CN113987468A - 安全检查方法和安全检查装置 - Google Patents

Abstract

本申请提供了一种安全检查方法和安全检查装置，涉及信息安全领域，在敏感信息获取及传播的过程中进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。该方法应用于部署有Linux操作***的网站服务器，该方法包括：当检测到第一进程被创建时，获取第一进程的父进程标识；判断父进程标识是否等于网站服务器中的软件进程标识；在父进程标识等于软件进程标识的情况下，获取第一进程的文件路径；判断第一进程的文件路径是否属于第一白名单；在第一进程的文件路径属于第一白名单的情况下，运行第一进程。

Description

安全检查方法和安全检查装置

技术领域

本申请涉及信息安全领域，尤其涉及一种安全检查方法和安全检查装置。

背景技术

网站服务器是指提供网站服务的计算机。网站服务器可以运行Linux操作***，网络服务器软件和应用程序软件可以运行于操作***中。用户可以通过浏览器等应用程序软件访问网站服务器，获取网站提供的数据。

网站服务器软件和应用程序软件可能会存在安全漏洞，例如，面向互联网开放的网站服务器可以被任意用户访问、网站服务器中的文件允许被任意用户读取、网站服务器允许运行各类应用程序软件，攻击者可以利用安全漏洞盗取网站服务器的敏感信息或控制网站服务器，导致网站服务器的敏感信息泄露，影响网站服务器的安全性。

发明内容

本申请提供了一种安全检查方法和安全检查装置，在敏感信息获取及传播的过程中进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

第一方面，本申请提供了一种安全检查方法，应用于部署有Linux操作***的网站服务器，该方法包括：当检测到第一进程被创建时，获取第一进程的父进程标识；判断父进程标识是否等于网站服务器中的软件进程标识；在父进程标识等于软件进程标识的情况下，获取第一进程的文件路径；判断第一进程的文件路径是否属于第一白名单；在第一进程的文件路径属于第一白名单的情况下，运行第一进程。

本申请实施例提供的安全检查方法，对程序运行时的第一进程进行安全检查，在第一进程的父进程标识等于网站服务器中的软件进程标识，且第一进程的文件路径属于第一白名单的情况下，运行第一进程，通过对第一进程的父进程标识和文件路径的安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

结合第一方面，在第一方面的某些实现方式中，上述方法还包括：在父进程标识不等于软件进程标识的情况下，运行第一进程。

结合第一方面，在第一方面的某些实现方式中，上述方法还包括：在第一进程的文件路径不属于第一白名单的情况下，禁止运行第一进程。

结合第一方面，在第一方面的某些实现方式中，上述方法还包括：当检测到打开第一文件的第一请求时，获取第一请求所请求的权限；判断所述第一请求所请求的权限是否包括读权限；在第一请求所请求的权限包括读权限的情况下，获取第一文件的路径；判断第一文件的路径是否属于第二白名单；在第一文件的路径属于第二白名单的情况下，打开第一文件。

本申请实施例提供的安全检查方法，对文件的打开进行安全检查，在打开第一文件的第一请求所请求的权限包括读权限，且第一文件的路径属于第二白名单的情况下，打开第一进程，通过对打开第一文件的第一请求所请求的权限和第一文件的路径进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

结合第一方面，在第一方面的某些实现方式中，上述方法还包括：在第一请求所请求的权限不包括读权限的情况下，打开第一文件。

结合第一方面，在第一方面的某些实现方式中，上述方法还包括：在第一文件的路径不属于第二白名单的情况下，禁止打开第一文件。

结合第一方面，在第一方面的某些实现方式中，上述方法还包括：当检测到发送第一消息的第二请求时，获取第一消息的内容；判断第一消息的内容是否属于黑名单；在第一消息的内容不属于黑名单的情况下，发送第一消息。

本申请实施例提供的安全检查方法，对消息发送进行安全检查，在第一消息的内容不属于黑名单的情况下，发送第一消息，通过对第一消息的内容进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

第二方面，本申请提供了一种安全检查装置，该装置包括获取模块、判断模块以及处理模块。获取模块，用于当检测到第一进程被创建时，获取第一进程的父进程标识；判断模块，用于判断父进程标识是否等于网站服务器中的软件进程标识；获取模块还用于：在父进程标识等于软件进程标识的情况下，获取第一进程的文件路径；判断模块还用于：判断第一进程的文件路径是否属于第一白名单；处理模块，用于在第一进程的文件路径属于第一白名单的情况下，运行第一进程。

结合第二方面，在第二方面的某些实现方式中，上述处理模块还用于：在父进程标识不等于软件进程标识的情况下，运行第一进程。

结合第二方面，在第二方面的某些实现方式中，上述处理模块还用于：在第一进程的文件路径不属于第一白名单的情况下，禁止运行第一进程。

结合第二方面，在第二方面的某些实现方式中，上述获取模块还用于：当检测到打开第一文件的第一请求时，获取第一请求所请求的权限；上述判断模块还用于：判断所述第一请求所请求的权限是否包括读权限；获取模块还用于：在第一请求所请求的权限包括读权限的情况下，获取第一文件的路径；上述判断模块还用于：判断第一文件的路径是否属于第二白名单；处理模块还用于：在第一文件的路径属于第二白名单的情况下，打开第一文件。

结合第二方面，在第二方面的某些实现方式中，上述处理模块还用于：在第一请求所请求的权限不包括读权限的情况下，打开第一文件。

结合第二方面，在第二方面的某些实现方式中，上述处理模块还用于：在第一文件的路径不属于第二白名单的情况下，禁止打开第一文件。

结合第二方面，在第二方面的某些实现方式中，上述获取模块还用于：当检测到发送第一消息的第二请求时，获取第一消息的内容；上述判断模块还用于判断第一消息的内容是否属于黑名单；上述装置还包括发送模块，发送模块用于：在第一消息的内容不属于黑名单的情况下，发送第一消息。

第三方面，本申请提供了一种安全检查装置，包括处理器和存储器。该处理器用于读取存储器中存储的指令，以执行上述第一方面中任一种可能实现方式中的方法。

可选地，处理器为一个或多个，存储器为一个或多个。

可选地，存储器可以与处理器集成在一起，或者存储器与处理器分离设置。

在具体实现过程中，存储器可以为非瞬时性(non-transitory)存储器，例如只读存储器(read only memory，ROM)，其可以与处理器集成在同一块芯片上，也可以分别设置在不同的芯片上，本申请实施例对存储器的类型以及存储器与处理器的设置方式不做限定。

上述第三方面中的安全检查装置可以是一个芯片，该处理器可以通过硬件来实现也可以通过软件来实现，当通过硬件实现时，该处理器可以是逻辑电路、集成电路等；当通过软件来实现时，该处理器可以是一个通用处理器，通过读取存储器中存储的软件代码来实现，该存储器可以集成在处理器中，可以位于该处理器之外，独立存在。

第四方面，本申请提供了一种计算机可读介质，所述计算机可读介质存储有计算机程序(也可以称为代码，或指令)当其在计算机上运行时，使得计算机执行上述任一方面中任一种可能实现方式中的方法。

第五方面，本申请提供了一种计算机程序产品，计算机程序产品包括：计算机程序(也可以称为代码，或指令)，当计算机程序被运行时，使得计算机执行上述第一方面中任一种可能实现方式中的方法。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

图1为本申请实施例提供的一种安全检查方法的示意性流程图；

图2为本申请实施例提供的另一种安全检查方法的示意性流程图；

图3为本申请实施例提供的又一种安全检查方法的示意性流程图；

图4为本申请实施例提供的一种安全检查装置的示意性框图；

图5为本申请实施例提供的另一种安全检查装置的示意性框图。

通过上述附图，已示出本申请明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本申请构思的范围，而是通过参考特定实施例为本领域技术人员说明本申请的概念。

具体实施方式

下面将结合附图，对本申请中的技术方案进行描述。

为了便于理解本申请实施例，首先对本申请实施例中的相关术语进行介绍。

1、Linux操作***

Linux，全称GNU/Linux，是一种***和自由传播的类UNIX操作***，是一个基于可移植操作***接口(portable operating system interface，POSIX)的多用户、多任务、支持多线程和多中央处理器(central processing unit，CPU)的操作***。

Linux操作***可以运行Unix工具软件、应用程序和网络协议，并且可以支持32位和64位硬件。Linux继承了Unix以网络为核心的设计思想，是一个性能稳定的多用户网络操作***。

2、Linux安全模块

Linux安全模块(Linux security module，LSM)是Linux操作***提供的一种安全访问控制框架，支持“限制型”的访问控制决策，开发者可以通过实现预设hook点的函数完成相关安全校验。

LSM开发完成后可以和内核一同编译，运行于内核态。当用户进程试图进行文件读写、程序运行、网络传输等操作时，如果相关hook函数已实现，则会调用函数进行安全检查，判断当前请求是否符合安全策略并许可或拒绝。

3、网站服务器

网站服务器(website server)是指在互联网数据中心中存放网站的服务器。网站服务器主要用于网站在互联网中的发布和应用，是网络应用的基础硬件设施。

网站服务器可以具有如下几个特点：

1)网站服务器仅向用户提供“授权”的数据，即用户不能随意访问网站服务器中任意文件数据。

2)网站服务器中仅需运行保障网站正常运行、日常运维等相关的程序，不运行其他程序不会对服务器的正常工作产生影响。

3)网站服务器运行时仅需对特定目录进行读写操作。

4、套接字(socket)

socket是在应用层和传输层之间的一个抽象层，它把传输控制协议/网际协议(transmission control protocol/internet protocol，TCP/IP)层复杂的操作抽象为几个简单的接口供应用层调用已实现进程在网络中通信。

5、安全基线

安全基线是对如何配置和管理计算机的详细描述。安全基线在一台计算机上实现了受信计算机组件，同时，还描述了实现安全运行的所有相关配置设置。

安全基线的元素包括：

1)服务和应用程序设置，例如：只有指定用户才有权启动服务或运行应用程序。

2)操作***组件的配置，例如：互联网信息服务(internet informationservices，IIS)自带的所有样本文件必须从计算机上删除。

3)权限和权利分配，例如：只有管理员才有权更改操作***文件。

4)管理规则，例如：计算机上的管理员(administrator)密码每30天换一次。

网站服务器可以运行Linux操作***，网站服务器软件和应用程序软件可以运行于操作***中。其中，网站服务器软件可以为weblogic等软件，应用程序软件可以为允许访问网站服务器的任意软件。例如，用户可以通过浏览器等应用程序软件访问网站服务器，获取网站提供的数据。

网站服务器软件和应用程序软件可能会存在安全漏洞，例如，面向互联网开放的网站服务器可以被任意用户访问、网站服务器中的文件允许被任意读取、网站服务器允许运行各类应用程序软件，攻击者可以利用安全漏洞盗取网站服务器的敏感信息或控制网站服务器，使网站服务器的敏感信息泄露和安全受到影响，不利于用户的体验。

其中，敏感信息可以包括网站服务器中存储的密钥、Linux操作***的网卡及接口信息、软件运行时的Linux操作***的数据等。

示例性地，攻击者设计了一款带有病毒的应用软件程序，当网站服务器运行带有病毒的应用程序软件时，攻击者可以通过该带有病毒的应用程序软件获取网站服务器中的敏感信息，导致网站服务器中的敏感信息的泄露。

示例性地，网站服务器中的文件允许被任意读取，攻击者可以通过读取网站服务器中的文件获取网站服务器中的敏感信息，导致网站服务器中的敏感信息的泄露。

目前，网站服务器可以基于主机入侵检测***(host-based intrusiondetection system，HIDS)进行网络流量分析，对网络流量中包含的潜在威胁进行阻断或报警。

具体而言，网站服务器中可以部署代理器(agent)，该agent可以用于检测网站服务器的安全状态，可以对网站服务器环境中针对网络流量的异常操作行为进行检测。在网站服务器中部署agent后，agent需要与***服务器进行通信，便于统一管理。

在该方法中，agent更侧重于对入侵行为的检测，当检测到网站服务器环境中的网络流量遭到入侵时，敏感信息可能已经泄露。另外，在大型复杂的网站服务器环境中，每台网站服务器上均需要部署agent，且每台网站服务器均需要与***服务器连接，存在部署操作较多的问题，且可能引入跨虚拟局域网(virtual local area network，VLAN)访问的风险。

有鉴于此，在信息安全领域中，本申请实施例提供一种安全检查方法和安全检查装置，在敏感信息获取及传播的过程中进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

在介绍本申请实施例提供的安全检查方法和安全检查装置之前，先做出以下几点说明。

第一，在下文示出的实施例中第一、第二以及各种数字编号仅为描述方便进行的区分，并不用来限制本申请实施例的范围。例如，区分不同的白名单、区分不同的消息等。

第二，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B的情况，其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项(个)”或其类似表达，是指的这些项中的任意组合，包括单项(个)或复数项(个)的任意组合。例如，a、b和c中的至少一项(个)，可以表示：a，或b，或c，或a和b，或a和c，或b和c，或a、b和c，其中a，b，c可以是单个，也可以是多个。

图1为本申请实施例提供的一种安全检查方法100的示意性流程图，该方法100可以应用于部署有Linux操作***的网站服务器。

网站服务器可以基于上述Linux安全模块实现该方法100。

示例性地，网站服务器可以通过LSM hook函数中的task_alloc和bprm_set_creds函数实现方法100。

该方法100可以包括如下步骤：

S101、当检测到第一进程被创建时，获取第一进程的父进程标识。

第一进程为网站服务器运行程序时的进程。当网站服务器检测到第一进程被创建时，可以通过task_alloc函数中的参数struct task_struct获取第一进程的父进程标识。

应理解，每一个进程均有一个非负整型表示的唯一进程标识。

一个进程可以由另一个进程创建，创建进程的进程为父进程，被创建的进程为子进程，上述第一进程为子进程。

第一进程可以为满足网站正常运行的最小命令集合，且不包括部分非必须且攻击者常用的指令(例如，ifconfig)。

S102、判断父进程标识是否等于网站服务器中的软件进程标识。

网站服务器中的软件进程标识即上述网站服务器软件的进程标识。若网站服务器软件为weblogic，网站服务器中的软件进程标识为weblogic的进程标识。

网站服务器软件可以存在一个或者多个，本申请实施例对此不作限定。

当网站服务器软件为多个时，网站服务器中的软件进程标识可以为该多个网站服务器软件的进程标识。

网站服务器判断父进程标识是否等于网站服务器中的软件进程标识，即判断上述第一进程是否由网站服务器软件的进程创建。

S103、在父进程标识等于软件进程标识的情况下，获取第一进程的文件路径。

第一进程为网站服务器运行程序时的进程，第一进程的文件路径即网站服务器运行的程序文件路径。

在父进程标识等于软件进程标识的情况下，即在第一进程由网站服务器软件的进程创建的情况下，网站服务器可以通过bprm_set_creds函数中的struct linux_binprm参数获取第一进程的文件路径。

可选地，在父进程标识不等于软件进程标识的情况下，运行第一进程。

在父进程标识不等于软件进程标识的情况下，即在第一进程不是由网站服务器软件的进程创建的情况下，运行第一进程。

S104、判断第一进程的文件路径是否属于第一白名单。

第一白名单中包括多个文件路径。第一白名单中的文件路径是预设的。示例性地，第一白名单中的文件路径可以由网站服务器的管理员确定或者基于安全基线确定。

网站服务器判断第一进程的文件路径是否属于第一白名单，即判断第一白名单中的多个文件路径是否包括第一进程的文件路径。

当第一白名单中的多个文件路径包括第一进程的文件路径时，网站服务器可以判断第一进程较小可能存在安全漏洞；当第一白名单中的多个文件路径不包括第一进程的文件路径时，网站服务器可以判断第一进程存在安全漏洞。S105、在第一进程的文件路径属于第一白名单的情况下，运行第一进程。

在第一进程的文件路径属于第一白名单的情况下，即第一白名单中的多个文件路径包括第一进程的文件路径，网站服务器可以运行第一进程。

可选地，在第一进程的文件路径不属于第一白名单的情况下，禁止运行第一进程。

在第一进程的文件路径不属于第一白名单的情况下，即第一白名单中的多个文件路径不包括第一进程的文件路径，网站服务器可以禁止运行第一进程。

可选地，上述第一白名单也可以是第一黑名单，网站服务器可以判断第一进程的文件路径是否属于第一黑名单，在第一进程的文件路径属于第一黑名单的情况下，禁止运行第一进程；在第一进程的文件路径不属于第一黑名单的情况下，运行第一进程。

本申请实施例提供的安全检查方法，对程序运行时的第一进程进行安全检查，在第一进程的父进程标识等于网站服务器中的软件进程标识，且第一进程的文件路径属于第一白名单的情况下，运行第一进程，通过对第一进程的父进程标识和文件路径的安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

图2为本申请实施例提供的另一种安全检查方法200的示意性流程图，该方法200可以应用于部署有Linux操作***的网站服务器。

网站服务器可以基于上述Linux安全模块实现该方法200。

示例性地，网站服务器可以通过LSM hook函数中的file_permission函数实现方法200。

该方法200可以包括如下步骤：

S201、当检测到打开第一文件的第一请求时，获取第一请求所请求的权限。

打开第一文件的第一请求可以是使用网站服务器的用户所请求的，也可以是攻击者所请求的，还可以是上述方法100中运行进程时所请求的，本申请实施例对此不作限定。

第一文件可以为满足网站正常运行的最小集合，且可以不包括一部分***文件(例如，proc)。

第一请求所请求的权限可以包括读权限、写权限以及执行权限，本申请实施例对此不作限定。

网站服务器当检测到打开第一文件的第一请求时，可以通过file_permission函数中的mask参数获取第一请求所请求的权限。

示例性地，网站服务器获取的第一请求所请求的权限包括读权限和写权限

S202、判断第一请求所请求的权限是否包括读权限。

S203、在第一请求所请求的权限包括读权限的情况下，获取第一文件的路径。

第一文件的路径即第一文件在网站服务器中存储的路径，例如，D:\中心数据\持续集成项目\资料与分享。

当第一请求所请求的权限包括读权限时，网站服务器可以通过file_permission函数中的struct file参数获取第一文件的路径。

可选地，在第一请求所请求的权限不包括读权限的情况下，打开第一文件。

在第一请求所请求的权限不包括读权限的情况下，网站服务器可以判断第一文件较小可能存在安全漏洞，可以打开第一文件。

S204、判断第一文件的路径是否属于第二白名单。

第二白名单中包括多个路径。第二白名单中的路径是预设的。示例性地，第二白名单中的路径可以由网站服务器的管理员确定或者基于安全基线确定。

网站服务器判断第一文件的路径是否属于第二白名单，即判断第二白名单中的多个路径是否包括第一文件的路径。

当第二白名单中的多个路径包括第一文件的路径时，网站服务器可以判断第一文件较小可能存在安全漏洞；当第二白名单中的多个路径不包括第一文件的路径时，网站服务器可以判断第一文件存在安全漏洞。

S205、在第一文件的路径属于第二白名单的情况下，打开第一文件。

在第一文件的路径属于第二白名单的情况下，即第二白名单中的多个路径包括第一文件的路径，网站服务器可以打开第一文件。

可选地，在第一文件的路径不属于第二白名单的情况下，禁止打开第一文件。

在第一文件的路径不属于第二白名单的情况下，即第二白名单中的多个路径补包括第一文件的路径，网站服务器可以禁止打开第一文件。

可选地，上述第二白名单也可以是第二黑名单，网站服务器可以判断第一文件的路径是否属于第二黑名单，在第一文件的路径属于第二黑名单的情况下，禁止打开第一文件；在第一进程的文件路径不属于第二黑名单的情况下，打开第一文件。

本申请实施例提供的安全检查方法，对文件的打开进行安全检查，在打开第一文件的第一请求所请求的权限包括读权限，且第一文件的路径属于第二白名单的情况下，打开第一进程，通过对打开第一文件的第一请求所请求的权限和第一文件的路径进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

图3为本申请实施例提供的又一种安全检查方法300的示意性流程图，该方法300可以应用于部署有Linux操作***的网站服务器。

网站服务器可以基于上述Linux安全模块实现该方法300。

示例性地，网站服务器可以通过LSM hook函数中的socket_sendmsg函数实现方法300。

该方法300可以包括如下步骤：

S301、当检测到发送第一消息的第二请求时，获取第一消息的内容。

第一消息可以是socket消息。

发送第一消息的第二请求可以是使用网站服务器的用户所请求的，也可以是攻击者所请求的，还可以是上述方法100或者方法200中所请求的，本申请实施例对此不作限定。

当检测到发送第一消息的第二请求时，网站服务器可以获取第一消息的内容，例如，第一消息的内容为进程标识、内存映射或者栈。

S302、判断第一消息的内容是否属于黑名单。

黑名单中包括多个信息，例如，进程标识、内存映射以及栈等信息。其中，本申请实施例对黑名单中信息的个数不作限定。

黑名单中的信息是预设的。示例性地，黑名单中的信息可以由网站服务器的管理员确定或者基于安全基线确定。

黑名单中的信息可动态变化，即黑名单中的信息可以动态增加或者删减。

示例性地，网站服务器的管理员可以在黑名单中增加信息，以阻止更多的消息发送。

示例性地，基于安全基线，网站服务器可以减少黑名单中的信息，即网站服务器基于安全基线确定黑名单中的信息是安全信息，尽可能小的存在安全漏洞，可以在黑名单中删除。

网站服务器判断第一消息的内容是否属于黑名单，即判断黑名单中的多个信息是否包括第一消息的内容。

当黑名单中的多个信息包括第一消息的内容，网站服务器可以判断第一消息存在安全漏洞；当黑名单中的多个信息不包括第一消息的内容，网站服务器可以判断第一消息尽可能小的存在安全漏洞。

S303、在第一消息的内容不属于黑名单的情况下，发送第一消息。

在第一消息的内容不属于黑名单的情况下，即网站服务器判断黑名单中的多个信息不包括第一消息的内容，可以发送第一消息。

可选地，在第一消息的内容属于黑名单的情况下，禁止发送第一消息。

在第一消息的内容不属于黑名单的情况下，即网站服务器判断黑名单中的多个信息包括第一消息的内容，可以禁止发送第一消息。

可选地，上述第二白名单也可以是第二黑名单，网站服务器可以判断第一文件的路径是否属于第二黑名单，在第一文件的路径属于第二黑名单的情况下，禁止打开第一文件；在第一进程的文件路径不属于第二黑名单的情况下，打开第一文件。

本申请实施例提供的安全检查方法，对消息发送进行安全检查，在第一消息的内容不属于黑名单的情况下，发送第一消息，通过对第一消息的内容进行安全检查，有利于防止网站服务器中敏感信息的泄露，提高网站服务器的安全性。

上述方法100、方法200以及方法300均可以由网站服务器执行。在一种可能的实现方式中，网站服务器可以执行上述方法100、方法200或者方法300中任意一个，即网站服务器可以独立使用上述方法100、方法200或者方法300。

在另一种可能的实现方式中，网站服务器可以执行上述方法100、方法200或者方法300中的至少两个方法。示例性地，网站服务器可以执行上述方法100和方法200。或者，网站服务器可以执行上述方法100、方法200以及方法300。

上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

上文中结合图1至图3，详细描述了本申请实施例提供的安全检查方法，下面将结合图4和图5，详细描述本申请实施例提供的安全检查装置。

图4示出了本申请实施例提供的一种安全检查装置400。该装置400包括：获取模块410、判断模块420以及处理模块430。其中，获取模块410用于：当检测到第一进程被创建时，获取第一进程的父进程标识；判断模块420用于：判断父进程标识是否等于网站服务器中的软件进程标识；获取模块410还用于：在父进程标识等于软件进程标识的情况下，获取第一进程的文件路径；判断模块420还用于：判断第一进程的文件路径是否属于第一白名单；处理模块430用于：在第一进程的文件路径属于第一白名单的情况下，运行第一进程。

可选地，处理模块430还用于：在父进程标识不等于软件进程标识的情况下，运行第一进程。

可选地，处理模块430还用于：在第一进程的文件路径不属于第一白名单的情况下，禁止运行第一进程。

可选地，获取模块410还用于：当检测到打开第一文件的第一请求时，获取第一请求所请求的权限；判断模块420还用于：判断所述第一请求所请求的权限是否包括读权限；获取模块410还用于：在第一请求所请求的权限包括读权限的情况下，获取第一文件的路径；判断模块420还用于：判断第一文件的路径是否属于第二白名单；处理模块430还用于：在第一文件的路径属于第二白名单的情况下，打开第一文件。

可选地，处理模块430还用于：在第一请求所请求的权限不包括读权限的情况下，打开第一文件。

可选地，处理模块430还用于：在第一文件的路径不属于第二白名单的情况下，禁止打开第一文件。

可选地，获取模块410还用于：当检测到发送第一消息的第二请求时，获取第一消息的内容；判断模块420还用于：判断第一消息的内容是否属于黑名单；上述装置400还包括发送模块，发送模块用于：在第一消息的内容不属于黑名单的情况下，发送第一消息。

应理解，这里的装置400以功能模块的形式体现。这里的术语“模块”可以指应用特有集成电路(application specific integrated circuit，ASIC)、电子电路、用于执行一个或多个软件或固件程序的处理器(例如共享处理器、专有处理器或组处理器等)和存储器、合并逻辑电路和/或其它支持所描述的功能的合适组件。在一个可选例子中，本领域技术人员可以理解，该装置400可以具体为上述实施例中的网站服务器，或者，上述实施例中网站服务器的功能可以集成在该装置400中，该装置400可以用于执行上述方法实施例中与网站服务器对应的各个流程和/或步骤，为避免重复，在此不再赘述。

上述装置400具有实现上述方法100、方法200或者方法300中网站服务器执行的相应步骤的功能；上述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。例如，上述获取模块可以为通信接口，例如收发接口。

图5示出了本申请实施例提供的一种安全检查装置500。该装置500包括：处理器510、通信接口520和存储器530。其中，处理器510、通信接口520和存储器530通过内部连接通路互相通信，该存储器530用于存储指令，该处理器510用于执行该存储器530存储的指令，以控制该通信接口发送信号和/或接收信号。

上述装置500用于执行上述安全检查方法中的各个流程和步骤。其中，该处理器510用于：当检测到第一进程被创建时，获取第一进程的父进程标识；判断父进程标识是否等于网站服务器中的软件进程标识；在父进程标识等于软件进程标识的情况下，获取第一进程的文件路径；判断第一进程的文件路径是否属于第一白名单；在第一进程的文件路径属于第一白名单的情况下，运行第一进程。

应理解，该装置500可以用于执行上述方法实施例中与网站服务器对应的各个步骤和/或流程。可选地，该存储器530可以包括只读存储器和随机存取存储器，并向处理器510提供指令和数据。存储器530的一部分还可以包括非易失性随机存取存储器。例如，存储器530还可以存储设备类型的信息。该处理器510可以用于执行存储器530中存储的指令，并且当该处理器510执行存储器530中存储的指令时，该处理器510用于执行上述与该网站服务器对应的方法实施例的各个步骤和/或流程。

应理解，在本申请实施例中，上述装置500的处理器510可以是中央处理单元(central processing unit，CPU)，该处理器510还可以是其他通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。结合本申请实施例所公开的方法的步骤可以直接体现为硬件处理器执行完成，或者用处理器中的硬件及软件单元组合执行完成。软件单元可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器执行存储器中的指令，结合其硬件完成上述方法的步骤。为避免重复，这里不再详细描述。

本申请提供一种可读计算机存储介质，该可读计算机存储介质用于存储计算机程序，该计算机程序用于实现上述实施例中网站服务器对应的方法。

本申请提供了一种计算机程序产品，该计算机程序产品包括计算机程序(也可以称为代码，或指令)，当该计算机程序在计算机上运行时，该计算机可以执行上述实施例中网站服务器对应的方法。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的***、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的***、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(read-only memory，ROM)、随机存取存储器(random access memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (11)

1.一种安全检查方法，其特征在于，包括：

当检测到第一进程被创建时，获取所述第一进程的父进程标识；

判断所述父进程标识是否等于所述网站服务器中的软件进程标识；

在所述父进程标识等于所述软件进程标识的情况下，获取所述第一进程的文件路径；

判断所述第一进程的文件路径是否属于第一白名单；

在所述第一进程的文件路径属于所述第一白名单的情况下，运行所述第一进程。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述父进程标识不等于所述软件进程标识的情况下，运行所述第一进程。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

在所述第一进程的文件路径不属于所述第一白名单的情况下，禁止运行所述第一进程。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当检测到打开第一文件的第一请求时，获取所述第一请求所请求的权限；

判断所述第一请求所请求的权限是否包括读权限；

在所述第一请求所请求的权限包括读权限的情况下，获取所述第一文件的路径；

判断所述第一文件的路径是否属于第二白名单；

在所述第一文件的路径属于所述第二白名单的情况下，打开所述第一文件。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

在所述第一请求所请求的权限不包括读权限的情况下，打开所述第一文件。

6.根据权利要求4或5所述的方法，其特征在于，所述方法还包括：

在所述第一文件的路径不属于所述第二白名单的情况下，禁止打开所述第一文件。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当检测到发送第一消息的第二请求时，获取所述第一消息的内容；

判断所述第一消息的内容是否属于黑名单；

在所述第一消息的内容不属于所述黑名单的情况下，发送所述第一消息。

8.一种安全检查装置，其特征在于，包括：

获取模块，用于当检测到第一进程被创建时，获取所述第一进程的父进程标识；

判断模块，用于判断所述父进程标识是否等于所述网站服务器中的软件进程标识；

所述获取模块还用于：在所述父进程标识等于所述软件进程标识的情况下，获取所述第一进程的文件路径；

所述判断模块还用于：判断所述第一进程的文件路径是否属于第一白名单；

处理模块，用于在所述第一进程的文件路径属于所述第一白名单的情况下，运行所述第一进程。

9.一种安全检查装置，其特征在于，包括：处理器，所述处理器与存储器耦合，所述存储器用于存储计算机程序，当所述处理器调用所述计算机程序时，使得所述装置执行权利要求1至7中任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序包括用于实现如权利要求1至7中任一项所述的方法的指令。

11.一种计算机程序产品，所述计算机程序产品中包括计算机程序代码，其特征在于，当所述计算机程序代码在计算机上运行时，使得计算机实现如权利要求1至7中任一项所述的方法。

Images