[发明专利]应用层shellcode的检测方法及装置

说明书

本申请公开了一种应用层shellcode的检测方法、装置、计算机设备及计算机存储介质，涉及信息网络安全技术领域，可以对操作系统应用层的特定内存页进行监控，能够及时检测出异常的操作行为，有效发现应用层shellcode攻击行为。所述方法包括：通过在shellcode执行攻击行为定位应用层关键动态链接库的路径上选取预设内存页，将所述预设内存页设置为指定属性；基于设置的指定属性，对应用模块所在预设内存页的操作行为进行监控；若发生对应用模块所在预设内存页的访问企图，则对访问行为进行合法性判定，以检测shellcode执行的攻击行为。

技术领域

本发明涉及信息网络安全技术领域，尤其是涉及应用层shellcode的检测方法、装置、计算机设备及计算机存储介质。

背景技术

在现有的各种计算机软件中，由于系统开放性、交互性和软件自身的缺陷导致计算机或者服务系统容易遭受恶意代码和漏洞的攻击，特别是系统漏洞触发外地代码shellcode的执行时，shellcode是溢出恶意攻击行为的核心代码，攻击者可以利用shellcode进入宿主进程，对宿主进程发起攻击，从而实现对操作系统的控制。

应用层是操作系统或网络应用程序提供网络服务的接口，主要负责人机交互工作。通常情况下，一旦应用层出现漏洞，被shellcode发起的攻击行为所控制，危害是极其严重的。目前，利用系统漏洞向应用层动态链接库直接注入shellcode的方式是最常见的攻击手段。然而，当前的防护手段只能从后续攻击行为上来判断或阻拦，针对未知的攻击行为，无法做到攻击效果的预判，使得攻击者的异常行为很难被检测，无法及时发现攻击行为的执行。

发明内容

有鉴于此，本发明提供了一种应用层shellcode的检测方法、装置、计算机设备及计算机存储介质，主要目的在于对操作系统应用层的特定内存页进行监控，能够及时检测出异常的操作行为，有效发现应用层shellcode攻击行为的执行。

依据本发明一个方面，提供了一种应用层shellcode的检测方法，该方法包括：

通过在shellcode执行攻击行为定位应用层动态链接库的路径上选取预设内存页，将所述预设内存页设置为指定属性；

基于设置的指定属性，对应用模块所在预设内存页的操作行为进行监控；

若发生对应用模块所在预设内存页的操作行为，则对应用模块所在预设内存页的操作行为进行合法性判定，以检测shellcode执行的攻击行为。

进一步地，所述基于设置的指定属性，对应用模块所在预设内存页的操作行为进行监控，包括：

通过将应用层关键动态链接库所在的预设内存页设置为保护属性标志，以使得所述应用模块所在预设内存页的操作行为会触发异常；

捕获对所述应用层关键动态链接库所在的内存页的操作行为，监控是否发生对应用模块所在预设内存页的操作行为而触发的异常；

若是，则确定发生应用模块所在预设内存页的操作行为。

进一步地，所述捕获对所述应用层关键动态链接库所在的内存页的操作行为，监控是否发生对应用模块所在预设内存页的操作行为而触发的异常，包括：

利用乒乓监控机制处理捕获的对所述应用层关键动态链接库所在的内存页的操作行为，监控是否发生对应用模块所在预设内存页的操作行为而触发的异常。

进一步地，所述利用乒乓监控机制处理捕获的对所述应用层关键动态链接库所在的内存页的操作行为，监控是否发生对应用模块所在预设内存页的操作行为而触发的异常，包括：

利用乒乓监控机制将应用层关键动态链接库的PE头所在的内存设置为乒页；

利用乒乓监控机制将应用层关键动态链接库的导出表所在的内存页设置为乓页；