[发明专利]一种高准确率的Linux共享内存恶意代码检测方法

说明书

本发明涉及一种高准确率的Linux共享内存恶意代码检测方法。主要包括以下5个步骤：(1)筛选tmpfs文件类型；(2)收集vm_file字段指向的文件对象；(3)枚举共享内存中的内容；(4)将已收集到的内容进行对比分析；(5)根据文件权限位标志和父进程相关信息进行筛选。本发明为所收集文件对象的权限标志位以及父进程相关信息进行筛选，解决了现存共享内存恶意代码检测方法的误报率高的问题，对SYSTEM V类型的共享内存进行信息提取，解决了基于Rekall的动态共享内存恶意代码检测方法中对共享内存检测不全面、漏报率高等问题，本发明提出的共享内存恶意代码检测方法可以适用于Rekall框架适用的所有Linux系统版本。

技术领域

本发明属于信息安全——内存取证领域，具体涉及一种高准确率的Linux共享内存恶意代码检测方法。

背景技术

现如今，仍有许多恶意软件可以隐匿或获得许可在合法程序中运行自己，恶意软件制作者们与安全防御者们相互竞争较量促进网络安全的发展，提高了攻击性和防御性方法的复杂程度。现代恶意软件主要驻留在易失性存储中并且只能在运行状态下被检测到，从而有可能妨碍取证过程，因此研究人员开始使用内存获取或现场取证分析来检测和分析潜在威胁。但是，最近的恶意软件开始采用反取证技术来阻止取证工具来获得有意义的结果。对于反取证技术现阶段的研究主要针对Windows系统，所以Linux中的反取证技术仍有很大的研究空间。反取证就是删除或者隐藏证据使取证调查无效。目前反取证技术分为三类：数据加密、数据隐藏、数据删除。基于共享内存的反取证就是一种数据隐藏技术。

从进程的角度看，驻留在私有内存中的数据一旦未映射就会丢失，而共享内存仍然是可访问的，且只要至少有一个进程对其持有句柄，就可以保持可用。所以在进程注入时，共享内存是一个很好的注入位置，现在主流的取证工具(如volatility和Rekall)对共享内存的检测不够彻底，存在误报率、漏报率高的问题。

发明内容

为了解决现存Linux共享内存恶意代码检测中存在的误报率高、检测内容不全面等问题，本发明公开了一种高准确率的Linux共享内存恶意代码检测方法。

为此，本发明提供了如下技术方案：

1.一种高准确率的Linux共享内存恶意代码检测方法，主要包括以下步骤：

(1)筛选tmpfs文件类型；

(2)收集vm_file字段指向的文件对象；

(3)枚举共享内存中的内容；

(4)将已收集到的内容进行对比分析；

(5)根据文件权限位标志和父进程相关信息进行筛选。

2.根据权利要求1所述的一种高准确率的Linux共享内存恶意代码检测方法，其特征在于：所述步骤(1)中，先找到文件的file_struct结构，筛选该结构下的f_mapping字段对应的文件权限值为S_IFREG的映射文件，筛选该结构下vfsmnt字段对应的类型为tmpfs的文件系统。

3.根据权利要求1所述的一种高准确率的Linux共享内存恶意代码检测方法，其特征在于：所述步骤(2)中，查找每个进程的VMA块(虚拟内存空间)，筛选vm_file字段指向的文件，收集所有映射到VMA的文件，并将它们存放到一个列表中。

4.根据权利要求1所述的一种高准确率的Linux共享内存恶意代码检测方法，其特征在于：所述步骤(3)中，首先收集通过调用memfd函数创建并调用mmap函数映射的共享内存类型(包括基于POSIX mmap文件映射实现的共享内存和通过memfd_created()和fd跨进程共享实现的共享内存)，在进程文件中遍历file_ptr字段，收集相应的内容，枚举其中的文件对象，之后收集SYSTEM V类型的共享内存中的文件对象，在进程文件的sysvshm字段对象文件中遍历shmid_kernel_object结构收集相应内容。