[发明专利]基于Linux内核的实时检测与阻断进程提权方法及装置

权利要求书

1.一种基于Linux内核的实时检测与阻断进程提权的方法，其特征在于，包括步骤：

Linux内核层加载待运行应用程序前，利用第一回调函数获取该待运行应用程序的进程信息；

若根据该进程信息判定所述进程不是内核线程时，获取该进程所属的进程链信息；

若该进程的第一用户标识与进程链中父进程的第一用户标识不相等时，判断该进程发生第一级别潜在权限提升；

判断发生第一级别潜在权限提升的进程的第一用户标识是否与根用户的第二用户标识相等，若是，判断该进程发生第二级别潜在权限提升；

判断发生第二级别潜在权限提升的进程对应的可执行文件是否被设置了第三用户标识属性，若是，则判断该进程发生权限提升；

其中，所述第一用户标识包括EUID；所述第二用户标识包括UID；第三用户标识包括SUID。

2.根据权利要求1所述的方法，其特征在于，所述第一回调函数包括bprm_check_security函数。

3.一种基于Linux内核的实时检测与阻断进程提权的装置，其特征在于，包括：

进程信息获取模块，用于Linux内核层加载待运行应用程序前，利用第一回调函数获取该待运行应用程序的进程信息；

父进程信息获取模块，用于若根据该进程信息判定所述进程不是内核线程时，获取该进程所属的进程链信息；

第一级别潜在权限提升判断模块，用于若该进程的第一用户标识与进程链中父进程的第一用户标识不相等时，判断该进程发生第一级别潜在权限提升；

第二级别潜在权限提升判断模块，用于判断发生第一级别潜在权限提升的进程的第一用户标识是否与根用户的第二用户标识相等，若是，判断该进程发生第二级别潜在权限提升；

权限提升判断模块，用于判断发生第二级别潜在权限提升的进程对应的可执行文件是否被设置了第三用户标识属性，若是，则判断该进程发生权限提升；

其中，所述第一用户标识包括EUID；所述第二用户标识包括UID；第三用户标识包括SUID。

4.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，其特征在于，所述处理器执行所述程序时实现如权利要求1或2所述的方法。

5.一种计算机可读存储介质，其上存储有计算机可执行指令，其特征在于，所述可执行指令被处理器执行时实现如权利要求1或2所述的方法。