[发明专利]内存改写检测方法及装置

权利要求书

1.一种内存改写检测方法，其特征在于，所述方法包括：

获取一进程的不应被改写的内存区域的地址范围；

获得所述进程的跟踪权限；

逐字对所述内存区域中的数据进行读取；

将读取的数据压缩生成固定长度的数字摘要；

将新生成的数字摘要与所述内存区域的相应最原始数字摘要进行比较；

基于比较结果的一致性确定所述内存区域是否被改写。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

响应于确定所述内存区域被改写，使发生内存改写的进程退出运行。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

利用私钥对生成的数字摘要进行加密生成签名。

4.根据权利要求1-3任一所述的方法，其特征在于，调用Ptrace接口函数获得所述进程的跟踪权限及逐字对所述内存区域中的数据进行读取。

5.根据权利要求1-3任一所述的方法，其特征在于，所述获取一进程的不应被改写的内存区域的地址范围包括：

解析所述进程的内存映像文件以获取不应被改写的内存区域的地址范围。

6.一种内存改写检测装置，其特征在于，所述装置包括：

地址范围获取模块，用于获取一进程的不应被改写的内存区域的地址范围；

跟踪权限获得模块，用于获得所述进程的跟踪权限；

数据读取模块，用于逐字对所述内存区域中的数据进行读取；

数字摘要生成模块，用于将读取的数据压缩生成固定长度的数字摘要；

比较模块，用于将新生成的数字摘要与所述内存区域的相应最原始数字摘要进行比较；

改写确定模块，用于基于比较结果的一致性确定所述内存区域是否被改写。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

退出模块，用于响应于确定所述内存区域被改写，使发生内存改写的进程退出运行。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

签名模块，用于利用私钥对生成的数字摘要进行加密生成签名。

9.根据权利要求6-8任一所述的装置，其特征在于，所述跟踪权限获得模块和所述数据读取模块通过调用Ptrace接口函数实现。

10.根据权利要求6-8任一所述的装置，其特征在于，所述地址范围获取模块包括：

解析子模块，用于解析所述进程的内存映像文件以获取不应被改写的内存区域的地址范围。