[发明专利]一种调用函数的分析方法及装置

说明书

本发明公开了一种调用函数的分析方法及装置，涉及计算机安全技术领域，主要目的是能够兼顾保护后可执行程序的体积和运行效率的平衡。所述方法包括：获取调用函数对应的函数信息，当程序执行至所述调用函数时，根据预设分析代码对所述函数信息所对应调用函数的调用情况进行分析，生成调用函数的分析结果。本发明主要用于对调用函数进行分析。

技术领域

本发明涉及计算机安全领域，尤其是一种调用函数的分析方法及装置。

背景技术

在函数保护中，如果对函数的调用情况没有清楚的认识，盲目地对函数进行加壳保护，如代码碎片化、代码虚拟化、代码移植或者代码混淆，很容易无意中对系统函数或者操作中不曾被调用的函数进行了保护，这样不仅影响了加壳后程序的体积，同时还会降低加壳后程序的运行效率。

如果开发人员在程序运行过程中保护了过多的僵尸函数和调用次数特别多的函数，会使得保护后的可执行程序的体积加大，同时会降低保护后的可执行程序的运行效率。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种调用函数的分析方法及装置，能够实现调用函数的分析，从而方便查找关键函数。

本发明实施例的一方面，本发明提供了一种调用函数的分析方法，包括：

获取调用函数对应的函数信息；

当程序执行至所述调用函数时，根据预设分析代码对所述函数信息所对应调用函数的调用情况进行分析；

生成调用函数的分析结果。

进一步地，在所述获取调用函数对应的函数信息之前，所述方法还包括：

通过挂起的方式创建分析进程，所述分析进程中包含有预设容量的动态内存；

将预设分析代码载入所述动态内存中；

创建内存映射文件以及统计结果事件，所述内存映射文件中存储有调用函数的函数信息。

进一步地，所述根据预设分析代码对所述函数信息所对应调用函数的调用情况进行分析包括：

传递所述分析进程的标识信息，根据所述标识信息加载所述内存映射文件以及统计结果事件；

根据所述内存映射文件将程序执行的起始地址添加至所述预设分析代码中，当所述分析进程执行时跳转至所述程序执行的起始地址；

加载需要注入至所述分析进程的动态链接库，根据所述动态链接库中的监控函数块对所述调用函数进行分析，得到调用函数的调用信息；

将所述调用函数的调用信息实时的保存到内存映射文件当中。

进一步地，所述根据所述动态链接库中的监控函数块对所述调用函数进行分析，得到调用函数的调用信息包括：

启动所述动态链接库中的函数hook被保护程序的函数块作为监控函数块；

根据所述函数hook被保护程序的函数块监控所述调用函数的调用情况，得到所述调用函数的调用信息。

进一步地，在所述启动所述动态链接库中的函数hook被保护程序的函数块作为监控函数块之前，所述方法还包括：

根据所述调用函数的函数信息获取所述调用函数的函数类型；

当所述调用函数的函数类型为可直接执行函数时，通过模块句柄载入动态链接库；

当所述调用函数的函数类型为不可直接执行函数时，通过加载模块载入动态链接库。

进一步地，所述根据所述函数hook被保护程序的函数块监控所述调用函数的调用情况，得到所述调用函数的调用信息包括：