终端设备系统防护方法及装置制造方法及图纸

本发明专利技术公开了一种终端设备系统防护方法及装置，涉及安全技术领域，主要目的在于能够实现判定终端设备系统进程被攻击的情况，实现系统进程漏洞防护，从而能够提升终端设备的安全性。所述方法包括：在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为。本发明专利技术适用于终端设备系统防护。

Terminal Equipment System Protection Method and Device

【技术实现步骤摘要】
终端设备系统防护方法及装置
本专利技术涉及安全
，特别是涉及一种终端设备系统防护方法及装置。
技术介绍
随着互联网技术的高速发展，为了方便用户的生活和工作，越来越多的应用程序出现并被广泛应用到终端设备上。因此，为了避免终端设备数据泄露，造成用户财产损失，终端设备系统安全防护变得越来越重要。目前，在进行终端设备的系统安全防护时，通常以应用程序的操作行为作为系统安全防护的依据，同时为了解决检测误报的问题，引入了白名单机制，即在应用程序进程属于白名单进程时，确定应用程序为安全的。在实际应用场景中，当攻击者发现系统进程漏洞后，通常会构造恶意代码触发漏洞并执行相应的恶意代码，发动对终端设备系统进程的攻击。然而，终端设备的系统进程隶属于白名单进程，因此，采用上述方式无法判定终端设备系统进程被攻击的情况，造成无法防护系统进程的漏洞，导致终端设备的安全性较低。因此，提出一种新的终端设备系统安全防护方式已成为终端设备安全领域亟待解决的技术问题。
技术实现思路
有鉴于此，本专利技术提供一种终端设备系统防护方法及装置，主要目的在于能够实现判定终端设备系统进程被攻击的情况，实现系统进程漏洞防护，从而能够提升终端设备的安全性。依据本专利技术第一方面，提供了一种终端设备系统防护方法，包括：在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为。依据本专利技术第二方面，提供了一种终端设备系统防护装置，包括：捕获单元，用于在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；检测单元，用于利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；确定单元，用于若所述检测单元检测所述应用程序加载所述终端设备的非系统动态链接库，则确定所述操作行为为危险行为；所述确定单元，还用于若所述检测单元检测所述应用程序并未加载所述终端设备的非系统动态链接库，则确定所述操作行为为安全行为。依据本专利技术第三方面，提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现以下步骤：在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为。依据本专利技术第四方面，提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现以下步骤：在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为。本专利技术提供一种终端设备系统防护方法及装置，能够在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征。并能够利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为，从而能够实现判定终端设备系统进程被攻击的情况，实现系统进程漏洞防护，进而能够提升终端设备的安全性。上述说明仅是本专利技术技术方案的概述，为了能够更清楚了解本专利技术的技术手段，而可依照说明书的内容予以实施，并且为了让本专利技术的上述和其它目的、特征和优点能够更明显易懂，以下特举本专利技术的具体实施方式。附图说明通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本专利技术的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：图1示出了本专利技术实施例提供的一种终端设备系统防护方法的流程示意图；图2示出了本专利技术实施例提供的另一种终端设备系统防护方法的流程示意图；图3示出了本专利技术实施例提供的一种终端设备系统防护装置的结构示意图；图4示出了本专利技术实施例提供的另一种终端设备系统防护装置的结构示意图；图5示出了本专利技术实施例提供的一种计算机设备的实体结构示意图。具体实施方式下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。如
技术介绍
所述，在进行终端设备的系统安全防护时，通常以应用程序的操作行为作为系统安全防护的依据，同时为了解决检测误报的问题，引入了白名单机制，即在应用程序进程属于白名单进程时，确定应用程序为安全的。在实际应用场景中，当攻击者发现系统进程漏洞后，通常会构造恶意代码触发漏洞并执行相应的恶意代码，发动对终端设备系统进程的攻击。然而，终端设备的系统进程隶属于白名单进程，因此，采用上述方式无法判定终端设备系统进程被攻击的情况，造成无法防护系统进程的漏洞，导致终端设备的安全性较低。因此，提出一种新的终端设备系统安全防护方式已成为终端设备安全领域亟待解决的技术问题。为了解决上述技术问题，本专利技术实施例提供了一种终端设备系统防护方法，如图1所示，所述方法包括：101、在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征。其中，所述终端设备可以为电脑，笔记本，或者手机等。所述调用栈特征可以为所述应用程序执行所述操作行为时调用的系统功能函数接口序列，属于动态内存数据。对于终端设备不同的操作行为对应的调用栈特征不同，同一操作行为在不同场景下对应的调用栈特征也不同。本专利技术实施例的执行主体为终端设备，通过终端设备可以实现对自身系统进行离线防护。对于本专利技术实施例，可以通过进程注入技术把预设捕获模块注入到所述应用程序的进程空间中，然后通过挂钩技术挂钩所述操作行为的系统调用，最后再利用回溯技术对所述系统调用进行回溯的方式，获取所述操作行为对应的调用栈特征。102、利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库。若是，则执行步骤103；若否，则执行步骤104。对于本专利技术实施例，在终端设备中动态链接库可以分为非系统动态链接库和系统动态链接库，系统动态链接库为系统进程正常运行加载的动态链接库，若应用程序加载了系统动态链接库，则说明系统进程为正常运行，应用程序属于正常操作终端设备，可以确定所述操作行为为安全行为；若应用程序加载了非系统动态链接库，则说明系统进程的漏洞可能被利用，恶意代码利用漏洞加载非系统动态链接库，对终端设备系统进行攻击，因此，确定应用程序的操作行为为危险行为。103、确定所述操作行为为危险行为。对于本专利技术实施例，为了保证终端设备的安全性，在确定所述操作行为为危险行为后，可以对所述危险行为进行阻止或者拦截处理。例如，终端设备系统设定启动系统菜单时加载的动态链接库为系统动态链接库，而应用程序对终端设备进行操作时，应用程序加载了针对系统菜单启动的非系统动态链接库，则确定启动系统菜单的操作行为为危险行为，此时阻止系统菜单启动。104、确定所述操作行为为安全行本文档来自技高网...

【技术保护点】
1.一种终端设备系统防护方法，其特征在于，包括：在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为。

【技术特征摘要】
2018.06.26 CN 201810668277X1.一种终端设备系统防护方法，其特征在于，包括：在终端设备本地捕获应用程序对所述终端设备的操作行为对应的调用栈特征；利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库；若是，则确定所述操作行为为危险行为；若否，则确定所述操作行为为安全行为。2.根据权利要求1所述的方法，其特征在于，所述利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库，包括：检测所述调用栈特征中的动态链接库对应的加载路径是否符合预设加载路径；若不符合，则确定所述应用程序加载所述终端设备的非系统动态链接库；若符合，则确定所述应用程序并未加载所述终端设备的非系统动态链接库。3.根据权利要求2所述的方法，其特征在于，所述确定所述应用程序加载所述终端设备的非系统动态链接库之前，所述方法还包括：检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名；若符合，则确定所述应用程序并未加载所述终端设备的非系统动态链接库；所述确定所述应用程序加载所述终端设备的非系统动态链接库，包括：若不符合，则确定所述应用程序加载所述终端设备的非系统动态链接库。4.根据权利要求1-3任一项所述的方法，其特征在于，所述确定所述操作行为为危险行为之前，所述方法还包括：判断加载的非系统动态链接库是否为已注册的非系统动态链接库；若是，则确定所述操作行为为安全行为；所述确定所述操作行为为危险行为，包括：若否，则确定所述操作行为为危险行为。5.根据权利要求4所述的方法，其特征在于，所述判断加载的非系统动态链接库是否为已注册的非系统动态链接库，包括：判断加载的非系统动态链接库是否为预设已注册的非系统动态链接库列表中的非系统动态链接库；若是，...

【专利技术属性】
技术研发人员：胡彬，黄瀚，李宇，李宗越，王腾，王宜云，卢杨渐，黄鉴廷，
申请(专利权)人：三六零企业安全技术珠海有限公司，北京奇安信科技有限公司，
类型：发明
国别省市：广东,44