[發(fā)明專利]一種監(jiān)控程序模塊加載活動的系統(tǒng)過濾方法

有效

• 申請?zhí)枺?/td>: 201010233623.5
• 申請日: 2010-07-22
• 公開（公告）號: CN101901323A
• 公開（公告）日: 2010-12-01
• 發(fā)明（設計）人: 鄺耀華
• 申請（專利權）人: 湖北盛天網(wǎng)絡技術有限公司
• 主分類號: G06F21/22
• 分類號: G06F21/22
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種監(jiān)控程序模塊加載活動的系統(tǒng)過濾方法，其特征在于，該方法請求操作系統(tǒng)在發(fā)生程序模塊加載活動時發(fā)出通知，然后執(zhí)行如下步驟：

步驟a、接收操作系統(tǒng)發(fā)出的程序模塊加載活動通知，然后執(zhí)行步驟b；

步驟b、獲取上述程序模塊在系統(tǒng)內(nèi)存中處于加載狀態(tài)下的PE頭部信息、以及該程序模塊包含在磁盤中對應的原始文件內(nèi)容中的PE頭部信息；

步驟c、比較所獲取的加載狀態(tài)下的PE頭部信息與原始文件內(nèi)容中的PE頭部信息是否匹配，如果不匹配則執(zhí)行步驟f，如果匹配則執(zhí)行步驟d；

步驟d、讀取該程序模塊的原始文件內(nèi)容、并計算原始文件內(nèi)容對應的散列結(jié)果；

步驟e、根據(jù)散列結(jié)果與預置的過濾策略數(shù)據(jù)條件的匹配結(jié)果，決定上述程序模塊的加載活動是否給予通過，如果不給予通過則執(zhí)行步驟f，如果給予通過則結(jié)束本流程；

步驟f、修改上述處于加載活動中的程序模塊的入口代碼，用以終止其繼續(xù)執(zhí)行，然后結(jié)束本流程。

2.如權利要求1所述的方法，其特征在于，所述請求操作系統(tǒng)在發(fā)生程序模塊加載活動時發(fā)出通知包括：調(diào)用操作系統(tǒng)的內(nèi)核系統(tǒng)函數(shù)，注冊程序模塊加載通知回調(diào)例程。

3.如權利要求2所述的方法，其特征在于，所述的操作系統(tǒng)為Windows系統(tǒng)，所述的內(nèi)核系統(tǒng)函數(shù)為PsSetLoadImageNotifyRoutine。

4.如權利要求1至3中任一項所述的方法，其特征在于，所述的通知中進一步包括發(fā)生加載活動的程序模塊于磁盤中的原始文件路徑、該程序模塊當前加載基址和加載后的模塊長度。

5.如權利要求4所述的方法，其特征在于，

步驟a中所獲取的加載狀態(tài)下的PE頭部信息，由上述程序模塊的當前加載基址及偏移量計算得到；

步驟a中所獲取的原始文件內(nèi)容中的PE頭部信息，由對應程序模塊在原始文件中的內(nèi)容通過附加文件偏移計算得到。

6.如權利要求1所述的方法，其特征在于，所述步驟e包括：

e1、判斷原始文件內(nèi)容的散列結(jié)果是否與過濾策略預置數(shù)據(jù)中的任一黑名單項或任一白名單項匹配，如果匹配任一黑名單項，則直接拒絕加載活動的通過，然后結(jié)束本流程；如果匹配任一白名單項，則直接允許加載活動的通過，然后結(jié)束本流程；否則，無匹配的黑名單項和白名單項、并執(zhí)行步驟e2；

e2、判斷過濾策略是否預置為默認拒絕通過，如果是，則直接拒絕加載活動的通過，然后結(jié)束本流程；否則，允許加載活動的通過，然后結(jié)束本流程。