[发明专利]一种虚拟机中的寄生进程检测方法和装置

权利要求书

1.一种虚拟机中的寄生进程检测方法，其中，该方法包括：

截获进出指定虚拟机的数据包；

根据所截获的数据包，确定指定虚拟机中的当前活动的网络连接；

在所述指定虚拟机的外部重构所述指定虚拟机中的进程所持有的当前活动的网络连接的相关信息；

对于当前活动的一个网络连接，通过将其相关信息与对应的安全检测规则进行匹配判断该网络连接是否为异常连接；

如果判断出一个网络连接为异常连接，则确定该网络连接所属的进程是被注入恶意代码或被注入恶意动态链接库DLL的寄生进程。

2.如权利要求1所述的方法，其中，所述截获进出指定虚拟机的数据包包括：

将用于截获进出指定虚拟机的数据包的控制组件部署在位于Domain 0的虚拟网桥处。

3.如权利要求1所述的方法，其中，在所述指定虚拟机的外部重构所述指定虚拟机中的进程所持有的当前活动的网络连接的相关信息包括：

使用Libvmi映射所述指定虚拟机的目标进程对应的内存地址空间到Domain 0的内存地址空间，从而为Volatility框架提供地址空间支持；

生成基于所述Volatility框架的用于对运行时的指定虚拟机内存进行分析读取的脚本；

所述脚本通过映射后的Domain 0的内存地址空间获取该目标进程的相关内容。

4.如权利要求1-3任意一项所述的方法，其中，所述在所述指定虚拟机的外部重构所述指定虚拟机中的进程所持有的当前活动的网络连接的相关信息包括：

查找到Windows系统中的保存tcpip.sys模块信息的节点；

从所述保存tcpip.sys模块信息的节点中获得_AddrObjTable以及_TCBTable的地址；

遍历AddrObjTable以及_TCBTable指向的单向链表，获得所述指定虚拟机中的进程所持有的当前活动的网络连接的相关信息。

5.如权利要求4所述的方法，其中，所述查找到Windows系统中的保存tcpip.sys模块信息的节点包括：

从内核模式下的FS寄存器获得_KPCR数据结构的指针；

从_KPCR数据结构中的KdVersionBlock变量中读取_DBGKD_GET_VERSION64数据结构的指针；

从_DBGKD_GET_VERSION64数据结构的PsloadedModuleList成员变量中获得保存模块信息的双向链表头节点地址；

遍历PsloadedModuleList指向的双向链表，找到保存tcpip.sys模块信息的节点。

6.如权利要求1所述的方法，其中，所述根据所截获的数据包，确定指定虚拟机中的当前活动的网络连接，以及在所述指定虚拟机的外部重构所述指定虚拟机中的进程所持有的当前活动的网络连接的相关信息包括：

设立记录队列和进程队列；其中，记录队列维护所述指定虚拟机的当前活动的网络连接信息，包括：网络连接的标识、对应的进程、处理时间以及安全检测结果；所述进程队列保存所述指定虚拟机的进程列表。

7.如权利要求6所述的方法，其中，对于每个截获的数据包，执行如下流程：

判断记录队列中是否已存在该数据包对应的当前活动的网络连接信息，如果存在则按照已有的安全检测结果进行相应处理，如果不存在则重构所述指定虚拟机中的进程持有的该当前活动的网络连接的相关信息；

根据重构的该当前活动的网络连接的相关信息确定其所属的进程，并判断进程队列中是否存在该进程，如果不存在则将该进程更新到进程队列中，如果存在则根据该进程对应的安全检测规则判断该当前活动的网络连接是否为异常连接；根据安全检测结果进行相应的处理；

将该当前活动的网络连接、对应的进程、处理时间以及安全检测结果更新到记录队列中。

8.如权利要求1所述的方法，其中，所述对于当前活动的一个网络连接，通过将其相关信息与对应的安全检测规则进行匹配判断该网络连接是否为异常连接包括：

对于访问类型单一的应用程序的进程，提取该应用程序固有的可能执行的网络行为生成合法行为规则；

将当前活动的网络连接的相关信息与其所属进程对应合法行为规则进行匹配，如果不存在匹配项，则判断为异常连接。