[發明專利]檢測進程的方法及設備

有效

• 申請號: 200610165468.1
• 申請日: 2006-12-20
• 公開（公告）號: CN101206692A
• 公開（公告）日: 2008-06-25
• 發明（設計）人: 李俊;王凱
• 申請（專利權）人: 聯想（北京）有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F9/44;G06F9/46
• 代理公司: 北京集佳知識產權代理有限公司
• 代理人: 逯長明

1.一種檢測進程的方法，其特征在于包括：

查找操作系統內核地址空間，得到上下文切換函數地址；

修改所述上下文切換函數首部地址內容為遠程跳轉指令，通過遠程跳轉，訪問進程結構體，獲取進程信息。

2.根據權利要求1所述的檢測進程的方法，其特征在于，在獲取進程信息之后，所述方法還包括：

執行被遠程跳轉指令覆蓋的上下文切換函數首部地址內容指令，并將遠程跳轉返回至上下文切換函數。

3.根據權利要求2所述的檢測進程的方法，其特征在于，在遠程跳轉返回至上下文切換函數之后，所述方法還包括：

將所述獲取的進程信息與調用應用編程接口API進程信息進行比較，若不一致，確定存在內核級隱藏進程。

4.根據權利要求1、2或3所述的檢測進程的方法，其特征在于，在得到上下文切換函數地址之后，所述方法還包括：

檢測上下文切換函數首部地址內容是否被篡改，若是，立即將其恢復為原始狀態，并記錄報警日志。

5.根據權利要求1、2或3所述的檢測進程的方法，其特征在于，所述方法還包括：

動態監控上下文切換函數首部地址內容是否被篡改，若是，立即將其恢復為原始狀態，并記錄報警日志。

6.根據權利要求5所述的檢測進程的方法，其特征在于，采用搜索算法查找內核地址空間得到上下文切換函數地址；

或者，由以下步驟得到上下文切換函數地址：

通過反匯編得到操作系統內核調度程序的二進制特征碼，通過所述特征碼查找到上下文切換函數地址。

7.一種檢測進程的設備，其特征在于包括地址查詢單元、跳轉單元和實時監控單元；

所述地址查詢單元，用于查找操作系統內核地址空間，得到上下文切換函數地址；

所述跳轉單元，在所述地址查詢單元得到上下文切換函數地址時，修改上下文切換函數首部地址內容為遠程跳轉指令，并指示實時監控單元對進程結構體進行監控；

所述實時監控單元，得到跳轉單元監控指示后，對進程結構體進行訪問，得到進程有關信息。

8.根據權利要求7所述的檢測進程的設備，其特征在于，所述設備還包括進程比較單元，

用于將所述實時監控單元得到的進程信息，與調用API進程信息進行比較，在比較結果不一致的情況下，確定存在內核級隱藏進程。

9.根據權利要求7或8所述的檢測進程的設備，其特征在于，所述跳轉單元包括跳轉執行子單元和跳轉返回子單元；

所述跳轉執行子單元，在所述地址查詢單元得到上下文切換函數地址時，將上下文切換函數首部地址內容修改為遠程跳轉指令，并指示實時監控單元對進程結構體進行監控；

所述跳轉返回子單元，當得知實時監控單元獲取到進程信息后，通知操作系統內核執行被遠程跳轉指令覆蓋的上下文切換函數首部地址內容指令，并指示操作系統內核返回至上下文切換函數。

10.根據權利要求9所述的檢測進程的設備，其特征在于，所述跳轉單元還包括首部地址內容檢測子單元，

用于動態監控上下文切換函數首部地址內容是否被篡改，若是，立即通知操作系統內核將其恢復為原始狀態；

所述跳轉單元還包括報警日志，用于記錄上下文切換函數首部地址內容被篡改情況。

11.根據權利要求10所述的檢測進程的設備，其特征在于，所述操作系統包括WINDOWS系列操作系統、UNIX系列操作系統或LINUX系列操作系統；所述進程有關信息，包括進程ID、進程名稱或進程鏡像文件。