專利名稱：基于可執(zhí)行體的進程指紋智能識別與模糊采集系統(tǒng)及其方法
技術領域：
本發(fā)明主要涉及信息安全領域，主要用于在windows下可執(zhí)行文件甄別。
背景技術：
透明文件加密技術，是為了防止信息未經(jīng)授權被拷貝出安全的計算機系統(tǒng)環(huán)境， 將文檔自動進行加密的技術。透明文件加密系統(tǒng)不改變應用業(yè)務流程、不改變操作流程，計算機系統(tǒng)某些敏感程序生成的特定類型的即可文檔保存為加密文檔，系統(tǒng)使用者無權將文檔解密或者拷貝出特定的環(huán)境使用的一種系統(tǒng)。透明文件加密技術中關鍵是通過對進程識別判定是否涉密，而對進程的識別主要采用“進程名的識別方式”，“取進程MD5值或進程HASH值”的方法這兩種方法前者存在被篡改，精準性差，后者存在精準性高，但是采集和識別計算量大，運行效率不高不能接受進程微小變化。

發(fā)明內(nèi)容
本發(fā)明針對現(xiàn)有技術中的不足，提供了一種基于可執(zhí)行體的進程指紋智能識別與模糊采集技術既可高效、高精度比對又可減少進程采集次數(shù)。為了解決上述技術問題，本發(fā)明通過下述技術方案得以解決
本發(fā)明的目的在于克服傳統(tǒng)進程識別體系中存在的兩個極端，分別為進程名的識別易被篡改，精準性差，而取進程MD5值、進程HASH值的方式精準性高但采集量大，可執(zhí)行體略微變化，小版本修改就不能識別的弊端。對功能行為沒有本質(zhì)變量的進程一次采集可多種識別。進而提高識別效率，減少采集次數(shù)。更符合透明加解密和進程控制中對進程識別的需求，理論原理可執(zhí)行程序基本功能不發(fā)生變化，其所依賴的動態(tài)庫和動態(tài)庫數(shù)量不會發(fā)生變化，本發(fā)明不光透明文件加密技術使用，也可用于在windows下進程識別比對所有情況， 例如進程權限控制中的進程識別。本發(fā)明解決其技術問題采用的技術方案，基于可執(zhí)行體的進程指紋智能識別與模糊采集技術該方法包括如下步驟
1進程指紋采集
1.1采集程序加載可執(zhí)行文件
1.2采集程序解析pe頭部得到導入表和導出表
1.3確定導入表中相關導入項，得到第一項名稱導入項數(shù)量和最后項名稱導入項數(shù)量 I. 4確定導出表中相關導出項，得到導出項第一名稱，如沒導出項取得可執(zhí)行程序映像
名
1.5取入相關數(shù)據(jù)結構，取結構MD5摘要存入數(shù)據(jù)庫中 2進程指識別2. I在應用程序啟動時,通過工作在windows內(nèi)核中的進程指識別模塊解析加載的可執(zhí)行文件
2. 2進程指識別模塊解析pe頭部得到導入表和導出表
2. 3確定導入表中相關導入項，得到第一項名稱導入項數(shù)量和最后項名稱導入項數(shù)量 2. 4確定導出表中相關導出項，得到導出項第一名稱，如沒導出項則取得可執(zhí)行程序映
像名
2. 5取入相關數(shù)據(jù)結構
2. 6取結構MD5摘要與存儲在數(shù)據(jù)庫中采集的MD5摘要對比，匹配認定為該進程為采集集合中，不匹配認定為不在采集集合中。


圖I為進程指紋形成2為采集流程圖；圖3為比對流程圖；圖4為指紋結構圖；圖5為透明解密系統(tǒng)使用；圖6為米集程序流程圖。
具體實施例方式下面結合附圖與具體實施方式
對本發(fā)明作進一步詳細描述
圖I過程為進程指紋形成的示意圖，包括三類元素分別為導入項、導入項數(shù)量和導出項。圖4為具體存放進程指紋的相關數(shù)據(jù)結構PR0CESS_MARK_INF0RMATI0N_EX，第一導入項名、最后導入項名、導入項數(shù)量和導出項名。使用圖6流程，在圖6中調(diào)用圖2流程完成進程指紋的采集。透明文件加密系統(tǒng)文件過濾模塊其使用圖5流程實現(xiàn)對進程是否涉密作判定，在采集集合中為涉密，不在采集集合中中為非涉密，使用指紋得到摘要并從數(shù)據(jù)庫中比對。本發(fā)明解決其技術問題采用的技術方案，基于可執(zhí)行體的進程指紋智能識別與模糊采集技術該方法包括如下步驟
I進程指紋采集
1.1采集程序加載可執(zhí)行文件
I.2采集程序解析pe頭部得到導入表和導出表
I.3確定導入表中相關導入項，得到第一項名稱和最后項名稱導入項數(shù)量
I.4確定導出表中相關導出項，得到導出項第一名稱，如沒導出項則取得可執(zhí)行程序映
像名
1.5取入相關數(shù)據(jù)結構，取結構MD5摘要存入數(shù)據(jù)庫中 2進程指識別
2.I在應用程序啟動時,通過工作在windows內(nèi)核中的進程指識別模塊解析加載的可執(zhí)行文件
2. 2進程指識別模塊解析pe頭部得到導入表和導出表2. 3確定導入表中相關導入項，得到第一項名稱導入項數(shù)量和最后項名稱導入項數(shù)量
2.4確定導出表中相關導出項，得到導出項第一名稱，如沒導出項取得可執(zhí)行程序映像
名
2.5取入相關數(shù)據(jù)結構
2.6取結構MD5摘要與存儲在數(shù)據(jù)庫中采集的MD5摘要對比，匹配認定為該進程為采集集合中，不匹配認定為不在采集集合中。總之，以上所述僅為本發(fā)明的較佳實施例，凡依本發(fā)明申請專利范圍所作的均等變化與修飾，皆應屬本發(fā)明專利的涵蓋范圍。
權利要求
1.基于可執(zhí)行體的進程指紋智能識別與模糊采集系統(tǒng)，其特征在于包括(a)進程指紋采集系統(tǒng)；(b)進程指紋識別系統(tǒng)。
2.根據(jù)權利要求I的基于可執(zhí)行體的進程指紋智能識別與模糊采集系統(tǒng)，其特征在于進程指紋采集系統(tǒng)包括采集程序、采集程序解析Pe頭部、指針、結構MD5和數(shù)據(jù)庫。
3.根據(jù)權利要求I的基于可執(zhí)行體的進程指紋智能識別與模糊采集系統(tǒng)，其特征在于，其中進程指紋識別系統(tǒng)，包括應用程序、進程指紋識別模塊、指針、結構MD5摘要與數(shù)據(jù)庫。
4.基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法，其特征在于包括(a)進程指紋采集；(b)進程指紋識別。
5.根據(jù)權利要求4的基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法，其特征在于其中進程指紋采集，步驟包括(a)采集程序加載可執(zhí)行文件；(b)采集程序解析pe頭部得到導入表和導出表；(C)根據(jù)指針，得到第一項名稱導入項數(shù)量和最后項名稱導入項數(shù)量，確定導出表中相關導出項，得到導出項第一名稱；(d)存入相關數(shù)據(jù)結構PR0CESS_MARK_INF0RMATI0N_EX，存入第一導入項名；存入最后導入項名；存入導入項數(shù)據(jù)；存入第一導出項名或執(zhí)行程序映像名，取結構MD5摘要存入數(shù)據(jù)庫中。
6.根據(jù)權利要求5的基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法，其特征在于其中采集程序解析Pe頭部得到導入表和導出表步驟包括(a)得到進程基址，根據(jù)進程基址計算pe文件IMAGE_DOS_HEADER，根據(jù)IMAGE_D0S_ HEADER 得到 IMAGE_NT_HEADERS ；(b)使用IMAGE_NT_HEADERS對PE文件交驗判斷是否為合法的可執(zhí)行文件；(c)根據(jù)基址和IMAGE_DOS_HEADE計算出導入表和導出表地址；(d)枚舉導入表記錄導入項數(shù)量，得到指身第一導入項指針、最后導入項指針、導出項指針。
7.根據(jù)權利要求4的基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法，其特征在于其中進程指紋識別，步驟包括(a)在應用程序啟動時,通過工作在windows內(nèi)核中的進程指紋識別模塊解析加載的可執(zhí)行文件；(b)進程指紋識別模塊解析pe頭部得到導入表和導出表；(C)根據(jù)指針，得到第一項名稱導入項數(shù)量和最后項名稱導入項數(shù)量，確定導出表中相關導出項，得到導出項第一名稱；(d)存入相關數(shù)據(jù)結構PR0CESS_MARK_INF0RMATI0N_EX，存入第一導入項名；存入最后導入項名；存入導入項數(shù)據(jù)；存入第一導出項名或執(zhí)行程序映像名，去結構MD5摘要與存儲在數(shù)據(jù)庫中采集的MD5照耀對比，匹配認定為該進程為采集集合中。
8.根據(jù)權利要求7的基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法，其特征在于其中進程指紋識別模塊解析Pe頭部得到導入表和導出表的步驟(a)得到進程基址，根據(jù)進程基址計算pe文件IMAGE_DOS_HEADER，根據(jù)IMAGE_D0S_ HEADER 得到 IMAGE_NT_HEADERS ；(b)使用IMAGE_NT_HEADERS對PE文件交驗判斷是否為合法的可執(zhí)行文件；(c)根據(jù)基址和IMAGE_DOS_HEADE計算出導入表和導出表地址；(d)枚舉導入表記錄導入項數(shù)量，得到指身第一導入項指針、最后導入項指針和導出項指針。
9.根據(jù)權利要求6或8的基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法， 其特征在于其中進程基址是一個首地址，pe文件是任意exe可執(zhí)行文件，IMAGE_D0S_ HEADERIMAGE_NT_HEADERS是一種數(shù)據(jù)結構，記pe文件的工作環(huán)境是32位或64位。
10.根據(jù)權利要求5或7的基于可執(zhí)行體的進程指紋智能識別與模糊采集的方法，其特征在于系統(tǒng)中導出項為否，得到可執(zhí)行文件映像名。
全文摘要
本發(fā)明的目的在于克服傳統(tǒng)進程識別體系中存在的兩個極端，分另為進程名的識別易被篡改，精準性差。和取進程MD5值、進程HASH值的方式精準性高但采集量大，可執(zhí)行體略微變化，小版本修改就不能識別的弊端。對功能行為沒有本質(zhì)變量的進程一次采集可多種識別。進而提高識別效率，減少采集次數(shù)。更符合透明加解密和進程控制中對進程識別的需求，理論原理可執(zhí)行程序基本功能不發(fā)生變化，其所依賴的動態(tài)庫和動態(tài)庫數(shù)量不會發(fā)生變化，本發(fā)明不光透明文件加密技術使用，也可用于在windows下進程識別比對所有情況，例如進程權限控制中的進程識別。
文檔編號G06F21/22GK102609664SQ20121001660
公開日2012年7月25日 申請日期2012年1月19日 優(yōu)先權日2012年1月19日
發(fā)明者林偉, 陳歡智, 陳鶯 申請人:杭州萬用密寶科技有限公司