[发明专利]基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法

权利要求书

1.一种基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，其特征在于，包括：

构建用户态进程网络视图；

在QEMU虚拟机中重构内核结构体，并构建基于内核结构体的内核态进程网络视图；

通过QEMU虚拟机记录cr3寄存器值更新的过程数据，将所述过程数据与从所述内核结构体中获取的进程信息进行关联，得到基于CPU调度的运行态进程视图；

通过QEMU虚拟机获取重要内存区域被访问时的cr3寄存器值，将所获取的cr3寄存器值与所述内核结构体中的进程结构体做关联，得到重要内存区域访问进程视图；

构建基于虚拟机网卡的网络进程视图；

基于所述用户态进程网络视图、所述内核态进程网络视图、所述运行态进程视图、所述重要内存区域访问进程视图以及所述基于虚拟机网卡的进程网络视图，进行视图间的交叉对比，实现隐藏进程和隐藏网络连接检测。

2.根据权利要求1所述的基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，其特征在于，基于所述用户态进程网络视图、所述内核态进程网络视图、所述运行态进程视图、所述重要内存区域访问进程视图以及所述基于虚拟机网卡的进程网络视图，进行视图间的交叉对比，实现隐藏进程和隐藏网络连接检测，包括：

对比所述用户态进程网络视图和所述内核态进程网络视图之间的差异，并根据得到的第一差异数据确定隐藏进程和隐藏网络连接；

对比所述内核态进程网络视图和所述运行态进程视图之间的差异，并根据得到的第二差异数据确定隐藏进程；

确定所述运行态进程视图和所述重要内存区域访问进程视图的相同之处，并根据得到的第一交集数据确定隐藏进程；

对比所述内核态进程网络视图和所述基于虚拟机网卡的进程网络视图之间的差异，并根据得到的第三差异数据确定隐藏进程和隐藏网络连接；

确定所述重要内存区域访问进程视图和所述基于虚拟机网卡的进程网络视图的相同之处，并根据得到的第二交集数据确定隐藏进程。

3.根据权利要求2所述的基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，其特征在于，

根据得到的第一差异数据确定隐藏进程和隐藏网络连接，包括：将所述内核态进程网络视图中存在、且所述用户态进程网络视图中不存在的进程确定为隐藏进程；将所述内核态进程网络视图中存在、且所述用户态进程网络视图中不存在的网络连接确定为隐藏网络连接；

根据得到的第二差异数据确定隐藏进程，包括：将所述运行态进程视图中存在、且所述内核态进程网络视图中不存在的进程确定为隐藏进程；

根据得到的第一交集数据确定隐藏进程，包括：将所述运行态进程视图和所述重要内存区域访问进程视图中均存在的进程归为可疑进程，并对可疑进程进行判断，以确定是否为隐藏进程；

根据得到的第三差异数据确定隐藏进程和隐藏网络连接，包括：将所述基于虚拟机网卡的进程网络视图中存在、且所述内核态进程网络视图中不存在的进程确定为隐藏进程；将所述基于虚拟机网卡的进程网络视图中存在、且所述内核态进程网络视图中不存在的网络连接确定为隐藏网络连接；

根据得到的第二交集数据确定隐藏进程，包括：将所述重要内存区域访问进程视图和所述基于虚拟机网卡的进程网络视图中均存在的进程归为可疑进程，并对该可疑进程进行判断，以确定是否为隐藏进程。

4.根据权利要求1所述的基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，其特征在于，在进行所述视图间的交叉对比的过程中，基于进程ID、进程名字、进程gpd的值、ip地址以及端口作为关键词，来实现视图间的交叉对比。

5.根据权利要求1所述的基于QEMU虚拟机的隐藏进程和隐藏网络连接检测方法，其特征在于，构建用户态进程网络视图，包括：

利用Linux Shell命令获取到当前系统运行的所有进程信息和网络连接信息；

根据所获取的进程信息和网络连接信息，构建用户态进程网络视图。