[发明专利]一种基于自省技术的虚拟机安全监控方法及系统

权利要求书

1.一种基于自省技术的虚拟机安全监控方法，其特征在于，包括以下步骤：

建立虚拟机行为的插件库，该插件库中功能相似的API函数聚合在一起作为插件；根据监控指令从插件库中选择所要监控的插件，通过读取插件库中的API函数名称以及API函数的相对偏移地址，计算出API函数的虚拟地址；

读取插件库中API函数的虚拟地址，保存该虚拟地址存储的机器码，然后将该虚拟地址存储的机器码修改为中断指令的机器码；

虚拟机访问修改后的该虚拟地址并触发中断后，暂停虚拟机运行，对虚拟机进行语义解析以获得API函数的调用信息；

在语义解析完成后，将API函数的虚拟地址中存储的原机器码写回该虚拟地址中，设置虚拟机为单步执行后恢复虚拟机执行。

2.根据权利要求1所述的方法，其特征在于，所述插件库将WindowsAPI函数按文件、进程、网络、注册表、shell、驱动进行主机行为分类，每个行为类为一个插件，每个行为类中涵盖该类中常用的API函数名称和用来计算虚拟地址的库函数相对偏移地址。

3.根据权利要求1所述的方法，其特征在于，所述根据监控指令从插件库中选择所要监控的插件，通过读取插件库中的API函数名称以及API函数的相对偏移地址，计算出API函数的虚拟地址，包括：

接收到目标虚拟机配置和监控配置消息，解析后下发给插件库进行匹配；

通过插件库匹配插件，依次读取目标插件库中的API函数名称和此函数的相对偏移地址；

将dll库的基址与API函数的相对偏移地址相加，计算生成此函数的虚拟地址；

将此虚拟地址和函数名称的对应关系存储在映射表A。

4.根据权利要求1所述的方法，其特征在于，所述读取插件库中API函数的虚拟地址，保存该虚拟地址存储的机器码，然后将该虚拟地址存储的机器码修改为中断指令的机器码，包括：

读取指定目录文件中的函数，与当前程序中已监控的函数进行匹配，判断该函数是需要动态添加还是需要动态减少的；

如果是需要动态减少的函数，则修改该函数的虚拟地址内容为原先保存的机器码；

如果是需要动态添加的函数，则依次读取插件库存储的虚拟地址，读取该虚拟地址的存储内容，建立虚拟地址与存储内容的映射关系；然后将该虚拟地址原本存储的机器码改写为中断指令的机器码，等待虚拟机访问该虚拟地址触发中断陷入。

5.根据权利要求1所述的方法，其特征在于，所述对虚拟机进行语义解析以获得API函数的调用信息，包括：

根据CPU寄存器RCX、RDX的值调用libvmi库函数读取内存值；

使用内存值，配合符号偏移表，还原出调用API函数的进程名称、进程id、函数参数。

6.根据权利要求1所述的方法，其特征在于，虚拟机单步执行指令后陷入到虚拟机管理器层，此时取消虚拟机的单步执行，将虚拟地址内容恢复为中断指令，等待下次触发。

7.根据权利要求1所述的方法，其特征在于，通过所述插件库实现虚拟机异常弹窗截获，通过拦截弹窗API并分析弹窗内容，知晓虚拟机是否出现过杀毒软件告警提示。

8.一种采用权利要求1～7中任一权利要求所述方法的基于自省技术的虚拟机安全监控系统，其特征在于，包括：

插件库模块，用于建立虚拟机行为的插件库，该插件库中功能相似的API函数聚合在一起作为插件；根据监控指令从插件库中选择所要监控的插件，通过读取插件库中的API函数名称以及API函数的相对偏移地址，计算出API函数的虚拟地址；

中断设置模块，用于读取插件库中API函数的虚拟地址，保存该虚拟地址存储的机器码，然后将该虚拟地址存储的机器码修改为中断指令的机器码；

语义解析模块，用于在虚拟机访问修改后的该虚拟地址并触发中断后，对虚拟机进行语义解析以获得API函数的调用信息；

中断恢复模块，用于在语义解析完成后，将API函数的虚拟地址中存储的原机器码写回该虚拟地址中，设置虚拟机为单步执行后恢复虚拟机执行。