[发明专利]Linux内核模块执行进程的检测方法及装置

权利要求书

1.一种Linux内核模块执行进程的检测方法，其特征在于，包括步骤：

在Linux环境下，执行驱动安装程序，调用第一注册函数向第一注册点注册第一回调函数，向第二注册点注册第二回调函数；

在第一回调函数中，当判断Linux内核模块执行的进程为Linux内核创建的线程时，则生成一个保存有struct subprocess_info对象的指针和保存有该进程的tgid的对象，并将其插入构建的缓存列表中；所述struct subprocess_info对象保存对应于该进程可执行程序的路径、参数和环境变量的指针；

在第二回调函数中，若该进程的tgid存在于缓存列表中，则从缓存列表中获取structsubprocess_info对象的指针；

若该struct subprocess_info对象中可执行程序的路径、参数和环境变量的指针未存在于Linux的任一内核模块中，则判断该进程由恶意Rootkit内核模块发起执行。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若该struct subprocess_info对象中可执行程序的路径、参数和环境变量的指针存在于Linux的任一内核模块中，且该任一内核模块已被判断为恶意模块，则判断该进程由恶意Rootkit内核模块发起执行。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

当判断该进程由恶意Rootkit内核模块发起执行时，第二回调函数返回-EPERM标识，并阻断该进程执行。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括卸载驱动程序：

解注册第一注册函数，解注册第二注册函数。

5.一种Linux内核模块执行进程的检测装置，其特征在于，包括：

回调函数注册模块，用于在Linux环境下，执行驱动安装程序，调用第一注册函数向第一注册点注册第一回调函数，向第二注册点注册第二回调函数；

第一回调函数处理模块，用于在第一回调函数中，当判断Linux内核模块执行的进程为Linux内核创建的线程时，则生成一个保存有struct subprocess_info对象的指针和保存有该进程的tgid的对象，并将其插入构建的缓存列表中；所述struct subprocess_info对象保存对应于该进程可执行程序的路径、参数和环境变量的指针；

第二回调函数处理模块，用于在第二回调函数中，若当前进程的tgid存在于缓存列表中，则从缓存列表中获取struct subprocess_info对象的指针；

恶意Rootkit程序判断模块，若该struct subprocess_info对象中可执行程序的路径、参数和环境变量的指针未存在于Linux的任一内核模块中，则判断该进程由恶意Rootkit内核模块发起执行。

6.根据权利要求5所述的装置，其特征在于，所述恶意Rootkit程序判断模块，还用于若该struct subprocess_info对象中可执行程序的路径、参数和环境变量的指针存在于Linux的任一内核模块中，且该任一内核模块已被判断为恶意模块，则判断该进程由恶意Rootkit内核模块发起执行。

7.根据权利要求5或6所述的装置，其特征在于，还包括Rootkit恶意程序处理模块，用于当判断该进程由恶意Rootkit内核模块发起执行时，第二回调函数返回-EPERM标识，并阻断该进程执行。

8.根据权利要求5所述的装置，其特征在于，还包括驱动程序卸载模块，用于解注册第一注册函数和解注册第二注册函数。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，其特征在于，所述处理器执行所述程序时实现如权利要求1-4中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机可执行指令，其特征在于，所述可执行指令被处理器执行时实现如权利要求1-4中任一项所述的方法。