[发明专利]内核漏洞后端检测的方法及装置

权利要求书

1.一种内核漏洞后端检测的方法，其特征在于，包括：

当系统创建新进程时，通过已设置的进程创建通知回调例程将所创建的新进程添加记录至进程创建记录表中；

通过已设置的进程创建通知回调例程检测到当前进程被调用时，判断所述当前进程是否存在于预存的进程创建表中；

当所述当前进程存在于所述进程创建表中时，获取所述当前进程对应的HalDispatchTable中各关键函数指针成员域的值；

对所述当前进程进行检测；

其中，所述对所述当前进程进行检测，包括：

检测所述当前进程对应的HalDispatchTable中各关键函数指针成员域的值，与预先记录的HalDispatch Table表中存储的各个函数指针成员域的值是否匹配；

根据检测结果来确定所述当前进程的权限，并生成检测日志；

其中，所述根据检测结果来确定所述当前进程的权限，并生成检测日志包括：

若至少一项不匹配，则确定所述当前进程的提权，并按照预置格式，生成检测日志。

2.根据权利要求1所述的内核漏洞后端检测的方法，其特征在于，所述判断当前进程是否存在于所述进程创建表中的步骤之后，还包括：

当所述当前进程不存在于所述进程创建表时，将所述当前进程移入所述进程创建表中。

3.根据权利要求1或2所述的内核漏洞后端检测的方法，其特征在于，在系统创建新进程之前，还包括：

当检测到I/O管理函数时，开启内核层行为监控总控开关。

4.根据权利要求3所述的内核漏洞后端检测的方法，其特征在于，所述当检测到I/O管理函数时，开启内核层行为监控总控开关的步骤之前，还包括：

记录各个系统进程分别对应的进程标识以及HalDispatch Table表中存储的各个函数指针成员域的值；

其中，所述通过已设置的进程创建通知回调例程将所创建的新进程添加记录至进程创建记录表中的步骤，包括：

通过已设置的进程创建通知回调例程将所创建的新进程的权限Privileges、用户标识UserSID、以及使用者标识OwnerSID分别对应的属性值，添加记录至进程创建记录表中。

5.根据权利要求1所述的内核漏洞后端检测的方法，其特征在于，所述对所述当前进程进行检测的步骤之前，还包括：

获取所述当前进程对应的EPROCESS，并根据各个系统进程分别对应的进程标识，获取各个系统进程分别对应的EPROCESS；

其中，所述对所述当前进程进行检测的步骤，包括：

检测所述当前进程对应的EPROCESS中的Token域指针值，是否与该各个系统进程中的某个进程对应的EPROCESS中的Token域指针值相同；

其中，所述根据检测结果来确定所述当前进程的权限，并生成检测日志的步骤，包括：

若所述当前进程对应的EPROCESS中的Token域指针值与所述某个系统进程对应的EPROCESS中的Token域指针值相同，则确定所述当前进程的提权，并按照预置格式，生成检测日志。

6.根据权利要求1所述的内核漏洞后端检测的方法，其特征在于，所述对所述当前进程进行检测的步骤之前，还包括：

获取所述当前进程的Privileges、UserSID、以及OwnerSID分别对应的属性值；

其中，所述对所述当前进程进行检测的步骤，包括：

检测所述当前进程的Privileges、UserSID、以及OwnerSID分别对应的属性值，与进程创建记录表记录的所述当前进程的 Privileges、UserSID、以及OwnerSID分别对应的属性值，是否存在至少一项不相同；

其中，所述根据检测结果来确定所述当前进程的权限，并生成检测日志的步骤，包括：

若存在至少一项不相同，则确定所述当前进程的提权，并按照预置格式，生成检测日志。