[发明专利]一种rootkit检测方法、装置及服务器

说明书

本发明实施例公开了一种rootkit检测方法、装置及服务器，该方法应用于linux系统，该linux系统包括预先备份有系统调用表的安全备份区，该linux系统分为ring3态和ring0态。所述方法包括：在检测到linux系统运行时，加载预先部署在linux系统中的内核模块，并触发内核模块中的获取程序获取ring0态中的当前系统调用表，从安全备份区获取预先备份的系统调用表，并调用ring3态中的比较程序确定该预先备份的系统调用表与当前系统调用表是否一致，若不一致，则确定linux系统的ring0态被rootkit攻击。通过本发明实施例，有利于提高rootkit检测的准确性。

技术领域

本发明涉及计算机技术领域，尤其涉及一种恶意软件rootkit检测方法、装置及服务器。

背景技术

随着计算机技术的飞速发展，各种网站、移动终端以及移动终端上app服务的广泛应用，服务器系统的安全性问题越来越受到重视。linux系统作为服务器系统中重要的一员，采用linux系统的服务器数量与日俱增，针对linux系统的各种木马病毒也在不断更新。rootkit是linux系统上最为顽固的一种恶意病毒，也是一种特殊类型的恶意软件，它几乎可以隐藏任何软件，包括文件服务器、键盘记录器、botnet和remailer。

目前，虽然检测rootkit在不断增多，但是恶意软件的开发者也在不断寻找新的途径来掩盖rootkit的踪迹。因此，如何更加准确地对rootkit进行检测，成为一个亟待解决的问题。

发明内容

本发明实施例提供了一种rootkit检测方法、装置及服务器，有利于提高rootkit检测的准确度。

第一方面，本发明实施例提供了一种rootkit检测方法，该方法应用于linux系统，所述linux系统包括预先备份有系统调用表的安全备份区，所述linux系统分为用户态ring3态和内核态ring0态，该方法包括：

在检测到所述linux系统运行时，加载预先部署在所述linux系统中的内核模块；

在检测到所述内核模块加载完成的情况下，触发所述内核模块中的获取程序获取所述ring0态中的当前系统调用表；

从所述安全备份区获取预先备份的所述系统调用表，并调用所述ring3态中的比较程序确定所述安全备份区中预先备份的所述系统调用表与获取的所述当前系统调用表是否一致；

若预先备份的所述系统调用表与获取的所述当前系统调用表不一致，则确定所述linux系统的所述ring0态被rootkit攻击。

在一个实施例中，所述安全备份区还预先备份有比较程序，所述调用所述ring3态中的比较程序确定所述安全备份区中预先备份的所述系统调用表与获取的所述当前系统调用表是否一致之前，还可以获取所述ring3态中的比较程序，以及所述安全备份区中预先备份的所述比较程序；比较所述ring3态中的比较程序和所述安全备份区中的比较程序是否一致；若所述ring3态中的比较程序和所述安全备份区中的比较程序一致，则触发所述调用所述ring3态中的比较程序确定所述安全备份区中预先备份的所述系统调用表与获取的所述当前系统调用表是否一致的步骤。

在一个实施例中，所述确定所述linux系统的所述ring0态被rootkit攻击之后，还可以：确定所述ring0态中的所述当前系统调用表的内存地址；根据所述内存地址查找到所述当前系统调用表，并利用所述预先备份的所述系统调用表替换所述当前系统调用表。

在一个实施例中，所述确定所述ring0态中的所述当前系统调用表的内存地址的具体实施方式为：获取所述linux系统中的系统调用表地址文件，所述文件记录了所述ring0态中的所述当前系统调用表的内存地址与预先备份的所述系统调用表的映射关系；根据所述映射关系和所述预先备份的所述系统调用表，从所述系统调用表地址文件中确定出所述当前系统调用表的内存地址。