[发明专利]基于动态编码的终端防护方法及装置

权利要求书

1.一种基于动态编码的终端防护方法，其特征在于，包括：

客户端向服务端发送接入请求；

当服务端通过所述接入请求时，获取客户端的终端信息和会话信息，将所述终端信息和会话信息作为编码参数对加载的安全模块进行动态编码，得到编码后的安全模块，依次对所述安全模块进行签名和加密，并将所述加密后的安全模块下发至客户端；

客户端接收所述安全模块，依次对所述安全模块进行解密和签名验证，若签名验证通过，则执行所述安全模块，以使所述安全模块进行安全检测并得到检测结果，并将检测结果发送至服务端，若签名验证失败，则中断连接；

服务端接收所述检测结果，并根据所述检测结果判断客户端是否存在异常，若存在异常，则确定异常风险程度，并根据所述异常风险程度进行对应的风险处置；

所述将所述终端信息和会话信息作为编码参数对加载的安全模块进行动态编码，包括：

服务端按预设规则对黑白名单数据进行更新，其中，所述黑白名单数据至少包括恶意程序名称、恶意模块名称和特征信息，所述特征信息至少包括特征码；

服务端读取最新的黑白名单数据，并将最新的所述黑白名单数据填入所述安全模块，其中，所述安全模块设置有数据扫描功能以及预留用于存储所述黑白名单数据的数据存储空间。

2.根据权利要求1所述的基于动态编码的终端防护方法，其特征在于，所述执行所述安全模块，以使所述安全模块进行安全检测并得到检测结果，包括：

所述安全模块启动数据扫描功能，并根据黑白名单数据扫描当前运行环境是否存在对应的恶意程序、恶意模块和特征码，并生成扫描结果。

3.根据权利要求1所述的基于动态编码的终端防护方法，其特征在于，所述将所述终端信息和会话信息作为编码参数对加载的安全模块进行动态编码，包括：

服务端构建用于改变代码特征和结构的新功能代码，将所述新功能代码填入所述安全模块。

4.根据权利要求3所述的基于动态编码的终端防护方法，其特征在于，所述构建用于改变代码特征和结构的新功能代码，将所述新功能代码填入所述安全模块，包括：

服务端基于当前时间数据和随机数生成随机种子；

服务端根据预置算法构造规则和所述随机种子生成一个摘要算法集，并从所述摘要算法集中选取一个摘要算法作为目标算法，所述摘要算法集包括多个不同的摘要算法；

绑定所述终端信息和会话信息，将绑定的所述终端信息和会话信息作为所述目标算法的摘要参数，并执行所述目标算法，使所述安全模块与本次的会话绑定得到算法数据；

将所述算法数据和摘要参数传入至功能框架，使所述功能框架依据CPU指令集规则构造有效负载。

5.根据权利要求1所述的基于动态编码的终端防护方法，其特征在于，所述将所述终端信息和会话信息作为编码参数对加载的安全模块进行动态编码，包括：

服务端对所述安全模块的指令集按照CPU指令集规则进行解析，对每一指令的指令代码进行指令替换处理和指令混淆处理。

6.根据权利要求5所述的基于动态编码的终端防护方法，其特征在于，所述对每一指令的指令代码进行指令替换处理和指令混淆处理，包括：

解析每一指令的功能含义，并根据所述功能含义确定相同功能含义的替换指令；

将每一指令的指令代码替换为对应替换指令的指令代码。

7.根据权利要求5所述的基于动态编码的终端防护方法，其特征在于，所述对每一指令的指令代码进行指令替换处理和指令混淆处理，包括：

对每一指令的指令代码进行花指令添加；

或者，对每一指令的指令代码进行控制流平坦化；

或者，对每一指令的指令代码进行函数粉碎处理。

8.根据权利要求1所述的基于动态编码的终端防护方法，其特征在于，所述根据所述异常风险程度进行对应的风险处置，包括：

服务端确认客户端存在异常的异常风险程度，判断所述异常风险程度是否为预置高级风险；

若是，则断开服务端与客户端的连接；

若否，则允许客户端继续接入。

9.一种基于动态编码的终端防护装置，其特征在于，包括：

客户端，用于向服务端发送接入请求；以及用于接收安全模块，依次对所述安全模块进行解密和签名验证，若签名验证通过，则执行所述安全模块，以使所述安全模块进行安全检测并得到检测结果，并将检测结果发送至服务端，若签名验证失败，则中断连接；

服务端，用于通过所述接入请求，获取客户端的终端信息和会话信息，将所述终端信息和会话信息作为编码参数对加载的安全模块进行动态编码，得到编码后的安全模块，依次对所述安全模块进行签名和加密，并将所述加密后的安全模块下发至客户端；以及接收所述检测结果，并根据所述检测结果判断客户端是否存在异常，若存在异常，则确定异常风险程度，并根据所述异常风险程度进行对应的风险处置；

所述将所述终端信息和会话信息作为编码参数对加载的安全模块进行动态编码，包括：

服务端按预设规则对黑白名单数据进行更新，其中，所述黑白名单数据至少包括恶意程序名称、恶意模块名称和特征信息，所述特征信息至少包括特征码；

服务端读取最新的黑白名单数据，并将最新的所述黑白名单数据填入所述安全模块，其中，所述安全模块设置有数据扫描功能以及预留用于存储所述黑白名单数据的数据存储空间。