1.一种针对物联网恶意木马的检测方法，其特征在于：所述方法包括如下步骤：步骤1：白名单进程管理，获取到的来自用户的进程调用请求和系统进程列表的数据进行判断，判断进程调用请求对应的进程是否在预先设置的白名单数据库中以及进程调用请求中该进程所申请的函数是否位于敏感函数区中；

步骤2：对步骤1获取的进程，利用计算出的内存映像的哈希值对系统调用表、内核代码段、当前正在执行的系统程序以及在不受信任的执行环境中运行的代码段进行完整性验证；

步骤3：建立一个在可信执行环境TEE中运行受信任应用程序和在富执行环境REE中作为用户空间进程运行的客户端应用程序，利用宿主操作系统来进行任务自动化和调度和虚拟化内核技术检测可疑的隐藏进程；

步骤4：在步骤3搭建的检测环境基础上，利用系统调用的Hook对内核遍历的数据结构来检查内核内存状态是否一致，通过异常指令主动触发异常，直接检测系统调用表中的地址和符号表中进行对比，利用Syscall陷入内核态返回中断响应判断是否存在恶意木马。

2.根据权利要求1所述一种针对物联网恶意木马的检测方法，其特征在于：所述步骤1包括：步骤1-1：白名单进程管理，对获取到的来自用户的进程调用请求和系统进程列表的数据进行判断，判断进程调用请求对应的进程是否在预先设置的白名单数据库中以及进程调用请求中该进程所申请的函数是否位于敏感函数区中；

步骤1-2：白名单互斥锁，通过Linux安全模块的两类Hook函数的调用：一类管理内核对象的安全域，另一类仲裁对这些内核对象的访问，在内核源代码中不同的关键点插入了对安全Hook函数的调用同时加入了一个通用的安全系统调用。

3.根据权利要求1所述一种针对物联网恶意木马的检测方法，其特征在于：所述步骤2包括：步骤2-1：将步骤1中收集的用户的进程调用请求和系统进程列表的数据进行存储并计算出的内存映像的哈希值；

步骤2-2：基于Hash的完整性检测：在内核编译后检索系统调用表的位置，有了表中的条目数和这些信息，通过创建一个散列并将其与在完整系统调用表上计算的散列进行比较；

步骤2-3：基于签名的恶意代码检测：建立一个入侵特征数据库，对与用户发出的客户端应用请求中的函数进行特征匹配，将当前活动集与现有特征进行比较，如果发现匹配则发出警报。

4.根据权利要求1所述一种针对物联网恶意木马的检测方法，其特征在于：所述步骤3在虚拟化环境中，基于TEE和REE构建一个可信的检测恶意木马的隔离环境，包括：步骤3-1：建立一个在TEE中运行受信任应用程序和在REE中作为用户空间进程运行的客户端应用程序；

步骤3-2：客户端应用程序的主要作用是定期调用受信任程序并将某些数据传递给从REE收集的受信任程序；

步骤3-3：恶意木马的入侵可能会尝试通过停止所有恶意活动，将内核对象恢复到其干净状态并使用持久性机制隐藏在文件系统中来逃避完整性检测，针对这一点主要是利用宿主操作系统来进行任务自动化和调度，将程序有效路径扩展为绝对路径，以此检测是否存在可疑的隐藏进程。

5.根据权利要求1所述一种针对物联网恶意木马的检测方法，其特征在于：所述步骤4包括：步骤4-1：检查现有任务信息的数据结构并与任务列表作比较，假设从运行队列中删除任务将使其永久不可调度，在受信任应用程序收集所有任务的pid与之前联合创建的pid作比较来认定内核是否被破坏；

步骤4-2：利用客户端应用程序帮助TEE中受信任应用程序获取内核内存中相应任务指向内存映射结构的指针，将进程的虚拟地址转换为物理地址来检查代码是否发生变化；

步骤4-3：利用嵌入式Linux系统调用Hook函数和中断响应反馈检测是否存在异常代码；

步骤4-4：综合步骤3和步骤4，重点监测易被恶意木马攻击的模块，从系统的角度研究相应的解决措施，提高系统防御各种攻击行为的能力，构建安全可靠的系统安全防护体系。