[发明专利]基于地址随机的反内核挂钩方法

摘要

本发明涉及一种基于地址随机的反内核挂钩方法，包含：将初始化后的内核模块复制到一个随机选定的内存新位置，释放内核模块占用的老内存空间；对新位置的内核模块进行地址再重定位；修正内核模块管理信息和内核模块向内核子系统的注册信息，将内核模块正常注册的函数或操作集地址改到新的内存位置。本发明能够在rootkit的钩子函数第一次执行时发现rootkit，防止未知的rootkit内核挂钩，在模块初始化完毕之后增加随机化处理，并对部分内核接口函数进行了改造，添加记录注册函数的功能，有效降低性能开销，操作系统内核防护得到保障，有效增强系统内核的完整性和安全性。

主权项

一种基于地址随机的反内核挂钩方法，其特征在于：包含如下步骤：步骤1.加载内核模块，进行符号解析和地址重定位，执行内核模块中的初始化函数，并记录内核模块在初始化过程中的注册信息，内存模块占用内存空间区域包括模块初始化区域和模块核心区域，初始化完毕后，模块初始化区域被释放；步骤2.随机申请一个内存空间，将内核模块的数据信息由原内存空间拷贝到随机申请的内存空间中，对随机申请的内存空间中的内核模块进行地址再重定位，并释放内核模块占用的原内存空间，将注册信息在内核子系统中内存地址记录下来；步骤3.修改内核模块管理信息及注册信息，使其指向内核模块随机申请的内存空间的位置。