[发明专利]基于操作系统内核级缓冲区对动态链接库加载校验的方法

说明书

本发明公开了基于操作系统内核级缓冲区对动态链接库加载校验的方法，包括以下步骤：S1：对所有经过内核的动态链接库加载调用请求进行拦截；S2：将拦截得到所加载的动态链接库文件映射数据放入缓冲区；S3：对所加载的动态链接库数据缓冲区数据进行散列算法处理；S4：对缓冲区内的数据进行散列算法识别、审计并控制。本发明实现对所有Windows操作系统进行拦截动态链接库加载行为的IRP请求，以内核层为基础，操作系统所有行为都将转换成请求给内核处理保障所有请求都可拦截，对其所加载的动态链接库文件进行数据散列算法计算保障数据内容的唯一性，不可篡改性。

技术领域

本发明涉及操作系统的可信技术领域，尤其涉及基于操作系统内核级缓冲区对动态链接库加载校验的方法。

背景技术

公知的，在任意版本的Windows操作系统中，内核所承担的主要功能是为硬件提供管理服务并向上层提供统一的接口，内核管理硬件资源是以处理器为核心的设备计算资源、中断资源以及存储资源。通过内核为上层用户态与底层硬件实现交互，动态链接，在可执行文件装载时或运行时，由操作系统的装载程序加载库，大多数操作系统将解析外部引用作为加载过程的一部分，在这些系统上，可执行文件包含一个叫做import directory的表，该表的每一项包含一个库的名字，根据表中记录的名字，装载程序在硬盘上搜索需要的库，然后将其加载到内存中预先不确定的位置，之后根据加载库后确定的库的地址更新可执行程序。可执行程序根据更新后的库信息调用库中的函数或引用库中的数据。这种类型的动态加载成为装载时加载，被包括Windows和Linux的大多数系统采用。

在Windows操作系统用户态中，用户所安装使用的应用程序所需要加载动态链接库Dll对实现相应的功能，而应用程序加载动态链接库Dll过程中会与操作系统内核交互，称为文件映像或加载DLL的IRP请求，该内核会处理此请求，如应用程序的动态链接库存在恶意病毒或木马程序将对操作系统形成安全威胁可以破坏操作系统的完整性和安全性，而这种恶意行为也需要通过操作系统内核处理，所以需要对任意应用程序加载动态链接库的请求进行拦截、识别、审计和管控。

发明内容

本发明的目的在于提供基于操作系统内核级缓冲区对动态链接库加载校验的方法，以解决现有技术中的上述不足之处。

为了实现上述目的，本发明采用了如下技术方案：基于操作系统内核级缓冲区对动态链接库加载校验的方法，包括以下步骤：

S1：对所有经过内核的动态链接库加载调用请求进行拦截；

S2：将拦截得到所加载的动态链接库文件映射数据放入缓冲区；

S3：对所加载的动态链接库数据缓冲区数据进行散列算法处理；

S4：对缓冲区内的数据进行散列算法识别、审计并控制。

作为上述技术方案的进一步描述：

所述步骤S1中，在拦截动态链接库加载调用请求时，同时对原本的调用过程进行挂机。

作为上述技术方案的进一步描述：

所述步骤S1中当非动态链接库加载请求出现时正常放行不进行拦截。

作为上述技术方案的进一步描述：

所述步骤S2中将拦截得到所加载的动态连接库文件映像内存地址中的动态链接库文件数据放入定义的识别缓冲区中，所述步骤S2中要求得到S1中的加载请求。

作为上述技术方案的进一步描述：

所述步骤S3中,对所加载的动态链接库交互数据缓冲区对数据进行散列算法后得到的文件HASH值，所述步骤S3中要求得到S2中的缓冲区数据。

作为上述技术方案的进一步描述：

所述步骤S4对缓冲区内的数据进行散列算法识别、审计并控制具体包括以下步骤：