[发明专利]一种检测VBScript漏洞利用的方法、装置及设备

权利要求书

1.一种检测VBScript漏洞利用的方法，其特征在于，包括：

如果需要检测VBScript漏洞利用，则确定所述VBScript模块中的tagSAFEARRAY对象所能够操作的内存区域的大小，并判断所述内存区域的大小是否大于预设空间阈值；

如果所述内存区域的空间大小大于所述预设空间阈值，则确定所述VBScript模块所运行的VBScript脚本中存在漏洞利用；

如果所述内存区域的空间大小不大于所述预设空间阈值，则确定所述VBScript模块所运行的VBScript脚本中不存在漏洞利用。

2.根据权利要求1所述的方法，其特征在于，确定是否需要检测VBScript漏洞利用，包括：

在应用程序的VBScript模块的运行过程中，监听对所述VBScript模块中的tagSAFEARRAY对象进行访问操作的事件；

当监听到对所述tagSAFEARRAY对象进行访问操作的事件时，确定需要检测VBScript漏洞利用。

3.根据权利要求2所述的方法，其特征在于，还包括：

确定所述VBScript模块所运行的VBScript脚本中存在漏洞利用之后，禁止执行对所述tagSAFEARRAY对象进行访问操作的事件；

确定所述VBScript模块所运行的VBScript脚本中不存在漏洞利用之后，允许执行对所述tagSAFEARRAY对象进行访问操作的事件。

4.根据权利要求3所述的方法，其特征在于，还包括：

在所述VBScript模块运行之前，确定所述VBScript模块中对所述tagSAFEARRAY对象进行访问操作的数据访问函数；

对应的，监听对所述VBScript模块中的tagSAFEARRAY对象进行访问操作的事件，包括：

监听所述数据访问函数的调用事件，当监听到所述数据访问函数的调用事件时，确定监听到对所述VBScript模块中的tagSAFEARRAY对象进行访问操作的事件。

5.根据权利要求4所述的方法，其特征在于，禁止执行对所述tagSAFEARRAY对象进行访问操作的事件，包括：

通过所述钩子函数强制结束调用消息的继续传递；所述钩子函数挂载于所述数据访问函数上，能够拦截指示调用所述数据访问函数的调用消息；

允许执行对所述tagSAFEARRAY对象进行访问操作的事件，包括：

通过所述钩子函数放行所述调用消息，使得所述调用消息继续传递。

6.根据权利要求5所述的方法，其特征在于，确定所述VBScript模块中对所述tagSAFEARRAY对象进行访问操作的数据访问函数，包括：

对所述VBScript模块进行静态分析，基于静态分析所得结果确定所述VBScript模块中对所述tagSAFEARRAY对象进行访问操作的数据访问函数。

7.根据权利要求1所述的方法，其特征在于，确定所述VBScript模块中的tagSAFEARRAY对象所能够操作的内存区域的大小，包括：

确定所述tagSAFEARRAY对象中包含的、用于表示所述tagSAFEARRAY对象所能够操作的内存区域的大小的长度元素的值；

判断所述内存区域的空间大小是否大于预设的预设空间阈值，包括：

判断所述长度元素的值是否大于预设元素阈值。

8.根据权利要求7所述的方法，其特征在于，判断所述长度元素的值是否大于预设元素阈值，包括：

将所述tagSAFEARRAY对象中cElements元素的值与cbElements元素的值进行相乘，判断相乘所得的结果是否大于所述预设元素阈值。