[发明专利]指令执行序列被破坏的防护方法、装置及设备

权利要求书

1.一种指令执行序列被破坏的防护方法，其特征在于，包括：

当监控点事件的指令执行序列不完整时，根据所述监控点事件和当前栈内存空间大小，搜索相关联的正常模式栈特征；

获取搜索到的所述正常模式栈特征所存的完整指令执行序列，以及所述完整指令执行序列之间的相对偏移；

根据所述完整指令执行序列和所述相对偏移，修复不完整的所述指令执行序列。

2.根据权利要求1所述的方法，其特征在于，在当监控点事件的指令执行序列不完整时，根据所述监控点事件和当前栈空间大小，搜索相关联的正常模式栈特征之前，所述方法还包括：

根据监控点事件的当前栈基址以及栈顶指针，获取当前栈内存空间；

从所述当前栈内存空间中获取所述监控点事件的指令执行序列。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

通过判断指令执行序列的最底层指令是否是线程初始化指令，确定所述监控点事件的指令执行序列是否完整。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

收集样本监控点事件完整的样本指令执行序列，以及所述样本指令执行序列之间的相对偏移，以及所述样本监控点事件当时的栈内存空间大小；

将所述样本指令执行序列、所述样本指令执行序列之间的相对偏移、所述样本监控点事件当时的栈内存空间大小作为特征，以所述样本监控点事件作为key进行映射保存，生成正常模式栈特征。

5.根据权利要求4所述的方法，其特征在于，所述根据所述监控点事件和当前栈内存空间大小，搜索相关联的正常模式栈特征，具体包括：

按照所述监控点事件作为搜索key，并以所述当前栈内存空间大小作为搜索条件，查询相关联的正常模式栈特征。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取所述监控点事件的当前线程栈原始起始地址以及当前线程帧地址；

若所述当前线程帧地址不在与所述当前线程栈原始起始地址对应的范围内，则确定所述监控点事件的不完整指令执行序列是由堆喷攻击事件导致的。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若所述监控点事件的指令执行序列中存在不属于任何模块的栈地址，则查询与所述栈地址对应的二进制指令信息；

若所述二进制指令信息与预设白名单中的预设二进制指令信息不匹配，则确定所述监控点事件的不完整指令执行序列是由软件漏洞攻击事件导致的。

8.一种指令执行序列被破坏的防护装置，其特征在于，包括：

搜索模块，用于当监控点事件的指令执行序列不完整时，根据所述监控点事件和当前栈内存空间大小，搜索相关联的正常模式栈特征；

获取模块，用于获取搜索到的所述正常模式栈特征所存的完整指令执行序列，以及所述完整指令执行序列之间的相对偏移；

修复模块，用于根据所述完整指令执行序列和所述相对偏移，修复不完整的所述指令执行序列。

9.一种存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1至7中任一项所述的指令执行序列被破坏的防护方法。

10.一种指令执行序列被破坏的防护设备，包括存储介质、处理器及存储在存储介质上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至7中任一项所述的指令执行序列被破坏的防护方法。