CN111552962A - 一种基于Windows操作***的U盘PE格式文件病毒的拦截方法 - Google Patents

一种基于Windows操作***的U盘PE格式文件病毒的拦截方法 Download PDF

Info

Publication number
CN111552962A
CN111552962A CN202010215519.7A CN202010215519A CN111552962A CN 111552962 A CN111552962 A CN 111552962A CN 202010215519 A CN202010215519 A CN 202010215519A CN 111552962 A CN111552962 A CN 111552962A
Authority
CN
China
Prior art keywords
file
opened
path name
protection
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010215519.7A
Other languages
English (en)
Other versions
CN111552962B (zh
Inventor
李凯
孔祥焱
吴艳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Hongteng Intelligent Technology Co ltd
Original Assignee
SHENYANG GENERALSOFT CO Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by SHENYANG GENERALSOFT CO Ltd filed Critical SHENYANG GENERALSOFT CO Ltd
Priority to CN202010215519.7A priority Critical patent/CN111552962B/zh
Publication of CN111552962A publication Critical patent/CN111552962A/zh
Application granted granted Critical
Publication of CN111552962B publication Critical patent/CN111552962B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于Windows操作***的U盘PE格式文件病毒的拦截方法，包括通过Windows操作***文件过滤驱动技术设定将防护拦截程序挂钩被保护终端计算机***的文件打开接口、防护拦截程序拦截所有文件打开操作，获取打开操作所携带的输入参数、防护拦截程序通过打开操作所携带的输入参数转换为文件打开操作的基本信息、防护拦截程序依次判断文件访问属性是否包含写权限、文件类型是否为可执行文件、被打开文件路径名和访问进程文件路径名是否相等、当文件访问属性包含写权限、文件类型为可执行文件、被打开文件路径名和访问进程文件路径名不相等时，设定文件保护并允许操作***执行文件访问操作。

Description

一种基于Windows操作***的U盘PE格式文件病毒的拦截方法
技术领域
本发明属于计算机网络安全管理技术领域，特别是涉及一种基于Windows操作***的U盘PE格式文件病毒的拦截方法。
背景技术
Windows操作***可以通过平台提供的接口，实现***内核层文件访问的监控操作。
PE格式为Windows可执行文件格式，U盘和网络共享为病毒的主要传播途径，病毒感染前，病毒通常识别文件是否为PE格式，如果符合格式则感染，并执行文件改写操作来完成病毒传播。
程序启动时，程序***监控接口获取的操作进程名为文件进程名，由于病毒感染时操作进程名会写入其他可执行文件，因此被打开文件名和打开进程文件名不同。本方法通过判断被打开文件名和打开进程文件名是否相等，检测是否有病毒感染行为，实现对U盘病毒的高效拦截。
发明内容
本发明的主要目的在于提供一种基于Windows操作***的U盘PE格式文件病毒的拦截方法，该方法适用于Windows各平台操作***，通过Windows操作***文件过滤驱动技术将防护拦截程序与***的文件打开接口挂钩，从而实现文件访问监控，杜绝计算机感染病毒，有效保障终端***安全。
为了达到上述目的，本发明所采用的技术方案如下：
一种基于Windows操作***的U盘PE格式文件病毒的拦截方法，包含以下步骤：
a．通过Windows操作***文件过滤驱动技术设定将防护拦截程序挂钩被保护的终端计算机***的文件打开接口；
b．防护拦截程序拦截所有文件打开操作，获取打开操作所携带的输入参数；
所述打开操作所携带的输入参数包括被打开文件的文件路径名、文件属性对象地址、当前进程ID；
c．防护拦截程序通过打开操作所携带的输入参数转换为文件打开操作的基本信息；
所述文件打开操作的基本信息包括被打开文件路径名、访问进程文件路径名、文件访问属性；
通过当前进程ID，获取访问进程所在的文件路径名；
通过文件属性对象地址，获取所包含的文件访问权限，文件访问权限包括读、写；
d．防护拦截程序判断文件访问属性，如果文件访问属性中包含写权限，继续执行步骤e；如果文件访问属性中不包含写权限，则执行步骤h；
e．防护拦截程序判断被打开文件的文件类型；
所述文件类型包括可执行文件、非可执行文件；
防护拦截程序读取被打开文件的头部信息，判断被打开文件是否为PE格式，如果被打开文件为PE格式，则判断被打开文件为可执行文件，继续执行步骤f；如果被打开文件为非PE格式，则判断被打开文件为非可执行文件，执行步骤h；
f．防护拦截程序判断被打开文件是否需要保护；
通过文件打开操作的基本信息，判断被打开文件是否需要保护，如果被打开文件路径名和访问进程文件路径名相等，则判定不需保护，执行步骤h；如果被打开文件路径名和访问进程文件路径名不相等，则判定被打开文件需要设定保护，继续执行步骤g；
g．设定文件保护；
防护拦截程序修改被打开文件的文件打开操作的基本信息中的文件访问属性，去掉文件访问属性中的写权限，并将去掉写属性的文件访问属性更新到打开操作所携带的输入参数的文件属性对象地址中；
h．执行文件操作；
防护拦截程序将被打开文件的文件打开操作的基本信息中的文件访问属性返回给操作***；
所述被保护的终端计算机利用Windows操作***文件过滤驱动技术，监控可执行文件的打开操作，执行步骤b。
本发明的方法与现有方法对比的有益效果是：
良好的***兼容性，支持所有Windows操作***。
具备较强的病毒免疫功能，可以保护文件不被可执行文件传染型病毒传染。
防护措施对***性能损失较小。传统杀毒软件需要识别PE头之后，根据大量病毒库识别是否有病毒才能判断是否允许程序运行，而使用本发明的保护方法后，只需要根据可执行文件写入其他文件的感染动作，确定是否为感染行为，性能大幅度提升。
附图说明
图1为本发明的基于Windows操作***的U盘PE格式文件病毒的拦截方法的流程图。
具体实施方式
下面结合附图和实施例，对本发明的基于Windows操作***的U盘PE格式文件病毒的拦截方法做进一步详细描述。
实施例
例如，操作***为Windows 7的终端计算机PC1上打开C:\Windows\system32路径下的可执行文件notepad.exe，同时终端计算机PC1上J:\temp路径下的virus.exe文件将要对可执行文件notepad.exe执行感染操作，本发明的基于Windows操作***的U盘PE格式文件病毒的拦截方法，具体包括如下步骤：
a．通过Windows操作***文件过滤驱动技术设定将防护拦截程序挂钩被保护的终端计算机***的文件打开接口；
通过Windows操作***文件过滤驱动技术调用注册过滤器，设定将防护拦截程序挂钩终端计算机PC1的Windows 7操作***的文件打开接口；
b．防护拦截程序拦截所有文件打开操作，获取打开操作所携带的输入参数；
所述打开操作所携带的输入参数包括被打开文件的文件路径名、文件属性对象地址、当前进程ID；
防护拦截程序拦截到终端计算机PC1上打开文件notepad.exe的操作，获取到打开操作所携带的输入参数；
终端计算机PC1上打开文件notepad.exe的操作的打开操作所携带的输入参数包括被打开文件的文件路径名为C:\Windows\system32\notepad.exe、文件属性对象地址为0x89953000、当前进程ID为7568；
c．防护拦截程序通过打开操作所携带的输入参数转换为文件打开操作的基本信息；
所述文件打开操作的基本信息包括被打开文件路径名、访问进程文件路径名、文件访问属性；
通过当前进程ID，获取访问进程所在的文件路径名。
通过文件属性对象地址，获取所包含的文件访问权限，文件访问权限包括读、写；
防护拦截程序获取到终端计算机PC1上被打开文件的路径名为C:\Windows\system32\notepad.exe；
防护拦截程序通过当前进程ID为7568，获取到终端计算机PC1上打开进程文件路径名为J:\temp\virus.exe；
防护拦截程序通过文件属性对象地址为0x89953000，获取到终端计算机PC1上被打开的可执行文件notepad.exe的文件访问权限为读写；
d．防护拦截程序判断文件访问属性，如果文件访问属性中包含写权限，则继续执行步骤e，如果文件访问属性中不包含写权限，则执行步骤h；
防护拦截程序判断终端计算机PC1上被打开的文件notepad.exe的文件访问属性包含写权限，继续执行步骤e；
e．防护拦截程序判断被打开文件的文件类型；
所述文件类型包括可执行文件、非可执行文件；
防护拦截程序读取被打开文件的头部信息，判断被打开文件是否为PE格式，如果被打开文件为PE格式，则判断被打开文件为可执行文件，继续执行步骤f，如果被打开文件为非PE格式，则判断被打开文件为非可执行文件，执行步骤h；
防护拦截程序读取到终端计算机PC1上被打开的文件notepad.exe的头部信息为MZ开头，各节格式与PE格式相符，判断终端计算机PC1上被打开的文件notepad.exe的格式为PE格式，因此判断终端计算机PC1上被打开的文件notepad.exe为可执行文件，继续执行步骤f；
f．防护拦截程序判断被打开文件是否需要保护；
防护拦截程序通过文件打开操作的基本信息，判断被打开文件是否需要保护，如果被打开文件路径名和访问进程文件路径名相等，则判定不需保护，执行步骤h，如果被打开文件路径名和访问进程文件路径名不相等，则判定被打开文件需要设定保护，继续执行步骤g；
防护拦截程序通过终端计算机PC1上打开notepad.exe可执行文件操作的基本信息中的被打开文件路径名C:\Windows\system32\notepad.exe和进程打开文件路径J:\temp\virus.exe判断二者不相等，因此判定终端计算机PC1上被打开的可执行文件notepad.exe需要设定保护，继续执行步骤g；
g．设定文件保护；
防护拦截程序修改被打开文件的文件打开操作的基本信息中的文件访问属性，去掉文件访问属性中的写权限，并将去掉写属性的文件访问属性更新到打开操作所携带的输入参数的文件属性对象地址中；
防护拦截程序去掉终端计算机PC1上被打开可执行文件notepad.exe的基本信息中的文件访问属性中的写权限，并将删除了写权限的文件访问属性更新到终端计算机PC1上可执行文件notepad.exe的打开操作所携带的输入参数的文件属性对象地址0x89953000中；
h．执行文件操作；
防护拦截程序将被打开文件的文件打开操作的基本信息中的文件访问属性返回给操作***；
所述被保护的终端计算机利用Windows操作***文件过滤驱动技术，监控可执行文件的打开操作，执行步骤b。
防护拦截程序将读取到的终端计算机PC1上被打开可执行文件notepad.exe的文件访问只读属性返回给终端计算机PC1的操作***执行后续文件打开操作；
终端计算机PC1的打开进程J:\temp\virus.exe根据文件访问属性只读执行文件访问操作，病毒的写入传播操作由于文件访问属性被防护拦截程序拦截并更改为只读，所以病毒写入传播操作被禁止。终端计算机PC1利用Windows操作***文件过滤驱动技术，监视终端计算机PC1的操作***的可执行文件的打开操作，执行步骤b。
本发明与现有方法对比如下：
以***每天5万次文件访问为例，现有技术中扫描文件比对病毒库是否带病毒每次需要10毫秒，因此，每天的***资源消耗为10*50000=500000毫秒。本发明的方法由于不扫描文件是否有病毒，根据传播行为做合法性判断，所需要的***资源为0.001毫秒，本发明的方法每天的***资源消耗小于50毫秒。
根据病毒传染的行为特征，实现对病毒传染的防控机制，可以有效解决被病毒感染问题，加强计算机***的安全性。

Claims (1)

1.一种基于Windows操作***的U盘PE格式文件病毒的拦截方法，包含以下步骤：
a．通过Windows操作***文件过滤驱动技术设定将防护拦截程序挂钩被保护的终端计算机***的文件打开接口；
b．防护拦截程序拦截所有文件打开操作，获取打开操作所携带的输入参数；
所述打开操作所携带的输入参数包括被打开文件的文件路径名、文件属性对象地址、当前进程ID；
c．防护拦截程序通过打开操作所携带的输入参数转换为文件打开操作的基本信息；
所述文件打开操作的基本信息包括被打开文件路径名、访问进程文件路径名、文件访问属性；
通过当前进程ID，获取访问进程所在的文件路径名；
通过文件属性对象地址，获取所包含的文件访问权限，文件访问权限包括读、写；
d．防护拦截程序判断文件访问属性，如果文件访问属性中包含写权限，继续执行步骤e；如果文件访问属性中不包含写权限，则执行步骤h；
e．防护拦截程序判断被打开文件的文件类型；
所述文件类型包括可执行文件、非可执行文件；
防护拦截程序读取被打开文件的头部信息，判断被打开文件是否为PE格式，如果被打开文件为PE格式，则判断被打开文件为可执行文件，继续执行步骤f；如果被打开文件为非PE格式，则判断被打开文件为非可执行文件，执行步骤h；
f．防护拦截程序判断被打开文件是否需要保护；
通过文件打开操作的基本信息，判断被打开文件是否需要保护，如果被打开文件路径名和访问进程文件路径名相等，则判定不需保护，执行步骤h；如果被打开文件路径名和访问进程文件路径名不相等，则判定被打开文件需要设定保护，继续执行步骤g；
g．设定文件保护；
防护拦截程序修改被打开文件的文件打开操作的基本信息中的文件访问属性，去掉文件访问属性中的写权限，并将去掉写属性的文件访问属性更新到打开操作所携带的输入参数的文件属性对象地址中；
h．执行文件操作；
防护拦截程序将被打开文件的文件打开操作的基本信息中的文件访问属性返回给操作***；
所述被保护的终端计算机利用Windows操作***文件过滤驱动技术，监控可执行文件的打开操作，执行步骤b。
CN202010215519.7A 2020-03-25 2020-03-25 一种基于Windows操作***的U盘PE格式文件病毒的拦截方法 Active CN111552962B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010215519.7A CN111552962B (zh) 2020-03-25 2020-03-25 一种基于Windows操作***的U盘PE格式文件病毒的拦截方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010215519.7A CN111552962B (zh) 2020-03-25 2020-03-25 一种基于Windows操作***的U盘PE格式文件病毒的拦截方法

Publications (2)

Publication Number Publication Date
CN111552962A true CN111552962A (zh) 2020-08-18
CN111552962B CN111552962B (zh) 2024-03-01

Family

ID=71999880

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010215519.7A Active CN111552962B (zh) 2020-03-25 2020-03-25 一种基于Windows操作***的U盘PE格式文件病毒的拦截方法

Country Status (1)

Country Link
CN (1) CN111552962B (zh)

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030090568A (ko) * 2003-11-07 2003-11-28 이동범 단말기 내의 자원 보호 시스템 및 방법
EP1684151A1 (en) * 2005-01-20 2006-07-26 Grant Rothwell William Computer protection against malware affection
CN1885224A (zh) * 2005-06-23 2006-12-27 福建东方微点信息安全有限责任公司 计算机反病毒防护***和方法
CN101826139A (zh) * 2009-12-30 2010-09-08 厦门市美亚柏科信息股份有限公司 一种非可执行文件挂马检测方法及其装置
CN102609667A (zh) * 2012-02-22 2012-07-25 浙江机电职业技术学院 基于过滤驱动程序的文件自动加解密***和方法
CN102663067A (zh) * 2012-03-31 2012-09-12 中标软件有限公司 一种基于Linux操作***终端的文件打开方法
US20140068774A1 (en) * 2012-08-28 2014-03-06 Alibaba Group Holding Limited Detecting a malware process
CN107563199A (zh) * 2017-09-04 2018-01-09 郑州云海信息技术有限公司 一种基于文件请求监控的勒索软件实时检测与防御方法
EP3293660A1 (en) * 2016-09-08 2018-03-14 Kaspersky Lab AO System and method of detecting malicious code in files
KR20200013013A (ko) * 2020-01-28 2020-02-05 (주)나무소프트 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템
CN110874474A (zh) * 2018-12-21 2020-03-10 北京安天网络安全技术有限公司 勒索者病毒防御方法、装置、电子设备及存储介质

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030090568A (ko) * 2003-11-07 2003-11-28 이동범 단말기 내의 자원 보호 시스템 및 방법
EP1684151A1 (en) * 2005-01-20 2006-07-26 Grant Rothwell William Computer protection against malware affection
CN1885224A (zh) * 2005-06-23 2006-12-27 福建东方微点信息安全有限责任公司 计算机反病毒防护***和方法
CN101826139A (zh) * 2009-12-30 2010-09-08 厦门市美亚柏科信息股份有限公司 一种非可执行文件挂马检测方法及其装置
CN102609667A (zh) * 2012-02-22 2012-07-25 浙江机电职业技术学院 基于过滤驱动程序的文件自动加解密***和方法
CN102663067A (zh) * 2012-03-31 2012-09-12 中标软件有限公司 一种基于Linux操作***终端的文件打开方法
US20140068774A1 (en) * 2012-08-28 2014-03-06 Alibaba Group Holding Limited Detecting a malware process
EP3293660A1 (en) * 2016-09-08 2018-03-14 Kaspersky Lab AO System and method of detecting malicious code in files
CN107563199A (zh) * 2017-09-04 2018-01-09 郑州云海信息技术有限公司 一种基于文件请求监控的勒索软件实时检测与防御方法
CN110874474A (zh) * 2018-12-21 2020-03-10 北京安天网络安全技术有限公司 勒索者病毒防御方法、装置、电子设备及存储介质
KR20200013013A (ko) * 2020-01-28 2020-02-05 (주)나무소프트 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
曹成龙;傅德胜;曹凤艳;: "基于文件过滤驱动的移动存储控制方法", 计算机应用, no. 06, pages 1498 - 1501 *
马莉;杨文茵;谢奕智;: "基于行为策略的主动防御***设计", 佛山科学技术学院学报(自然科学版), no. 04, pages 38 - 43 *
鲁婷婷;王俊峰;: "Windows内存防护机制研究", 网络与信息安全学报, no. 10, pages 1 - 15 *

Also Published As

Publication number Publication date
CN111552962B (zh) 2024-03-01

Similar Documents

Publication Publication Date Title
EP2541453B1 (en) System and method for malware protection using virtualization
KR101122787B1 (ko) 보안관련 프로그래밍 인터페이스
EP3180732B1 (en) Method of malware detection and system thereof
EP3113063B1 (en) System and method for detecting malicious code in random access memory
US9684785B2 (en) Providing multiple isolated execution environments for securely accessing untrusted content
EP3462358B1 (en) System and method for detection of malicious code in the address space of processes
US20070283444A1 (en) Apparatus And System For Preventing Virus
US8578345B1 (en) Malware detection efficacy by identifying installation and uninstallation scenarios
US20110209219A1 (en) Protecting User Mode Processes From Improper Tampering or Termination
JP2007534039A (ja) パーソナルコンピュータインターネットセキュリティシステム
CN102263773B (zh) 实时防护的方法和装置
CN113051034B (zh) 一种基于kprobes的容器访问控制方法与***
CN105335197A (zh) 终端中应用程序的启动控制方法和装置
CN114065196A (zh) Java内存马检测方法、装置、电子设备与存储介质
CN101414329B (zh) 删除正在运行中的病毒的方法
CN104252594A (zh) 病毒检测方法和装置
US20110047305A1 (en) Apparatus and method for securing data of usb devices
CN107203410B (zh) 一种基于***调用重定向的vmi方法及***
CN111552962B (zh) 一种基于Windows操作***的U盘PE格式文件病毒的拦截方法
CN110414220B (zh) 沙箱内程序动态执行过程中的操作文件提取方法及装置
KR20110057297A (ko) 악성 봇 동적 분석 시스템 및 방법
WO2009104720A1 (ja) リソース利用制御システム、リソース利用制御方法及びリソース利用制御用プログラム
CN113836529A (zh) 进程检测方法、装置、存储介质以及计算机设备
RU2592383C1 (ru) Способ формирования антивирусной записи при обнаружении вредоносного кода в оперативной памяти
TWI789944B (zh) 基於不同掃描方案之應用程式控管方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right

Effective date of registration: 20210719

Address after: 100020 1773, 15 / F, 17 / F, building 3, No.10, Jiuxianqiao Road, Chaoyang District, Beijing

Applicant after: Beijing Hongteng Intelligent Technology Co.,Ltd.

Address before: 110179 No.11, Lane 3, Wenhua Road, Heping District, Shenyang City, Liaoning Province

Applicant before: SHENYANG GENERALSOFT Co.,Ltd.

TA01 Transfer of patent application right
CB02 Change of applicant information

Address after: 100020 1773, 15 / F, 17 / F, building 3, No.10, Jiuxianqiao Road, Chaoyang District, Beijing

Applicant after: Sanliu0 Digital Security Technology Group Co.,Ltd.

Address before: 100020 1773, 15 / F, 17 / F, building 3, No.10, Jiuxianqiao Road, Chaoyang District, Beijing

Applicant before: Beijing Hongteng Intelligent Technology Co.,Ltd.

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant