[发明专利]一种文件操作IP溯源方法和系统

权利要求书

1.一种文件操作IP溯源方法，其特征在于，所述方法包括如下步骤：

建立内核调试模块，在所述内核调试模块挂载至少两个不同关键函数；

获取执行所述关键函数进程的PID字典和socketfd字典；

建立文件监控模块，记录文件操作进程的PID和文件操作行为；

在所述内核调试模块中挂载execve函数，记录函数调用过程，获取并返回进程树；

将文件操作的进程PID和返回的进程树对比，查找所述文件操作进程PID所在的进程树，并根据所述进程树获取祖先进程；

将所述祖先进程的PID和所述PID字典、socketfd字典对比，获取祖先进程对应的socketfd，并解析祖先进程socketfd中的IP。

2.根据权利要求1所述的一种文件操作IP溯源方法，其特征在于，解析祖先进程获取socketfd中的IP方法包括：在内核中调用原生函数sockfd_lookup函数，通过所述sockfd_lookup函数将追溯祖先进程获取的socketfd转化为sock结构体，从所述sock结构体中解析出真实IP。

3.根据权利要求1所述的一种文件操作IP溯源方法，其特征在于，所述内核调试模块包括Linux系统中kprobe模块和所述kprobe模块派生的kretprobe模块，所述内核调试模块跟踪记录内核函数的执行状态。

4.根据权利要求1所述的一种文件操作IP溯源方法，其特征在于，所述文件监控模块连接monitor程序，所述文件监控模块记录文件读取、文件写入、文件删除、文件创建和文件执行操作，并获取上述文件操作进程的PID，将文件操作进程PID和文件操作行为返回给monitor程序。

5.根据权利要求4所述的一种文件操作IP溯源方法，其特征在于，所述内核调试模块将PID字典、socketfd字典、所有进程PID和进程树输入所述monitor程序，所述monitor程序将文件操作进程PID和进程树中对比，获取包含所述文件操作进程PID的进程树，并追溯该进程树中的祖先进程。

6.根据权利要求5所述的一种文件操作IP溯源方法，其特征在于，所述祖先进程的追溯方法包括：所述monitor程序获取包含文件操作进程PID的进程树后，判断当前文件操作进程PID是否存在关键函数的调用，若存在则获取该关键函数调用的socketfd解析IP，若不存在所述关键函数调用，则进一步查找该文件操作进程PID对应进程的父进程，直到查找到存在所述关键函数调用的祖先进程。

7.根据权利要求6所述的一种文件操作IP溯源方法，其特征在于，当解析关 键函数调用的socketfd获取IP后，判断当前解析获取的IP是否是外部IP，若是外部IP则返回该外部IP为访问者IP。

8.根据权利要求6所述的一种文件操作IP溯源方法，其特征在于，若当前解析获取的IP为内部IP，则判断该解析IP对应的文件操作进程PID是否存在另一不同关键函数调用，若存在，则获取该不同关键函数的socketfd，进一步解析该不同关键函数的socketfd获取IP。

9.一种文件操作IP溯源系统，其特征在于，所述系统执行上述权利要求1-8中任意一项所述的一种文件操作IP溯源方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序可被处理器执行上述权利要求1-8中任意一项所述的一种文件操作IP溯源方法。