[发明专利]Linux平台进程内存恶意代码取证方法、控制器及介质

权利要求书

1.一种Linux平台进程内存恶意代码取证方法，其特征在于，包括:

遍历Linux系统所有进程，读取所有进程的内存映射文件；

基于每一进程内存映射文件获取该进程对应的所有内存片段数据、程序文件路径信息和动态库文件路径信息中的一种或多种,所述动态库文件路径信息包括内存映射文件中包含的程序文件对应的动态库文件路径信息和程序文件对应的动态库文件路径信息；

根据每一进程对应的所有内存片段数据和程序文件路径信息，或者，所有内存片段数据和内存映射文件中包含的动态库文件路径信息，或者，程序文件对应的动态库文件路径信息检测该进程的恶意代码；

其中，根据每一进程对应的所有内存片段数据和程序文件路径信息检测该进程的恶意代码，包括：

根据每一进程对应的所有内存片段数据获取进程内存中的预设代码段；

根据所述程序文件路径信息获取程序文件；

分析所述程序文件对应的程序头结构，得到该程序文件对应的预设代码段；

将所述进程内存中的预设代码段和程序文件对应的预设代码段进行对比，若存在不同，则表示存在恶意代码，输出该程序文件及对应的内存片段数据。

2.根据权利要求1所述的Linux平台进程内存恶意代码取证方法，其特征在于，

所述遍历Linux系统所有进程，读取所有进程的内存映射文件，包括：

获取Linux系统进程号最大值；

以进程号1为起点，以所述进程号最大值为终点，遍历进程目录/proc下的进程子目录/proc/pid/，获取系统所有进程；

针对每个进程子目录/proc/pid/，获取该进程对应的内存映射文件。

3.根据权利要求2所述的Linux平台进程内存恶意代码取证方法，其特征在于，

所述遍历进程目录/proc下的进程子目录/proc/pid/过程中，若遍历至预设进程，则直接跳过，继续遍历下一进程，所述预设进程包括内核线程和内存取证进程。

4.根据权利要求1所述的Linux平台进程内存恶意代码取证方法，其特征在于，

基于所述进程内存映射文件获取每一进程的所有内存数据，包括：

以当前进行获取内存信息的进程为目标进程，读取所述目标进程对应的内存映射文件，对其中全部内存片段信息进行解析，获取每一内存片段的起始地址和结束地址；

调用系统调试函数ptrace读取每一内存片段从起始地址到结束地址之间的内存数据；

调用系统文件操作函数open/write存储所读取到的每个内存片段对应的内存数据，直至所述目标进程的所有内存片段读取完毕，所述目标进程的内存数据单独存放一个目录。

5.根据权利要求4所述的Linux平台进程内存恶意代码取证方法，其特征在于，

根据每一进程对应的所有内存片段数据和内存映射文件中包含的动态库文件路径信息检测该进程的恶意代码，包括：

根据每一进程对应的所有内存片段数据获取进程内存中的预设代码段；

根据内存映射文件中包含的动态库文件路径信息获取动态库文件；

分析所述动态库文件对应的程序头文件，得到该动态库文件对应的预设代码段；

将所述进程内存中的预设代码段和动态库文件对应的预设代码段进行对比，若存在不同，则表示存在恶意代码，输出动态库文件及对应的内存片段数据。

6.根据权利要求1或5所述的Linux平台进程内存恶意代码取证方法，其特征在于，

所述预设代码段为.text段数据。