[发明专利]内核层shellcode的检测方法及装置

权利要求书

1.一种内核层shellcode的检测方法，其特征在于，所述方法包括：

通过在shellcode执行的攻击行为定位内核层支持函数的路径上选取预设内存页，对所述预设内存页设置指定属性；

基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控；

若发生对内核模块所在预设内存页的操作行为，则对内核模块所在预设内存页的操作行为进行合法性判定，以检测shellcode执行的攻击行为。

2.根据权利要求1所述的方法，其特征在于，所述基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控，包括：

将所述内核模块所在预设内存页设置为缺页状态，以使得所述内核模块所在预设内存页的操作行为会触发缺页中断；

通过捕获系统的缺页中断，监控是否发生对内核模块所在预设内存页的操作行为而触发的缺页中断；

若是，则确定发生对内核模块所在预设内存页的操作行为。

3.根据权利要求2所述的方法，其特征在于，所述通过捕获系统的缺页中断，判断是否发生对内核模块所在预设内存页的操作行为而触发的缺页中断，包括：

通过捕获系统的缺页中断，当发生对缺页内存操作行为而触发缺页中断时，判断缺页内存所置换的内存页是否为内核模块所在预设内存页；

所述若是，则确定发生对内核模块所在预设内存页的操作行为，包括：

若缺页内存所置换的内存页为内核模块所在预设内存页，则判定发生对内核模块所在预设内存页的操作行为而触发的缺页中断，并确定发生对内核模块所在预设内存页的操作行为。

4.根据权利要求1所述的方法，其特征在于，所述基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控，包括：

将所述内核模块所在预设内存页的地址设置到调试寄存器中，以使得所述内核模块所在预设内存页的操作行为会触发调试中断；

通过捕获系统的调试中断，监控是否发生对内核模块所在预设内存页的操作行为而触发的调试中断；

若是，则确定发生对内核模块所在预设内存页的操作行为。

5.根据权利要求4所述的方法，其特征在于，所述通过捕获系统的调试中断，监控是否发生对内核模块所在预设内存页的操作行为而触发的调试中断，包括：

通过捕获系统的调试中断，当发生对所设置内存地址的操作行为而触发调试中断时，判断所设置内存地址是否为内核模块所在预设内存页的地址；

所述若是，则确定发生预设内存页的操作行为，包括：

若所设置内存地址为内核模块所在预设内存页的地址，则判定发生对内核模块所在预设内存页的操作行为而触发的调试中断，并确定发生对内核模块所在预设内存页的操作行为。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述对内核模块所在预设内存页的操作行为进行合法性判定，以检测shellcode执行的攻击行为，包括：

获取内核模块所在预设内存页的操作行对应的指令地址；

基于预先构建的预定行为库将所述内核模块所在预设内存页的操作行为对应的指令地址与预定行为库中的合法行为对应的指令地址进行比对，所述预定行为库中保存有适用于不同内核模块所在预设内存页的合法操作行为对应的指令地址范围；

将比对结果一致所对应预设内存页的操作行为判定为合法操作行为；

将比对结果不一致所对应预设内存页的操作行为判定为shellcode执行的攻击行为。

7.根据权利要求6述的方法，其特征在于，在所述基于预先构建的预定行为库将所述内核模块所在预设内存页的操作行为对应的指令地址与预定行为库中的合法行为对应的指令地址进行比对之前，所述方法还包括：

利用本地接口函数获取内核模块所在预设内存页的合法操作行为，构建预定行为库。