[发明专利]检测程序是否运行于金山安全沙箱系统环境的方法及系统

说明书

本发明提供了一种检测程序是否运行于金山安全沙箱系统环境的方法，所述方法为：遍历操作系统中运行的所有进程，检测是否匹配到一个进程名或进程的主模块的模块名为“ksandbox.exe”的进程；是，则操作系统存在特征一ksandbox.exe；遍历操作系统中运行的所有进程，检测是否匹配到一个加载了动态链接库“kislog.dll”的进程；是，则操作系统存在特征二kislog.dll；检测在应用程序的内存空间中是否发现加载动态链接库“KisDcom.dll”的痕迹；是，则操作系统存在特征三KisDcom.dll；否，则不存在；获取三个特征的检测结果；通过设定的精确判定模式或者模糊判定模式的对应方式对检测结果做出分析，并返回分析结果，即能判断应用程序是否运行于金山安全沙箱系统环境中；使得应用程序避免自身被恶意使用。

技术领域

本发明涉及计算机系统通信技术领域、软件安全、游戏外挂检测领域，特别是一种检测程序是否运行于金山安全沙箱系统环境的方法及系统。

背景技术

金山安全沙箱又名金山隔离沙箱，是金山软件公司开发的安全产品。金山安全沙箱通过虚拟化技术创建虚拟化的隔离系统环境。针对运行于金山安全沙箱创建的虚拟化系统环境中的应用程序，金山安全沙箱会记录它们的文件读写、注册表更改等行为。另外，运行于金山安全沙箱系统环境中的应用程序进行的高系统权限操作(如更改操作系统文件，控制系统驱动程序等)会被金山安全沙箱通过挂钩系统函数、文件重定向等技术重定向到虚拟化的操作系统环境中，即金山安全沙箱系统环境中的应用程序对真实系统无任何影响并且可以随时删除和还原。程序运行在沙箱环境中好比在用沙做图，随时一抹就平，不会留下痕迹。

由于具有隔离真实操作系统环境的功能，金山安全沙箱被广泛应用于病毒行为分析领域，但同时也被恶意地用于软件逆向破解领域、非法多开游戏客户端、非法绕过应用程序的自保护模块等领域，间接损害了相关人员的知识产权利益、经济利益等合法权益。

技术用语解释：

DLL注入，即动态链接库注入，就是将一个动态链接库加载到内存中并让它成为指定进程的一部分的技术。DLL注入包含多种不同的实施方案，如修改应用程序导入表、DLL文件劫持等。

PID(Process Identification)操作系统里指进程识别号，也就是进程标识符。操作系统里每打开一个程序都会创建一个进程ID，即PID。

发明内容

为克服上述问题，本发明的目的是提供一种检测程序是否运行于金山安全沙箱系统环境的方法，能检测应用程序当前运行的操作系统是否为金山安全沙箱系统，从而使应用程序避免自身被恶意使用。

本发明采用以下方案实现：一种检测程序是否运行于金山安全沙箱系统环境的方法，所述方法为：

遍历操作系统中运行的所有进程，检测是否匹配到一个进程名或进程的主模块的模块名为“ksandbox.exe”的进程；是，则操作系统存在特征一ksandbox.exe；否，则不存在；

遍历操作系统中运行的所有进程，检测是否匹配到一个加载了动态链接库“kislog.dll”的进程；是，则操作系统存在特征二kislog.dll；否，则不存在；

检测在应用程序的内存空间中是否发现加载动态链接库“KisDcom.dll”的痕迹；是，则操作系统存在特征三KisDcom.dll；否，则不存在；获取三个特征的检测结果；

通过设定的精确判定模式或者模糊判定模式的对应方式对检测结果做出分析，并返回分析结果，即能判断应用程序是否运行于金山安全沙箱系统环境中；

所述模糊判定模式的对应方式是只要应用程序检测到系统环境中存在金山安全沙箱系统三个特征中的任意一个，则判定应用程序当前运行的操作系统环境为金山安全沙箱系统环境；