[发明专利]一种基于动态库的虚拟机进程行为监控方法与系统

摘要

本发明公开了一种基于动态库的虚拟机进程行为监控方法，包括：基于动态链接库，在二进制的基础上，在API函数入口处设置钩子，实现对虚拟机进程调用API函数的截获；利用虚拟化隔离特性和内存保护技术，保护钩子不被虚拟机和虚拟机里的进程感知，达到透明监控的目的。本发明在对虚拟机完全透明的情形下，截获虚拟机进程的API函数调用，实现了对虚拟机进程行为细粒度的透明监控。本发明还提供了相应的基于动态库的虚拟机进程行为监控系统。

主权项

1.一种基于动态库的虚拟机进程行为监控方法，其特征在于，所述方法包括如下步骤：(1)依据动态链接库的二进制内容格式和被监控的API函数名字，获取API函数在动态库被加载到进程时，API函数的入口地址相对于动态链接库装载地址的偏移；(2)安全监控程序启动监控时，截获虚拟机的进程切换；(3)设置钩子，截获到进程切换时，判断系统监控的API函数相应动态链接库此进程是否已经加载，依据步骤(1)获取的偏移地址和动态库在进程中的加载地址，对此进程相关的动态链接库内存空间设置钩子，并且设置内存保护，隐藏自身，保证对虚拟机内部透明不可知；(4)截获API调用，当进程调用相应的API函数时，由于相应的函数入口被设置钩子，此时陷入虚拟机管理器，对进程行为进行截获，并且依据安全策略相做应处理；(5)内存保护，当虚拟机系统或者虚拟机里的进程访问被设置的动态链接库空间时，由于内存保护机制，陷入到虚拟机管理器，对内存访问行为做相应处理，保证钩子对虚拟机内部的透明；所述步骤(3)具体包括如下子步骤：(3‑1)截获进程切换行为后，判断监控的API函数相应动态链接库是否已经加载并且未设置钩子；(3‑2)如果相应动态链接库已经加载，依据动态链接库的加载地址和API函数的入口地址相对于动态链接库装载地址的偏移，获取API函数相应的内存地址；(3‑3)对API函数的入口地址设置钩子，并且设置EPT页表相应页表项为不可读写，对设置钩子的地址进行保护；所述步骤(4)具体包括如下子步骤：(4‑1)进程调用API函数，由于cpuid指令的运行，陷入到虚拟机管理器，事件被截获；(4‑2)依据cpuid指令执行的地址，判断是相应API函数的调用地址，并且依据安全策略进行相应处理，处理完毕，模拟钩子处原来指令运行，并且返回虚拟机运行。