件进行处理的处理程序。

6.一种漏洞利用的检测系统，其特征在于，所述漏洞利用的检测系统包括Loader管理模块，且所述Loader管理模块具体包括：

获得单元，用于获得数据流中待分析的数据块；

第一处理单元，用于从所述待分析的数据块的起始位置或者指定位置，尝试将所述待分析的数据块视为指令执行，并在尝试将所述待分析的数据块视为指令执行的过程中，监控漏洞利用程序中的指定类型函数调用；其中，所述指定类型函数在调用时，表示存在漏洞利用；

第一确定单元，用于在监控到所述指定类型函数被调用，且调用所述指定类型函数的地址位于所述待分析的数据块的起止范围之内时，判定所述数据流中包含漏洞利用。