[发明专利]漏洞检测方法及装置

说明书

本发明公开了一种漏洞检测方法及装置，涉及安全技术领域，主要目的在于能够缩小未知漏检测洞的搜索范围，简化漏洞检测的流程以及节省检测所消耗的时间，从而能够提升漏洞检测的效率。所述方法包括：对终端设备的系统进行虚拟化处理；利用虚拟化后的虚拟机监视器对所述终端设备对应的操作行为进行内存权限监控，以检测所述操作行为是否发生内存访问违规；若发生内存访问违规，则确定检测到疑似未知漏洞，并将所述操作行为对应的上下文环境进行保存，所述上下文环境用于对所述疑似未知漏洞检测进一步检测。本发明适用于漏洞检测。

技术领域

本发明涉及安全技术领域，特别是涉及一种漏洞检测方法及装置。

背景技术

随着互联网的高速发展，计算机应用程序多元化发展，诸如电子邮箱、网上银行、即时通讯等应用程序被广泛应用在用户生活和工作的各个方面，网络数据安全泄露事件层出不穷，终端数据安全防护刻不容缓。通常漏洞检测可以分为对已知漏洞的检测和对未知漏洞的检测。已知漏洞的检测主要是通过安全扫描技术，检测系统是否存在已公布的安全漏洞；而未知漏洞检测的目的在于发现软件系统中可能存在但尚未发现的漏洞。

目前，通常采用代码审查、黑盒测试、文档研究等方式进行系统未知漏洞检测。具体地，采用源代码扫描、反汇编扫描、环境错误注入等漏洞检技术进行检测。然而，通过上述方式进行未知漏洞检测，漏洞检测的范围比较大，漏洞检测的流程较复杂且需要耗费大量的时间进行分析、研究、测试等，造成漏洞检测的效率较低。

发明内容

有鉴于此，本发明提供一种漏洞检测方法及装置，主要目的在于能够缩短技术人员检测未知漏洞的范围，简化漏洞检测的流程以及节省检测所消耗的时间，从而能够提升漏洞检测的效率。

依据本发明第一方面，提供了一种漏洞检测方法，包括：

对终端设备的系统进行虚拟化处理；

利用虚拟化后的虚拟机监视器对所述终端设备对应的操作行为进行内存权限监控，以检测所述操作行为是否发生内存访问违规；

若发生内存访问违规，则确定检测到疑似未知漏洞，并将所述操作行为对应的上下文环境进行保存，所述上下文环境用于对所述疑似未知漏洞检测进一步检测。

可选地，所述利用虚拟化后的虚拟机监视器对所述终端设备对应的操作行为进行内存权限监控，以检测所述操作行为是否发生内存访问违规，包括：

利用虚拟化后的虚拟机监视器对所述终端设备对应的操作行为访问的物理内存页面进行监控；

检测所述访问的物理内存页面是否符合预设条件；

若符合，则确定所述操作行为发生内存访问违规。

可选的，所述检测所述访问的物理内存页面是否符合预设条件，包括：

检测所述访问的物理内存页面是否属于第一物理内存页面集合且属于第二物理内存页面集合，所述第一物理内存页面集合为所述系统中各个物理内存页面的集合，所述第二物理内存页面集合为所述系统中不具有写入权限的物理内存页面的集合；

所述若发生内存访问违规，则确定检测到疑似未知漏洞，包括：

若是，则确定所述操作行为发生内存写入违规，并确定检测到疑似的未知漏洞提权操作。

进一步地，所述检测所述访问的物理内存页面是否符合预设条件之前，所述方法还包括：

枚举所述系统的各个物理内存页面，并枚举所述系统的各个系统进程控制域对应的物理内存页面；

根据所述系统的各个物理内存页面，构建所述第一物理内存页面集合；

根据所述各个系统进程控制域对应的物理内存页面，构建所述第二物理内存页面集合。