一种计算机软件漏洞利用的捕获方法及系统

摘要

本发明提供一种计算机软件漏洞利用的捕获方法及系统。该方法利用在互联网上布置的硬件虚拟机进行监控，同时对已经攻击成功或者表现出明显攻击特征但未成功的漏洞利用进行捕获，并存储到数据库中。该系统适用于上述方法，包括至少一台连接互联网的宿主计算机和一数据库系统，所述宿主计算机内安装至少一个硬件虚拟机、控制器、记录器和分析器。本发明的漏洞利用的捕获方法及系统，具有运行速度快、隐蔽性好和捕获效率高的优点。

主权项

一种计算机软件漏洞利用的捕获方法，其步骤包括：1)使用硬件虚拟机作为受监视虚拟机，在硬件虚拟机内启动待监视进程；2)获得所述进程的执行序列，并实时提取和记录所述执行序列的特征；所述执行序列是指虚拟机内部受监视进程中的一个线程执行的指令序列；所述执行序列的特征是一个所述执行序列的子序列，由符合下述条件的指令组成：在所述执行序列中，这条指令与其下一条指令的EIP值之差≥16；3)判定是否存在软件漏洞利用攻击或潜在的软件漏洞利用攻击，若存在，将该漏洞利用攻击触发时记录的所述执行序列的特征作为签名存储到数据库中；所述判定的规则是：如果受监视进程执行了当时装载的可执行模块之外的代码，则认为是攻击成功并存在一软件漏洞利用攻击；如果受监视进程触发了系统的崩溃代码，则认为是攻击成功并存在一潜在的软件漏洞利用攻击；4)将所述签名和所述数据库中已有的签名进行比对，判断所述软件漏洞利用攻击是否为新捕获的软件漏洞利用攻击。