申请/专利权人：安芯网盾(北京)科技有限公司

申请日：2023-02-03

公开（公告）日：2024-04-12

公开（公告）号：CN116796308B

主分类号：G06F21/55

分类号：G06F21/55;G06F21/56

优先权：

专利状态码：有效-授权

法律状态：2024.04.12#授权;2023.10.13#实质审查的生效;2023.09.22#公开

摘要：本发明公开了一种基于Linux内核的伪装进程可执行程序检测方法及装置，方法包括如下步骤：获取待执行进程命令行的参数；判断命令行的第一个参数是否为绝对路径；如是，则获取待执行进程的真实路径，判断命令行参数中的指定路径与真实路径是否相同，相同则允许待执行进程执行，不相同则判定待执行进程存在伪装行为，并终止待执行进程；如否，则允许待执行进程执行。基于内核对恶意程序实时检测，检测进程启动时是否存在可执行程序路径伪装行为以及阻断进程执行，以解决其伪装可执行程序路径的问题，具有实时性强、检测准确性高等优点。

主权项：1.一种基于Linux内核的伪装进程可执行程序检测方法，其特征在于，包括如下步骤：获取待执行进程命令行的参数；判断所述命令行的第一个参数是否为绝对路径；如是，则获取所述待执行进程的真实路径，判断所述命令行参数中的指定路径与所述真实路径是否相同，相同则允许所述待执行进程执行，不相同则判定所述待执行进程存在伪装行为，并终止所述待执行进程；如否，则允许所述待执行进程执行；所述获取待执行进程命令行的参数，包括：向LSM的security_bprm_check_securityhook点注册回调函数；计算argv和environ的字节数；获取预设字节长度的缓存，所述预设字节长度的字节数为bprm-p-bprm-exec；调用access_remote_vm函数，获取从bprm-p开始的所述预设字节长度个字节到所述缓存中；处理所述缓存并得到所述命令行的参数。

全文数据：

权利要求：

百度查询： 安芯网盾(北京)科技有限公司 一种基于Linux内核的伪装进程可执行程序检测方法及装置

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD