[发明专利]非法提权检测方法、装置、电子设备及存储介质

权利要求书

1.一种非法提权检测方法，其特征在于，所述方法包括：

在第一日志结构合并LSM监控点检测到第一进程的情况下，获取所述第一进程的当前用户标识；

获取预先存储的所述第一进程的目标用户标识；

在所述第一进程的当前用户标识与所述第一进程的目标用户标识不一致的情况下，确定所述第一进程为非法提权操作。

2.根据权利要求1所述的非法提权检测方法，其特征在于，所述方法还包括：

在第二LSM监控点检测到第二进程为关键进程、且对所述第二进程进行静态栈规则匹配检查不通过的情况下，确定所述第二进程为非法设置用户标识；其中，所述第二LSM监控点中设置有静态栈规则匹配，所述第二LSM监控点用于检测所述第二进程是否为非法设置用户标识。

3.根据权利要求1所述的非法提权检测方法，其特征在于，所述方法还包括：

在检测到用户执行sudo程序，且设置用户标识setuid提权的情况下，向电子设备的应用层发送查询请求；其中，所述查询请求用于请求所述应用层验证所述用户是否具有sudo提权资格；

在所述用户不具有sudo提权资格的情况下，确定所述setuid提权为非法提权操作。

4.根据权利要求1所述的非法提权检测方法，其特征在于，所述用户标识的类型包括以下至少一种：

实际用户标识uid、保存设置用户标识suid、有效用户标识euid、文件系统的用户标识fsuid。

5.根据权利要求1所述的非法提权检测方法，其特征在于，所述确定所述第一进程为非法提权操作之后，所述方法还包括：

生成针对所述第一进程的第一提示消息；其中，所述第一提示消息用于表示所述第一进程为非法提权操作。

6.一种非法提权检测装置，其特征在于，所述装置包括：

第一获取模块，用于在第一日志结构合并LSM监控点检测到第一进程的情况下，获取所述第一进程的当前用户标识；

第二获取模块，用于获取预先存储的所述第一进程的目标用户标识；

第一确定模块，用于在所述第一进程的当前用户标识与所述第一进程的目标用户标识不一致的情况下，确定所述第一进程为非法提权操作。

7.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至5任一项所述非法提权检测方法的步骤。

8.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至5任一项所述非法提权检测方法的步骤。

9.一种计算机程序产品，其上存储有可执行指令，其特征在于，该指令被处理器执行时使处理器实现如权利要求1至5中任一项所述非法提权检测方法的步骤。