漏洞检测方法和装置制造方法及图纸

本申请实施例提供一种漏洞检测方法和装置，终端设备可以调用目标TA得到第一虚拟内存中的内容，当终端设备可以将第一虚拟内存中的内容向第二虚拟内存写入时，终端设备可以得到第二虚拟内存中的内容，这样，当终端设备判断第二虚拟内存中的内容包括第一虚拟内存对应的虚拟地址时，由于安全侧的内存地址流向了非安全侧内存中，因此，终端设备可以判断目标TA存在信息泄露漏洞。存在信息泄露漏洞。存在信息泄露漏洞。

【技术实现步骤摘要】
漏洞检测方法和装置


[0001]本申请涉及数据处理领域，尤其涉及一种漏洞检测方法和装置。

技术介绍

[0002]随着终端技术的发展，终端设备在运行过程中会产生不同的数据，终端设备可以对不同的数据进行处理，例如，终端设备可以通过处理器处理数据，其中，处理器处理数据时的运行环境包括富执行环境(rich execution environment，REE)和可信执行环境(rusted execution environment，TEE)，客户端应用程序(client application，CA)运行在REE中，可信应用程序(trusted application，TA)运行在TEE中，因此，终端设备获取数据后，终端设备可以在REE中处理数据，或者，终端设备可以通过CA调用TA，使得TA在TEE中处理数据。
[0003]可能的情况中，当终端设备获取的数据为敏感数据时，终端设备可以通过CA调用TA，使得TA在TEE中对敏感数据进行处理，TA将处理结果写入到REE侧，这样，终端设备在REE侧调用结果后，可以执行相应的操作。
[0004]但是，由于终端设备无法发现TA的漏洞，使得终端设备调用TA处理敏感数据时，可能会泄露TEE侧存储的敏感数据。

技术实现思路

[0005]本申请实施例提供一种漏洞检测方法和装置，终端设备可以调用目标TA得到第一虚拟内存中的内容，当终端设备可以将第一虚拟内存中的内容向第二虚拟内存写入时，终端设备可以得到第二虚拟内存中的内容，这样，当终端设备判断第二虚拟内存中的内容包括第一虚拟内存对应的虚拟地址时，由于安全侧的内存地址流向了非安全侧内存中，因此，终端设备可以判断目标TA存在信息泄露漏洞。
[0006]第一方面，本申请实施例提供一种漏洞检测方法，该方法包括：终端设备调用目标可信应用程序TA得到第一虚拟内存中的内容；其中，第一虚拟内存为可信执行环境TEE中的内存，TEE包括目标TA；当终端设备将第一虚拟内存中的内容向第二虚拟内存写入时，终端设备得到第二虚拟内存中的内容；其中，第二虚拟内存为富执行环境REE中的内存；当终端设备确定第二虚拟内存中的内容包括第一虚拟内存对应的虚拟地址时，终端设备确定目标TA存在漏洞。这样，终端设备通过判断虚拟地址的方式，确定目标TA存在漏洞。
[0007]在一种可能的实现方式中，当终端设备将第一虚拟内存中的内容向第二虚拟内存写入时，终端设备得到第二虚拟内存中的内容之前，还包括：终端设备设置第二虚拟内存的访问权限为不可访问；其中，不可访问用于指示终端设备无法向第二虚拟内存写入内容；当终端设备将第一虚拟内存中的内容向第二虚拟内存写入时，终端设备得到第二虚拟内存中的内容，包括：终端设备触发转译错误；其中，转译错误用于指示终端设备无法向第二虚拟内存写入第一虚拟内存中的内容；终端设备记录向第二虚拟内存写入的内容，终端设备得到第二虚拟内存中的内容。这样，终端设备可以通过设置第二虚拟内存的访问权限为不可
访问的方式，使得终端设备可以监控第二虚拟内存的访问情况，这样，当终端设备向第二虚拟内容写入内容时，终端设备触发转译错误，进而，终端设备可以记录向第二虚拟内存写入的内容。
[0008]在一种可能的实现方式中，当终端设备将第一虚拟内存中的内容向第二虚拟内存写入时，终端设备得到第二虚拟内存中的内容之后，还包括：终端设备将第二虚拟内存的访问权限由不可访问设置为可访问；终端设备将第一虚拟内存中的内容写入到第二虚拟内存。这样，终端设备通过第二虚拟内存中的内容，可以判断目标TA是否存在漏洞。
[0009]在一种可能的实现方式中，终端设备将第一虚拟内存中的内容写入到第二虚拟内存，包括：终端设备获取第一虚拟内存对应的虚拟地址和第二虚拟内存对应的虚拟地址；终端设备将第一虚拟内存对应的虚拟地址转成第一虚拟内存对应的物理地址；终端设备将第二虚拟内存对应的虚拟地址转成第二虚拟内存对应的物理地址；终端设备将第一虚拟内存对应的物理地址中的内容写入到第二虚拟内存对应的物理地址。这样，终端设备可以实现将第一虚拟内存中的内容写入到第二虚拟内存。
[0010]在一种可能的实现方式中，终端设备将第二虚拟内存对应的虚拟地址转成第二虚拟内存对应的物理地址，包括：当终端设备在第一对应关系中查询到与第二虚拟内存对应的虚拟地址匹配的地址时，终端设备从第一对应关系中得到第一页表项；其中，第一对应关系包括虚拟内存对应的虚拟地址与页表项的关系；终端设备从第一页表项得到第二虚拟内存对应的物理地址。这样，终端设备通过第一页表项可以得到第二虚拟内存对应的物理地址。
[0011]在一种可能的实现方式中，终端设备将第二虚拟内存对应的虚拟地址转成第二虚拟内存对应的物理地址，包括：终端设备将第二虚拟内存对应的虚拟地址转成第一中间物理地址IPA；当终端设备在第二对应关系中查询到与第一IPA匹配的地址时，终端设备从第二对应关系中得到第二页表项；其中，第二对应关系包括IPA和页表项的对应关系；终端设备从第二页表项得到第二虚拟内存对应的物理地址。这样，终端设备通过第二页表项，可以将第二虚拟内存对应的虚拟地址转成第二虚拟内存对应的物理地址。
[0012]在一种可能的实现方式中，终端设备将第二虚拟内存对应的虚拟地址转成第一中间物理地址IPA，包括：终端设备确定第二虚拟内存对应的虚拟地址指示的第一非安全NS内存标志位；当终端设备在第三对应关系中查询到与第一NS内存标志位相同的标志位时，终端设备从第三对应关系中得到第一IPA；其中，第三对应关系包括NS内存标志位和IPA的对应关系，第一非安全NS内存标志位用于指示第二虚拟内存对应的物理地址指示的内存的属性。这样，终端设备通过第三对应关系，可以将第二虚拟内存对应的虚拟地址转成第一中间物理地址IPA。
[0013]在一种可能的实现方式中，终端设备调用目标可信应用程序TA得到第一虚拟内存中的内容，包括：终端设备获取第一数据；其中，第一数据用于测试目标TA的安全性；终端设备将第一数据写入目标客户端应用程序CA进程；其中，目标客户端应用程序CA进程为REE中的进程；终端设备调用目标TA在第一虚拟内存处理目标CA进程中的第一数据；终端设备调用目标TA得到第一虚拟内存中的内容；其中，第一虚拟内存中的内容还包括第一数据的处理结果。这样，终端设备通过非安全侧数据注入的方法，从而能够简单且高效地对安全侧的TA进行安全测试。
[0014]第二方面，本申请实施例提供一种漏洞检测装置，该漏洞检测装置可以是终端设备，也可以是终端设备内的部件、芯片或者芯片系统。该漏洞检测可以包括处理单元。当该漏洞检测装置是终端设备时，该处理单元可以是处理器。该漏洞检测装置还可以包括存储单元，该存储单元可以是存储器。该存储单元用于存储指令，该处理单元执行该存储单元所存储的指令，以使该终端设备实现第一方面或第一方面的任意一种可能的实现方式中描述的方法。当该漏洞检测装置是终端设备内的部件、芯片或者芯片系统时，该处理单元可以是处理器，该处理单元执行存储单元所存储的指令，以使该终端设备实现第一方面或第一本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种漏洞检测方法，其特征在于，所述方法包括：终端设备调用目标可信应用程序TA得到第一虚拟内存中的内容；其中，所述第一虚拟内存为可信执行环境TEE中的内存，所述TEE包括所述目标TA；当所述终端设备将所述第一虚拟内存中的内容向第二虚拟内存写入时，所述终端设备得到所述第二虚拟内存中的内容；其中，所述第二虚拟内存为富执行环境REE中的内存；当所述终端设备判断所述第二虚拟内存中的内容包括所述第一虚拟内存对应的虚拟地址时，所述终端设备确定所述目标TA存在漏洞。2.根据权利要求1所述的方法，其特征在于，当所述终端设备将所述第一虚拟内存中的内容向第二虚拟内存写入时，所述终端设备得到所述第二虚拟内存中的内容之前，还包括：所述终端设备设置所述第二虚拟内存的访问权限为不可访问；其中，所述不可访问用于指示所述终端设备无法向所述第二虚拟内存写入内容；当所述终端设备将所述第一虚拟内存中的内容向第二虚拟内存写入时，所述终端设备得到所述第二虚拟内存中的内容，包括：所述终端设备触发转译错误；其中，所述转译错误用于指示所述终端设备无法向所述第二虚拟内存写入所述第一虚拟内存中的内容；所述终端设备记录向所述第二虚拟内存写入的内容；所述终端设备得到所述第二虚拟内存中的内容。3.根据权利要求2所述的方法，其特征在于，当所述终端设备将所述第一虚拟内存中的内容向第二虚拟内存写入时，所述终端设备得到所述第二虚拟内存中的内容之后，还包括：所述终端设备将所述第二虚拟内存的访问权限由所述不可访问设置为可访问；所述终端设备将所述第一虚拟内存中的内容写入到所述第二虚拟内存。4.根据权利要求3所述的方法，其特征在于，所述终端设备将所述第一虚拟内存中的内容写入到所述第二虚拟内存，包括：所述终端设备获取所述第一虚拟内存对应的虚拟地址和所述第二虚拟内存对应的虚拟地址；所述终端设备将所述第一虚拟内存对应的虚拟地址转成所述第一虚拟内存对应的物理地址；所述终端设备将所述第二虚拟内存对应的虚拟地址转成所述第二虚拟内存对应的物理地址；所述终端设备将所述第一虚拟内存对应的物理地址中的内容写入到所述第二虚拟内存对应的物理地址。5.根据权利要求4所述的方法，其特征在于，所述终端设备将所述第二虚拟内存对应的虚拟地址转成所述第二虚拟内存对应的物理地址，包括：当所述终端设备在第一对应关系中查询到与所述第二虚拟内存对应的虚拟地址匹配的地址时，所述终端设备从所述第一对应关系中得到第一页表项；其中，所述第一对应关系包括虚拟内存...

【专利技术属性】
技术研发人员：李海山，
申请(专利权)人：荣耀终端有限公司，
类型：发明
国别省市：