[发明专利]一种检测进程注入的方法、装置及存储介质

权利要求书

1.一种检测进程注入的方法，其特征在于，包括：

获取系统正常运行时的API的调用栈的信息；

将整理的信息以适合读取的形式存储，形成规则数据；

启动目标进程；

捕获所述目标进程中的应用程序编程接口API；

确定捕获的API中存在调用行为的API的调用关系，其中，存在调用行为的API是调用了除用于捕获所述目标进程中的API的函数以外的其他API的API；

将存在调用行为的API的调用关系与调用规则进行匹配；其中，调用规则是执行所述目标进程的系统正常运行时的API的调用关系；

当存在调用关系匹配不成功的API时，确定目标进程被注入。

2.如权利要求1所述的方法，其特征在于，在捕获所述目标进程中的API时，记录各个API的执行日志；

确定捕获的API中存在调用行为的API的调用关系，包括：

根据第一API的执行日志，回溯所述第一API的调用栈；其中，第一API是存在调用行为的API中的一个；

所述第一API的调用栈中的所有API以及所述第一API之间的关系构成了所述第一API的调用关系。

3.如权利要求2所述的方法，其特征在于，将存在调用行为的API的调用关系与调用规则进行匹配，包括：

在第一API的调用栈中依次从栈底到栈顶对所述第一API调用过的所有API与调用规则进行匹配。

4.如权利要求1所述的方法，其特征在于，在将存在调用行为的API的调用关系与调用规则进行匹配之前，还包括：

根据存储的规则数据，将规则数据中的所有的API以API的名称进行排序，构成一个沿第一方向的链表；

针对规则数据中的一个API，根据规则数据中的该API的调用关系，按照该API调用其他API的顺序，对该API的调用关系进行排序，形成一个沿第二方向的链表；

动态存储的链表构成所述调用规则。

5.如权利要求4所述的方法，其特征在于，所述方法还包括：

若存在调用行为的API的调用关系中的一个API在所述调用规则中不存在，则将不存在于所述调用规则中的API添加到所述调用规则和存储的规则数据中。

6.一种检测进程注入的装置，其特征在于，包括：

一个或者多个处理器；

存储器；

一个或者多个程序存储在所述存储器中，当被所述一个或者多个处理器执行时实现：

获取系统正常运行时的API的调用栈的信息；

将整理的信息以适合读取的形式存储，形成规则数据；

启动目标进程；

捕获所述目标进程中的应用程序编程接口API；

确定捕获的API中存在调用行为的API的调用关系，其中，存在调用行为的API是调用了除用于捕获所述目标进程中的API的函数以外的其他API的API；

将存在调用行为的API的调用关系与调用规则进行匹配；其中，调用规则是执行所述目标进程的系统正常运行时的API的调用关系；

当存在调用关系匹配不成功的API时，确定目标进程被注入。

7.如权利要求6所述的装置，其特征在于，所述一个或多个处理器还用于执行存储在存储器中的一个或多个程序以实现：

在捕获所述目标进程中的API时，记录各个API的执行日志；

确定捕获的API中存在调用行为的API的调用关系，包括：

根据第一API的执行日志，回溯所述第一API的调用栈；其中，第一API是存在调用行为的API中的一个；

所述第一API的调用栈中的所有API以及所述第一API之间的关系构成了所述第一API的调用关系。

8.如权利要求7所述的装置，其特征在于，所述一个或多个处理器还用于执行存储在存储器中的一个或多个程序以实现：

在第一API的调用栈中依次从栈底到栈顶对所述第一API调用过的所有API与调用规则进行匹配。