[發明專利]一種遠程桌面控制識別的方法和裝置

有效

• 申請號: 201210168060.5
• 申請日: 2012-05-25
• 公開（公告）號: CN103428190B
• 公開（公告）日: 2016-11-30
• 發明（設計）人: 黃冕
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 趙娟

1.一種遠程桌面控制識別的方法，其特征在于，包括：

步驟S1，注入不可信進程，對所述不可信進程中的遠程桌面控制行為函數進行鉤掛HOOK；其中，所述遠程桌面控制行為函數包括操作函數和通信函數；

步驟S2，根據所述操作函數判斷是否存在遠程桌面控制操作，若是，則執行步驟S3；

步驟S3，根據所述通信函數判斷是否存在網絡通信，若是，則執行步驟S4；

步驟S4，配置所述通信函數按預設時間阻塞網絡通信；

步驟S5，判斷在所述網絡通信阻塞的時間內是否存在遠程桌面控制操作，若否，則執行步驟S6；

步驟S6，恢復網絡通信，判斷是否滿足預置的檢測次數，若是，則執行步驟S7；若否，則返回步驟S2；

步驟S7，判定當前不可信進程為遠程桌面控制進程。

2.根據權利要求1所述的方法，其特征在于，所述操作函數包括軟鍵盤消息發送函數，軟鼠標消息發送函數，以及，屏幕抓取函數，所述遠程桌面控制操作包括軟鍵盤消息發送操作，軟鼠標消息發送操作，以及，屏幕抓取操作；

所述步驟S2包括：

根據所述軟鍵盤消息發送函數判斷是否存在軟鍵盤消息發送操作；

根據所述軟鼠標消息發送函數判斷是否存在軟鼠標消息發送操作；

以及，

根據所述屏幕抓取函數判斷是否存在屏幕抓取操作。

3.根據權利要求1或2所述的方法，其特征在于，在步驟S1之前，還包括：

過濾掉可信進程。

4.根據權利要求1或2所述的方法，其特征在于，還包括：

若根據所述操作函數判斷不存在遠程桌面控制操作，則判定當前不可信進程為非遠程桌面控制進程；

和/或，

若根據所述操作函數判斷存在遠程桌面控制操作，且根據所述通信函數判斷不存在網絡通信，則判定當前不可信進程為非遠程桌面控制進程；

和/或，

若在所述網絡通信阻塞的時間內存在遠程桌面控制操作，則判定當前不可信進程為非遠程桌面控制進程。

5.根據權利要求1或2所述的方法，其特征在于，還包括：

向用戶報告所述遠程桌面控制進程；

和/或，

攔截所述遠程桌面控制進程。

6.一種遠程桌面控制識別的裝置，其特征在于，包括：

鉤掛處理模塊，用于注入不可信進程，對所述不可信進程中的遠程桌面控制行為函數進行鉤掛HOOK；其中，所述遠程桌面控制行為函數包括操作函數和通信函數；

遠程操作判斷模塊，用于根據所述操作函數判斷是否存在遠程桌面控制操作，若是，則調用通信判斷模塊；

通信判斷模塊，用于根據所述通信函數判斷是否存在網絡通信，若是，則調用通信阻塞模塊；

通信阻塞模塊，用于配置所述通信函數按預設時間阻塞網絡通信；

阻塞內操作判斷模塊，用于判斷在所述網絡通信阻塞的時間內是否存在遠程桌面控制操作，若否，則調用通信恢復模塊；

通信恢復模塊，用于恢復網絡通信；

次數判斷模塊，用于判斷是否滿足預置的檢測次數，若是，則調用第一判定模塊，若否，則返回調用所述遠程操作判斷模塊；

第一判定模塊，用于判定當前不可信進程為遠程桌面控制進程。

7.根據權利要求6所述的裝置，其特征在于，所述操作函數包括軟鍵盤消息發送函數，軟鼠標消息發送函數，以及，屏幕抓取函數，所述遠程桌面控制操作包括軟鍵盤消息發送操作，軟鼠標消息發送操作，以及，屏幕抓取操作；

所述遠程操作判斷模塊包括：

軟鍵盤操作判斷子模塊，用于根據所述軟鍵盤消息發送函數判斷是否存在軟鍵盤消息發送操作；

軟鼠標操作判斷子模塊，用于根據所述軟鼠標消息發送函數判斷是否存在軟鼠標消息發送操作；

以及，

屏幕抓取操作判斷子模塊，用于根據所述屏幕抓取函數判斷是否存在屏幕抓取操作。

8.根據權利要求6或7所述的裝置，其特征在于，還包括：

過濾模塊，與鉤掛處理模塊連接，用于過濾掉可信進程。