[发明专利]入侵检测方法及装置

权利要求书

1.一种入侵检测方法，其特征在于，应用于使用特定语言编写的应用进程，所述特定语言包括C/C++语言，包括：

发出用于检测是否存在外部进程的断点信号；所述外部进程为调试器；

获取在预设时间段内对所述应用进程进行监听所得到的监听结果，所述监听结果包括所述应用进程的指定位置对应的寄存器的值是否发生变化的结果；

若所述监听结果为所述寄存器的值发生了变化，则确定能接收到所述断点信号；若所述监听结果为所述寄存器的值未发生变化，则确定未能接收到所述断点信号；

若未能接收到所述断点信号，则确定所述应用进程被所述调试器入侵。

2.根据权利要求1所述的方法，其特征在于，所述发出用于检测是否存在外部进程的断点信号之前，所述方法还包括：

当所述应用进程运行之后，确定所述应用进程中的所述指定位置；

将所述指定位置对应的寄存器的值标记为第一数值，以根据所述第一数值及所述寄存器的初始值判断所述寄存器的值是否发生变化；其中，所述第一数值与所述初始值不同。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

定位所述应用进程中的所述指定位置；

获取所述指定位置对应的寄存器的当前值；

将所述当前值与所述第一数值及所述初始值进行比对；

若比对结果为所述当前值与所述第一数值相同，则确定所述监听结果为所述寄存器的值发生了变化；若比对结果为所述当前值与所述初始值相同，则确定所述监听结果为所述寄存器的值未发生变化。

4.根据权利要求1所述的方法，其特征在于，所述确定所述应用进程被所述调试器入侵之后，所述方法还包括：

退出所述应用进程，以使所述外部进程无法入侵所述应用进程。

5.根据权利要求1所述的方法，其特征在于，还包括：

若能接收到所述断点信号，则确定所述应用进程未被所述外部进程入侵。

6.一种入侵检测装置，其特征在于，应用于使用特定语言编写的应用进程，所述特定语言包括C/C++语言，包括：

发出模块，用于发出用于检测是否存在外部进程的断点信号；所述外部进程为调试器；

获取模块，用于获取在预设时间段内对所述应用进程进行监听所得到的监听结果，所述监听结果包括所述应用进程的指定位置对应的寄存器的值是否发生变化的结果；

判断模块，用于根据所述监听结果，判断是否能接收到所述断点信号；若所述监听结果为所述寄存器的值发生了变化，则确定能接收到所述断点信号；若所述监听结果为所述寄存器的值未发生变化，则确定未能接收到所述断点信号；

第一确定模块，用于若未能接收到所述断点信号，则确定所述应用进程被所述调试器入侵。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第二确定模块，用于所述发出用于检测是否存在外部进程的断点信号之前，当所述应用进程运行之后，确定所述应用进程中的所述指定位置；

标记模块，用于将所述指定位置对应的寄存器的值标记为第一数值，以根据所述第一数值及所述寄存器的初始值判断所述寄存器的值是否发生变化；其中，所述第一数值与所述初始值不同。

8.根据权利要求7所述的装置，其特征在于，所述判断模块还包括：

定位单元，用于定位所述应用进程中的所述指定位置；

获取单元，用于获取所述指定位置对应的寄存器的当前值；

比对单元，用于将所述当前值与所述第一数值及所述初始值进行比对；

第四确定单元，用于若比对结果为所述当前值与所述第一数值相同，则确定所述监听结果为所述寄存器的值发生了变化；若比对结果为所述当前值与所述初始值相同，则确定所述监听结果为所述寄存器的值未发生变化。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

退出模块，用于所述确定所述应用进程被所述调试器入侵之后，退出所述应用进程，以使所述外部进程无法入侵所述应用进程。