[发明专利]一种Shellcode的动态检测方法

权利要求书

1.一种Shellcode的动态检测方法，其特征在于包括步骤如下：

(1)令待检测主机执行能够引起breakpoint异常的指令，将此时寄存器值和内存内容作为重置待检测主机状态的初始寄存器值和内存内容并存储；

(2)从待检测主机的网络通信信道中抓取网络数据流，并存储至待检测主机的内存中；

(3)对抓取的网络数据流进行划分，得到多个执行链，并使用初始寄存器值和内存内容开始执行第一个执行链；

(4)执行链执行过程中，检测是否出现死循环或者操作系统异常，如果出现死循环，则当前执行链没有Shellcode且当前执行链检测完成，输出未检测到Shellcode信号，读取初始寄存器值和内存内容，替换当前寄存器值和内存内容并转入步骤(6)，如果出现操作系统异常，则当前执行链没有Shellcode且当前执行链检测完成，在产生对应的操作系统异常处理信号并送至操作系统内的异常处理程序之前，中止该操作系统异常对应的异常处理流程，输出未检测到Shellcode信号，读取初始寄存器值和内存内容，替换当前寄存器值和内存内容并转入步骤(6)，如果没有出现死循环或者操作系统异常，则转入步骤(5)；

(5)使用Heuristics方法检测当前执行链，如果检测到Shellcode，则输出检测到Shellcode信号，转入步骤(6)，否则输出未检测到Shellcode信号，转入步骤(6)；

(6)重复步骤(4)-步骤(5)执行下一执行链直至网络数据流划分得到的所有执行链被遍历。

2.根据权利要求1所述的一种Shellcode的动态检测方法，其特征在于：所述的死循环的检测方法为：记录当前执行链开始执行时计数器变量的初始值为A，当前执行链执行过程中每次时钟中断时，比较此时计数器变量与A的差值，如果差值大于1，则当前执行链陷入死循环；如果差值不大于1，则当前执行的执行链没有陷入死循环。

3.根据权利要求1或2所述的一种Shellcode的动态检测方法，其特征在于：所述的Heuristics方法为PEB Heuristics方法。