[发明专利]一种防御文档溢出的方法及装置

权利要求书

1.一种防御文档溢出的方法，其特征在于，包括：

针对系统运行情况实时生成系统快照，当发现存在文档打开操作时停止快照生成；

监控文档打开期间的系统操作，当发现存在应用程序启动请求，则查询文档打开操作前生成的系统快照，判断所述应用程序的基本信息是否存在于所述系统快照中，若存在，则允许启动运行，否则阻断启动运行；

监控文档打开期间的行为操作，并生成行为记录，判断是否存在可疑行为，若存在则阻断所述可疑行为，否则继续监控；

当发现存在文档关闭操作时，则停止所有监控行为，恢复文档打开操作前生成的系统快照。

2.如权利要求1所述的方法，其特征在于，所述可疑行为包括：释放文件、注入行为、修改注册表、HOOK或者shellcode。

3.如权利要求1所述的方法，其特征在于，所述基本信息包括：名称、hash值或者调用关系。

4.一种防御文档溢出的装置，其特征在于，包括：

快照生成模块，用于针对系统运行情况实时生成系统快照，当发现存在文档打开操作时停止快照生成；

系统监控模块，用于监控文档打开期间的系统操作，当发现存在应用程序启动请求，则查询文档打开操作前生成的系统快照，判断所述应用程序的基本信息是否存在于所述系统快照中，若存在，则允许启动运行，否则阻断启动运行；

文档监控模块，用于监控文档打开期间的行为操作，并生成行为记录，判断是否存在可疑行为，若存在则阻断所述可疑行为，否则继续监控；

快照恢复模块，用于当发现存在文档关闭操作时，则停止所有监控行为，恢复文档打开操作前生成的系统快照；

可信应用程序库，用于存储可信应用程序的基本信息。

5.如权利要求4所述的装置，其特征在于，所述可疑行为包括：释放文件、注入行为、修改注册表、HOOK或者shellcode。

6.如权利要求4所述的装置，其特征在于，所述基本信息包括：名称、hash值或者调用关系。