CN114282178A - 一种软件自防护方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明的实施例公开一种软件自防护方法、装置、电子设备及存储介质，涉及计算机网络安全技术领域，能够解决现有软件自防护方法无法自行感知攻击的发生造成防护不及时，以及因缺少文件漏洞检测无法保证软件和***安全的问题。所述软件自防护方法包括创建主进程，在主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，主进程用于对每个功能进程进行调度以实现全部软件功能，获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较，若比较结果为异常，则阻断异常返回值对应的功能进程，本发明在软件漏洞被病毒利用时提供缓解和感知能力，以提升软件和***安全。

Description

一种软件自防护方法、装置、电子设备及存储介质

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种软件自防护方法、装置、电子设备及存储介质。

背景技术

目前软件未知漏洞检测仍是计算机安全领域的热门话题，现有软件自防护技术主要停留在进程守护、代码混淆和签名验证等防护技术。进程守护技术可以部分阻止调试行为发生，代码混淆技术可以延缓软件解析，签名验证技术则可以防止软件被篡改，但这些技术都没有及时在软件因漏洞被攻击、利用时进行主动防护，而研究发现利用软件未知漏洞发起的攻击绝大多数都是在漏洞利用后的信息窃取、网络回连等阶段，造成防护不及时。并且，现有软件保护机制侧重于对网络应用程序接口漏洞的防护，对软件程序文件缺少漏洞检测，在软件被潜在漏洞攻击时完全没有防护能力，一旦存在漏洞只能依靠操作***的漏洞缓解措施拖延利用软件程序的运行，或者采用角色限制的方式减少利用软件漏洞的病毒对***造成的影响，但该采用角色限制的方式同时也限定了软件功能的实现，例如，在安装、卸载软件时都要求高级别权限授权人员才能执行，而在高级别权限授权下运行软件一旦存在漏洞且被病毒利用仍会对***造成不可忽视的危害，无法保证软件和***安全。

发明内容

有鉴于此，本发明实施例提供一种软件自防护方法、装置、电子设备及存储介质，以解决现有软件自防护方法无法自行感知攻击的发生造成防护不及时，以及因缺少文件漏洞检测无法保证软件和***安全的问题。

第一方面，本发明实施例提供一种软件自防护方法，应用于电子设备，包括：

创建主进程，在所述主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，所述主进程用于对每个功能进程进行调度以实现全部软件功能；

获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

若比较结果为异常，则阻断异常返回值对应的功能进程。

根据本发明实施例的一种具体实现方式，所述主进程还用于：

对自身进程对应软件代码进行完整性校验。

根据本发明实施例的一种具体实现方式，在创建多个功能进程后，还包括：

创建主进程与各个功能进程之间的通信管道，以使所述主进程与各个功能进程通过所述通信管道进行数据交互。

根据本发明实施例的一种具体实现方式，所述获取每个功能进程访问预设外部组件的返回值，包括：

获取功能进程对应函数访问预设外部组件形成的堆栈，所述堆栈中包括功能进程名称、待访问函数名称、偏移量和内存地址中的一种或多种；

计算所述堆栈对应的哈希值，将所述堆栈对应的哈希值作为功能进程访问预设外部组件的返回值。

根据本发明实施例的一种具体实现方式，还包括：

对所述异常返回值对应的功能进程进行快照并保存快照结果。

根据本发明实施例的一种具体实现方式，在阻断异常返回值对应的功能进程后，还包括：

创建与所述异常返回值对应的功能进程功能相同的新的功能进程，以实现所述异常返回值对应的功能进程对应的部分软件功能。

根据本发明实施例的一种具体实现方式，所述在所述主进程中创建多个功能进程，包括：

将软件按照对运行平台的不同组件操作划分为多个功能，创建每个功能对应的功能进程。

第二方面，本发明实施例提供一种软件自防护装置，包括：

第一创建模块，用于创建主进程，在所述主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，所述主进程用于对每个功能进程进行调度以实现软件功能；

比较模块，用于获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

阻断模块，用于在比较结果为异常时，阻断异常返回值对应的功能进程。

根据本发明实施例的一种具体实现方式，还包括：

校验模块，用于对主进程自身对应软件代码进行完整性校验。

根据本发明实施例的一种具体实现方式，还包括：

第二创建模块，用于创建主进程与各个功能进程之间的通信管道，以使所述主进程与各个功能进程通过所述通信管道进行数据交互。

根据本发明实施例的一种具体实现方式，还包括：

计算模块，用于获取功能进程对应函数访问预设外部组件形成的堆栈，所述堆栈中包括功能进程名称、待访问函数名称、偏移量和内存地址中的一种或多种，计算所述堆栈对应的哈希值，将所述堆栈对应的哈希值作为功能进程访问预设外部组件的返回值。

根据本发明实施例的一种具体实现方式，还包括：

快照模块，用于对所述异常返回值对应的功能进程进行快照并保存快照结果。

根据本发明实施例的一种具体实现方式，还包括：

第三创建模块，用于创建与所述异常返回值对应的功能进程功能相同的新的功能进程，以实现所述异常返回值对应的功能进程对应的部分软件功能。

第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实现方式所述的软件自防护方法。

第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一实现方式所述的软件自防护方法。

本发明实施例提供的一种软件自防护方法、装置、电子设备及存储介质，通过创建主进程，在主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，主进程用于对每个功能进程进行调度以实现全部软件功能，获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较，若比较结果为异常，则阻断异常返回值对应的功能进程，能够有效解决现有软件自防护方法无法自行感知攻击的发生造成防护不及时，以及因缺少文件漏洞检测无法保证软件和***安全的问题，在软件漏洞被病毒利用时提供缓解和感知能力，以提升软件和***安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明的实施例一软件自防护方法的流程图；

图2为本发明的实施例二软件自防护方法的流程图；

图3为本发明的实施例二软件自防护方法中网络功能进行阻断示意图；

图4为本发明的实施例一软件自防护装置的功能结构图；

图5为本发明的一个实施例提供的一种电子设备的结构示意图。

具体实施方式

下面结合附图对本发明实施例进行详细描述。应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

本实施例提供一种软件自防护方法，以解决现有软件自防护方法无法自行感知攻击的发生造成防护不及时，以及因缺少文件漏洞检测无法保证软件和***安全的问题。

图1为本发明实施例一的软件自防护方法的流程示意图，如图1所示，本实施例的软件自防护方法应用于电子设备。

本实施例的软件自防护方法可以包括：

步骤101、创建主进程，在主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，主进程用于对每个功能进程进行调度以实现全部软件功能；

传统软件自防护方法由于运行平台无法对软件功能和行为进行细粒度限定，一旦软件潜在执行漏洞被利用则攻击者可以完成软件运行时权限的获取，进而对***进行修改和信息获取。

本实施例中，将软件按照对运行平台的不同组件操作划分为多个功能，创建每个功能对应的功能进程，从而实现对软件功能和行为进行细粒度限定，可以预先确定每个功能进程的访问对象，在功能进程访问对象出现偏差或异常时，及时发现并阻断该进程，有效避免漏洞被利用时攻击者对***进行修改和信息获取，提升软件和***安全。

步骤102、获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

步骤103、若比较结果为异常，则阻断异常返回值对应的功能进程。

现有保护机制中发现利用未知漏洞发起的攻击绝大多数都是在漏洞利用后的信息窃取及网络回连等阶段，现有软件保护机制难以在攻击发生时立即发现并阻断，并且被攻击软件也无法自行感知攻击的发生，自防护能力弱。

本实施例中，通过创建主进程，在主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，主进程用于对每个功能进程进行调度以实现全部软件功能，获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较，若比较结果为异常，则阻断异常返回值对应的功能进程，能够有效解决现有软件自防护方法无法自行感知攻击的发生造成防护不及时，以及因缺少文件漏洞检测能力无法保证软件和***安全的问题，在软件漏洞被病毒利用时提供缓解和感知能力，以提升软件和***安全。

图2为本发明实施例二的软件自防护方法的流程图，如图2所示，本实施例的软件自防护方法可以包括：

步骤201、软件执行时，***分配一个主进程和多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，主进程用于对每个功能进程进行调度以实现全部软件功能；

步骤202、主进程对自身进程对应软件代码进行完整性校验；

软件主进程尽量减少对***组件的操作，所有对***组件的操作都由功能进程完成。主进程通过创建通信管道与对应的函数和功能进程通信，并且，主进程通过代码完整性校验对自身行为做出约束，以检测主进程自身代码是否被篡改，进一步提升软件和***安全。

步骤203、创建主进程与各个功能进程之间的通信管道，以使主进程与各个功能进程之间通过通信管道进行数据交互；

本实施例中，功能进程受到软件主进程监控，其运行参数由主进程通过通信管道发送至功能进程，其运行结果通过通信管道回传给主进程。同时，由于在完成特定功能时，可能对***其他组件造成影响，因此，本实施例中，采用完成特定功能时将过程信息同步回传给主进程，由主进程验证该行为是否为正常行为。

步骤204、获取功能进程对应函数访问预设外部组件形成的堆栈，堆栈中包括功能进程名称、待访问函数名称、偏移量和内存地址中的一种或多种；

步骤205、计算堆栈对应的哈希值，将堆栈对应的哈希值作为功能进程访问预设外部组件的返回值；

为兼容反病毒软件对进程的挂钩行为，在生成堆栈的哈希值时不考虑***函数内部行为。

步骤206、将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

步骤207、若比较结果为异常，则阻断异常返回值对应的功能进程。

例如，某软件存在漏洞，该漏洞是由于反病毒软件在解析aspack壳时未能正确解析造成的代码执行漏洞。解析文件需要对文件进行读操作，而无需对***其他组件进行操作。使用本方案建立功能进程进行解析操作，当该漏洞被触发时，恶意行为破坏进程执行流程且必须对其他***组件进行操作，如持久化和网络回连等。此时主进程检测到功能进程返回的堆栈哈希值不正常表明对***其他组件存在不正常访问，立即阻断改功能进程。

本实施例中，通过限定每个功能进程的行为、访问范围以及访问权限，当存在未知漏洞如整型溢出、内存溢出等漏洞时，利用堆栈的哈希值可以迅速判断漏洞位置以及漏洞是否被利用，从而及时做出反应，能够在利用潜在漏洞攻击发生的第一时间截断攻击行为。

步骤208、对异常返回值对应的功能进程进行快照并保存快照结果。

快照并保存快照结果可以保留攻击现场，事后分析时方便分析人员对漏洞利用情况调查取证。

步骤209、创建与异常返回值对应的功能进程功能相同的新的功能进程，以实现异常返回值对应的功能进程对应的部分软件功能。

如图3所示，在软件运行时启动主进程，主进程首先进行自身代码完整性校验，校验成功后启动功能进程，并创建通信管道与功能进程进行交互，例如软件需与服务器进行数据交换，则主进程向网络功能进程发送指令。网络功能进程接收指令，根据指令收发数据。当网络功能进程受到未知漏洞攻击，比如，接收到畸形流量导致处理函数出现溢出，此时shellcode运行，攻击者希望通过网络功能进程对***造成影响或窃取数据则需访问文件或注册表。网络功能函数访问注册表时，其产生的堆栈哈希值将发送给主进程，如图3中虚线箭头所示；主进程将该堆栈哈希值与预存的网络功能进程函数对应的哈希值进行对比，发现该堆栈哈希值与预存的网络功能进程函数对应的哈希值无法对应，此时主进程对网络功能进程进行快照并重启该功能进程。主进程保存当前功能进程现场并结束功能进程发出告警，此时漏洞利用被中断。

本实施例中，软件内部自行限定每个功能进程执行内容，当潜在漏洞被利用时触发对额外的***组件的操作可以及时感知。软件感知到被攻击后可以截断功能进程，保护软件和***安全，相比利用网络回连检测攻击或利用已知组件检测入侵等方法，极大减少了检测时间，并且，保存攻击现场，保护了软件自身安全性。

通过图1～图3中所示方法实施例的技术方案，本申请不仅可以适用于软件自防护，还可以在软件漏洞被利用时及时发现和阻断，提升软件和***的安全。

图4为本发明软件自防护装置实施例一的结构示意图，如图4所示，本实施例的装置可以包括：

第一创建模块41，用于创建主进程，在主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，主进程用于对每个功能进程进行调度以实现软件功能；

比较模块42，用于获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

阻断模块43，用于在比较结果为异常时，阻断异常返回值对应的功能进程。

一些实施例中，还包括：

校验模块44，用于对主进程自身对应软件代码进行完整性校验。

第二创建模块45，用于创建主进程与各个功能进程之间的通信管道，以使主进程与各个功能进程通过通信管道进行数据交互。

计算模块46，用于获取功能进程对应函数访问预设外部组件形成的堆栈，堆栈中包括功能进程名称、待访问函数名称、偏移量和内存地址中的一种或多种，计算堆栈对应的哈希值，将堆栈对应的哈希值作为功能进程访问预设外部组件的返回值。

快照模块47，用于对异常返回值对应的功能进程进行快照并保存快照结果。

第三创建模块48，用于创建与异常返回值对应的功能进程功能相同的新的功能进程，以实现异常返回值对应的功能进程对应的部分软件功能。

本实施例的装置，可以用于执行图1～图3所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图5为本发明电子设备一个实施例的结构示意图，可以实现本发明图1ˉ图3所示实施例的流程，如图5所示，上述电子设备可以包括：壳体51、处理器52、存储器53、电路板54和电源电路55，其中，电路板54安置在壳体51围成的空间内部，处理器52和存储器53设置在电路板54上；电源电路55，用于为上述电子设备的各个电路或器件供电；存储器53用于存储可执行程序代码；处理器52通过读取存储器53中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的软件自防护检测方法。

处理器52对上述步骤的具体执行过程以及处理器52通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1ˉ图3所示实施例的描述，在此不再赘述。

该电子设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。

(2)移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、***总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子设备。

第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一实施例所述的软件自防护方法。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (15)

1.一种软件自防护方法，其特征在于，应用于电子设备；所述方法包括：

创建主进程，在所述主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，所述主进程用于对每个功能进程进行调度以实现全部软件功能；

获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

若比较结果为异常，则阻断异常返回值对应的功能进程。

2.根据权利要求1所述的软件自防护方法，其特征在于，所述主进程还用于：

对自身进程对应软件代码进行完整性校验。

3.根据权利要求1所述的软件自防护方法，其特征在于，在创建多个功能进程后，还包括：

创建主进程与各个功能进程之间的通信管道，以使所述主进程与各个功能进程通过所述通信管道进行数据交互。

4.根据权利要求1所述的软件自防护方法，其特征在于，所述获取每个功能进程访问预设外部组件的返回值，包括：

获取功能进程对应函数访问预设外部组件形成的堆栈，所述堆栈中包括功能进程名称、待访问函数名称、偏移量和内存地址中的一种或多种；

计算所述堆栈对应的哈希值，将所述堆栈对应的哈希值作为功能进程访问预设外部组件的返回值。

5.根据权利要求1所述的软件自防护方法，其特征在于，还包括：

对所述异常返回值对应的功能进程进行快照并保存快照结果。

6.根据权利要求1～5任一项所述的软件自防护方法，其特征在于，在阻断异常返回值对应的功能进程后，还包括：

创建与所述异常返回值对应的功能进程功能相同的新的功能进程，以实现所述异常返回值对应的功能进程对应的部分软件功能。

7.根据权利要求1所述的软件自防护方法，其特征在于，所述在所述主进程中创建多个功能进程，包括：

将软件按照对运行平台的不同组件操作划分为多个功能，创建每个功能对应的功能进程。

8.一种软件自防护装置，其特征在于，包括：

第一创建模块，用于创建主进程，在所述主进程中创建多个功能进程，每个功能进程通过访问预设外部组件实现对应的部分软件功能，所述主进程用于对每个功能进程进行调度以实现软件功能；

比较模块，用于获取每个功能进程访问预设外部组件的返回值，将每个功能进程对应的返回值与主进程中预存的返回值进行比较；

阻断模块，用于在比较结果为异常时，阻断异常返回值对应的功能进程。

9.根据权利要求8所述的软件自防护装置，其特征在于，还包括：

校验模块，用于对主进程自身对应软件代码进行完整性校验。

10.根据权利要求8所述的软件自防护装置，其特征在于，还包括：

第二创建模块，用于创建主进程与各个功能进程之间的通信管道，以使所述主进程与各个功能进程通过所述通信管道进行数据交互。

11.根据权利要求8所述的软件自防护装置，其特征在于，还包括：

计算模块，用于获取功能进程对应函数访问预设外部组件形成的堆栈，所述堆栈中包括功能进程名称、待访问函数名称、偏移量和内存地址中的一种或多种，计算所述堆栈对应的哈希值，将所述堆栈对应的哈希值作为功能进程访问预设外部组件的返回值。

12.根据权利要求8所述的软件自防护装置，其特征在于，还包括：

快照模块，用于对所述异常返回值对应的功能进程进行快照并保存快照结果。

13.根据权利要求8所述的软件自防护装置，其特征在于，还包括：

第三创建模块，用于创建与所述异常返回值对应的功能进程功能相同的新的功能进程，以实现所述异常返回值对应的功能进程对应的部分软件功能。

14.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1～7任一项所述的软件自防护方法。

15.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1～7任一项所述的软件自防护方法。

Images