[发明专利]一种网页防挂马的方法

摘要

本发明涉及一种防御网页挂马方法。网页防挂马的方法包括如下步骤：A.监视JavaScript的内存分配情况，判断被分配的堆是否覆盖到了0x0A0A0A0A、0x0C0C0C0C或0x0D0D0D0D；是，进入B，否，进入H；B.挂接一些API函数；C.判断API函数的返回地址是否跟0x0A0A0A0A或0x0C0C0C0C或0x0D0D0D0D在同一个内存内；是，进入D，否，进入E；D.进入步骤G；E.判断该内存块属性的Type是否为MEM_IMAGE；是，进F，否，进D；F.比较存中的数据和磁盘文件数据；相同，进H，不同，进D；G.拦截有危害的操作；H.对原始函数放行。上述方法可以进一步精确地检测网页挂马行为。

主权项

1、一种网页防挂马的方法，其特征在于，包括如下步骤：A、监视JavaScript的内存分配情况，判断被分配的堆是否覆盖到了0x0A0A0A0A、0x0C0C0C0C、0x0D0D0D0D三个地址之一；如果是，进入步骤B，如果否，进入步骤H；B、挂接若干网络API函数和恶意代码常用或者必须用到的API函数，进入步骤C；C、当所述API函数被调用时，判断API函数的返回地址是否跟0x0A0A0A0A、0x0C0C0C0C、0x0D0D0D0D三个地址之一在同一个内存块内；如果是，进入步骤D，如果否，进入步骤E；D、网页已经被挂马，进入步骤G；E、调用VirtualQuery来获取返回地址所在内存块的属性，判断该内存块属性的Type是否为MEM_IMAGE；如果是，进入步骤F，如果否，进入步骤D；F、将返回地址所在模块的内存中的数据与该模块对应磁盘文件的数据进行比较；如果相同，进入步骤H，如果不相同，进入步骤D；G、挂接的API函数返回失败，拦截挂马使用所述API函数对应的原始函数进行的有危害的操作，达到防御的目的；H、未检测到网页被挂马，步骤B中挂接的API函数对原始函数放行，即调用原始函数完成相应的功能。