[发明专利]内核层shellcode的检测方法及装置

说明书

本申请公开了一种内核层shellcode的检测方法、装置、计算机设备及计算机存储介质，涉及信息网络安全技术领域，可以对操作系统内核层的特定内存页进行监控，能够及时检测出异常的操作行为，有效发现内核层shellcode攻击行为的执行。所述方法包括：通过在shellcode执行的攻击行为定位内核层支持函数的路径上选取预设内存页，对所述预设内存页设置指定属性；基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控；若发生对内核模块所在预设内存页的操作行为，则对内核模块所在预设内存页的操作行为进行合法性判定，以检测shellcode执行的攻击行为。

技术领域

本发明涉及信息网络安全技术领域，尤其是涉及内核层shellcode的检测方法、装置、计算机设备及计算机存储介质。

背景技术

在现有的各种计算机软件中，由于系统开放性、交互性和软件自身的缺陷导致计算机或者服务系统容易遭受恶意代码和漏洞的攻击，特别是系统漏洞触发外地代码shellcode的执行时，shellcode是溢出恶意攻击行为的核心代码，攻击者可以利用shellcode进入宿主进程，对宿主进程发起攻击，从而实现对操作系统的控制。

内核层是操作系统最核心的部分，负责调度cpu资源，管理进程和内存等。用户应用程序不能直接操作应将，而需要通过内核层作为中间层，由内核层真正的操纵硬件资源。一旦内核层出现漏洞，被shellcode发起的攻击行为所控制，危害是极其严重的。目前，利用系统漏洞向内核直接注入shellcode 的方式是最常见的攻击手段。然而，当前的防护软件除了封堵之外，只能基于攻击后的行为对shellcode的进行判断，对攻击前的行为束手无策，使得攻击者的异常行为很难被检测，无法及时发现攻击行为的执行。

发明内容

有鉴于此，本发明提供了一种内核层shellcode的检测方法、装置、计算机设备及计算机存储介质，主要目的在于对操作系统内核层的特定内存页进行监控，能够及时检测出异常的操作行为，有效发现内核层shellcode攻击行为的执行。

依据本发明一个方面，提供了一种内核层shellcode的检测方法，该方法包括：

通过在shellcode执行的攻击行为定位内核层支持函数的路径上选取预设内存页，对所述预设内存页设置指定属性；

基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控；

若发生对内核模块所在预设内存页的操作行为，则对内核模块所在预设内存页的操作行为进行合法性判定，以检测shellcode执行的攻击行为。

进一步地，所述基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控，包括：

将所述内核模块所在预设内存页设置为缺页状态，以使得所述内核模块所在预设内存页的操作行为会触发缺页中断；

通过捕获系统的缺页中断，监控是否发生对内核模块所在预设内存页的操作行为而触发的缺页中断；

若是，则确定发生对内核模块所在预设内存页的操作行为。

进一步地，所述通过捕获系统的缺页中断，判断是否发生对内核模块所在预设内存页的操作行为而触发的缺页中断，包括：

通过捕获系统的缺页中断，当发生对缺页内存操作行为而触发缺页中断时，判断缺页内存所置换的内存页是否为内核模块所在预设内存页；

所述若是，则确定发生对内核模块所在预设内存页的操作行为，包括：

若缺页内存所置换的内存页为内核模块所在预设内存页，则判定发生对内核模块所在预设内存页的操作行为而触发的缺页中断，并确定发生对内核模块所在预设内存页的操作行为。

进一步地，所述基于设置的指定属性，对内核模块所在预设内存页的操作行为进行监控，包括：