[发明专利]一种函数调用时间的监控方法及装置

说明书

本发明公开了一种函数调用时间的监控方法及装置，涉及计算机安全技术领域，主要目的是能够实现函数调用时间的监控，从而更好了解函数是否需要加保护。所述方法包括：通过挂起的方式创建监控进程，所述监控进程中包含有预设容量的动态内存；将用于监控函数调用时间的预设分析代码载入所述动态内存中；启动所述监控进程，根据所述预设分析代码加载需要注入至所述监控进程的动态链接库；根据所述动态链接库中的监控函数块监控所述调用函数被调用的起始时间和结束时间，得到调用函数的调用时间。本发明主要用于函数的调用时间的分析。

技术领域

本发明涉及计算机安全领域，尤其是一种函数调用时间的监控方法及装置。

背景技术

在函数保护中，如果对函数的调用时间没有清楚的认识，盲目地对函数进行加壳保护，如代码碎片化、代码虚拟化、代码移植或者代码混淆，对于加保护后的函数，如果调用时间在保护前与保护后的差距较大，则说明加保护极大影响了函数的运行时间，应该取消对函数的保护，如果调用时间在保护前与保护后的差距不大，则说明加保护没有对函数产生很大影响，无需取消对函数的保护，因此，在对函数的调用时间不了解的情况下，很容易无意中对系统函数或者操作中不希望加保护的调用的函数进行了保护，这样不仅影响了加壳后程序的体积，同时还会降低加壳后程序的运行效率。

如果开发人员在程序运行过程中保护了过多的不希望加保护的函数，会使得保护后的可执行程序的体积加大，同时会降低保护后的可执行程序的运行效率。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种函数调用时间的监控方法及装置，能够实现函数调用时间的监控，从而更好了解函数是否需要加保护。

本发明实施例的一方面，本发明提供了一种函数调用时间的监控方法，包括：

通过挂起的方式创建监控进程，所述监控进程中包含有预设容量的动态内存；

将用于监控函数调用时间的预设分析代码载入所述动态内存中；

启动所述监控进程，根据所述预设分析代码加载需要注入至所述监控进程的动态链接库；

根据所述动态链接库中的监控函数块监控所述调用函数被调用的起始时间和结束时间，得到调用函数的调用时间。

进一步地，在所述启动所述监控进程之前，所述方法还包括：

创建内存映射文件以及时间统计结果事件，所述内存映射文件中存储有调用函数的函数信息；

传递所述监控进程的标识信息，根据所述标识信息加载所述内存映射文件以及时间统计结果事件；

根据所述内存映射文件将程序执行的起始地址添加至所述预设分析代码中，当启动所述监控进程时跳转至程序执行的起始地址。

进一步地，所述根据所述动态链接库中的监控函数块监控所述调用函数被调用的起始时间和结束时间，得到调用函数的调用时间包括：

启动所述动态链接库中的函数hook被保护程序的函数块作为监控函数块；

根据所述函数hook被保护程序的函数块监控所述调用函数被调用的起始时间和结束时间，得到所述调用函数的调用时间。

进一步地，在所述启动所述动态链接库中的函数hook被保护程序的函数块作为监控函数块之前，所述方法还包括：

根据所述调用函数的函数信息获取所述调用函数的函数类型；

当所述调用函数的函数类型为可直接执行函数时，通过模块句柄载入动态链接库；

当所述调用函数的函数类型为不可直接执行函数时，通过加载模块载入动态链接库。