[发明专利]一种基于IPC的数据库本地通信的审计方法

权利要求书

1.一种基于IPC的数据库本地通信的审计方法，其特征在于包括以下步骤：

步骤1、获取需要对Oracle动态库进行hack的动态库，该动态库用于实现自定义的hook函数功能；

步骤2、在Sql*plus程序启动时，将进行hack的动态库加载到Sql*plus的运行内存中，获取真正进行IPC通讯函数的地址，将Oracle动态库中原有的执行函数调用顺序进行篡改，利用劫取的Sql*plus进程与审计服务器通讯的信息进行审计；

所述步骤2的具体实现方法包括以下步骤：

步骤2.1、获取真正进行IPC通讯函数地址的过程；

步骤2.2、将Oracle动态库中原有的执行函数调用顺序进行篡改；

步骤2.3、调用系统函数在进程中映射出一块内存，将步骤1中对Oracle动态库进行hack的动态库中的hook函数写入内存中，使得Sql*plus进程运行内存中存在进行hack的函数；

步骤2.4、将步骤2.2中原有的执行函数的函数地址篡改为步骤2.3中对Oracle动态库进行hack的动态库中的hook函数的函数地址，使得Oracle动态库在用汇编指令调用执行函数时，跳转到对Oracle动态库进行hack的动态库中的hook函数，通过hook函数劫取到Sql*plus进程和服务器进行通讯的信息，并将其转发到审计服务器；

步骤2.5、劫取完信息之后，执行Oracle动态库中原有的执行函数，调用完hook函数之后，再次篡改hook函数的函数地址后面的汇编指令，使其跳转回Oracle动态库执行完执行函数之后的处理流程。

2.根据权利要求1所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述步骤1的具体实现方法为：设置linux平台上的LD_PRELOAD环境变量，利用环境变量使进程加载指定的动态库。

3.根据权利要求1所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述步骤2.1的具体实现方法为：

步骤2.1.1、通过linux上每个进程单独的proc内存文件找到Sql*plus进程中Oracle的动态库位置，使用命令对Oracle的动态库进行反编译，根据汇编代码找到真正进行IPC通讯的执行函数和一个特有的校验函数的位置；

步骤2.1.2、计算出真正进行IPC通讯的执行函数与校验函数的函数地址距离Oracle动态库的首地址的偏移量，该偏移量为Oracle动态库的首地址距离真正进行IPC通讯的执行函数与校验函数的函数地址的距离；

所述步骤2.2的具体实现方法为：

步骤2.2.1、首先调用系统函数，打开Oracle动态库，再调用系统函数获取Sql*plus进程运行内存中校验函数的函数地址，该校验函数的函数地址为距离Sql*plus进程的进程起始地址的偏移量；

步骤2.2.2、按照如下方法获取真正进行IPC通讯的执行函数的函数地址：

将步骤2.2.1获得的偏移量减去步骤2.1.2获得的偏移量，得到Sql*plus进程运行内存中Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量；

将Oracle动态库的首地址距离Sql*plus进程的进程起始地址的偏移量加上步骤2.1.2获取的真正进行IPC通讯的执行函数到Oracle动态库的首地址的偏移量，得到Sql*plus进程运行内存中进程的起始地址距离Oracle动态库中真正进行IPC通讯的执行函数的偏移量，从而得到正在进行IPC通讯的执行函数的函数地址,通过该函数地址对函数的调用顺序进行篡改。

4.根据权利要求1至3任一项所述的一种基于IPC的数据库本地通信的审计方法，其特征在于：所述执行函数包括read()函数和write()函数。