[發(fā)明專利]一種基于硬件模擬器的處理隱藏進(jìn)程的方法

無效

• 申請(qǐng)?zhí)枺?/td>: 200810241102.7
• 申請(qǐng)日: 2008-12-30
• 公開（公告）號(hào): CN101770551A
• 公開（公告）日: 2010-07-07
• 發(fā)明（設(shè)計(jì)）人: 楊軼;蘇璞睿;司端鋒;馮登國
• 申請(qǐng)（專利權(quán)）人: 中國科學(xué)院軟件研究所
• 主分類號(hào): G06F21/00
• 分類號(hào): G06F21/00;G06F9/455
• 代理公司: 北京君尚知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11200
• 代理人: 余長江

1.一種基于模擬硬件環(huán)境的處理隱藏進(jìn)程的方法，其步驟如下：

1)按照目標(biāo)文件在硬盤上的數(shù)據(jù)塊排序，將數(shù)據(jù)塊順次添加到虛擬硬盤，轉(zhuǎn)換為硬件模擬器識(shí)別的操作系統(tǒng)鏡像；

2)配置鏡像路徑、硬件模擬器的模擬內(nèi)存大小及模擬CPU的類型；硬件模擬器加載步驟1)中的操作系統(tǒng)鏡像，并啟動(dòng)該操作系統(tǒng)；

3)虛擬CPU執(zhí)行指令時(shí)，查找CR3寄存器中是否出現(xiàn)新的CR3值，若出現(xiàn)新CR3值，則遍歷操作系統(tǒng)所有的EPROCESS結(jié)構(gòu)是否包含有該CR3值；若不存在包含有該CR3值的EPROCESS結(jié)構(gòu)，則將該CR3值對(duì)應(yīng)的隱藏進(jìn)程檢測(cè)出來；

4)利用硬件模擬器讀取所述隱藏進(jìn)程的內(nèi)存，獲取隱藏進(jìn)程加載的動(dòng)態(tài)庫；比較所述動(dòng)態(tài)庫的導(dǎo)出表中的名稱與API表中的名稱，獲取所述導(dǎo)出表中所有API的地址，構(gòu)建API表；

5)判斷所述檢測(cè)出的隱藏進(jìn)程的EIP與所述API表中每個(gè)函數(shù)的第一條指令是否匹配，若匹配，則讀取堆棧和寄存器獲取函數(shù)參數(shù)和返回值，在虛擬內(nèi)存中監(jiān)控并讀取參數(shù)對(duì)應(yīng)執(zhí)行的指令，數(shù)據(jù)采集模塊記錄該指令及該指令執(zhí)行的數(shù)據(jù)，并返回給用戶。

2.如權(quán)利要求1所述的一種基于模擬硬件環(huán)境的處理隱藏進(jìn)程的方法，其特征在于，在虛擬CPU執(zhí)行指令之前，判斷是否存在提取代碼鏡像的請(qǐng)求，若存在，則在監(jiān)控隱藏進(jìn)程的執(zhí)行指令時(shí)，讀取物理內(nèi)存中的代碼，找到內(nèi)存頁在虛擬物理內(nèi)存的位置，依據(jù)偏移一次性讀出代碼鏡像，并記錄在數(shù)據(jù)采集模塊中。

3.如權(quán)利要求1或2所述的一種基于模擬硬件環(huán)境的處理隱藏進(jìn)程的方法，其特征在于，步驟2)中還配置硬件模擬器的系統(tǒng)啟動(dòng)時(shí)間。

4.如權(quán)利要求1或2所述的一種基于模擬硬件環(huán)境的處理隱藏進(jìn)程的方法，其特征在于，步驟2)中所述模擬CPU的類型通過硬件模擬器的譯碼模塊獲取，使模擬CPU的指令轉(zhuǎn)化為本地CPU的指令。

5.如權(quán)利要求1或2所述的一種基于模擬硬件環(huán)境的處理隱藏進(jìn)程的方法，其特征在于，步驟2)中所述模擬內(nèi)存的大小為216M～1G之間。

6.如權(quán)利要求1或2所述的一種基于模擬硬件環(huán)境的處理隱藏進(jìn)程的方法，其特征在于，所述步驟4)中采用字符比較的方法獲得API地址。