[發(fā)明專利]一種木馬檢測方法及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201210310462.4
• 申請(qǐng)日: 2012-08-28
• 公開（公告）號(hào): CN103632088A
• 公開（公告）日: 2014-03-12
• 發(fā)明（設(shè)計(jì)）人: 聶萬泉
• 申請(qǐng)（專利權(quán)）人: 阿里巴巴集團(tuán)控股有限公司
• 主分類號(hào): G06F21/51
• 分類號(hào): G06F21/51;G06F21/56
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 郭潤湘

1.一種木馬檢測方法，其特征在于，包括：

監(jiān)控啟動(dòng)的進(jìn)程，在所述進(jìn)程啟動(dòng)完成時(shí)，確定所述進(jìn)程的基址所在的內(nèi)存塊；

判斷確定的所述內(nèi)存塊的類型是否為只讀類型；

若是，則確定所述進(jìn)程不是木馬進(jìn)程，不對(duì)所述進(jìn)程進(jìn)行任何操作，否則，確定所述進(jìn)程是木馬進(jìn)程，阻斷所述進(jìn)程。

2.如權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

針對(duì)啟動(dòng)的進(jìn)程，記錄所述進(jìn)程的基址；

確定所述進(jìn)程的基址所在的內(nèi)存塊，具體包括：

根據(jù)記錄的所述進(jìn)程的基址，確定所述進(jìn)程的基址所在的內(nèi)存塊。

3.如權(quán)利要求2所述的方法，其特征在于，記錄所述進(jìn)程的基址，具體包括：

當(dāng)所述進(jìn)程在啟動(dòng)的過程中暫停時(shí)，將所述進(jìn)程對(duì)應(yīng)的返回地址EIP信息中設(shè)置的地址作為所述進(jìn)程的基址記錄。

4.如權(quán)利要求1所述的方法，其特征在于，確定所述進(jìn)程是木馬進(jìn)程之前，所述方法還包括：

確定所述進(jìn)程的內(nèi)存映像IMAGE中包含的可移植可執(zhí)行文件頭PEHEADER代碼為指定代碼。

5.如權(quán)利要求1所述的方法，其特征在于，確定所述進(jìn)程是木馬進(jìn)程之后，所述方法還包括：

生成指示所述進(jìn)程是木馬進(jìn)程的告警信息。

6.一種木馬檢測裝置，其特征在于，包括：

監(jiān)控模塊，用于監(jiān)控啟動(dòng)的進(jìn)程，在所述進(jìn)程啟動(dòng)完成時(shí)，確定所述進(jìn)程的基址所在的內(nèi)存塊；

判斷模塊，用于判斷確定的所述內(nèi)存塊的類型是否為只讀類型；

處理模塊，用于當(dāng)所述判斷模塊的判斷結(jié)果為是時(shí)，確定所述進(jìn)程不是木馬進(jìn)程，不對(duì)所述進(jìn)程進(jìn)行任何操作，當(dāng)所述判斷模塊的判斷結(jié)果為否時(shí)，確定所述進(jìn)程是木馬進(jìn)程，阻斷所述進(jìn)程。

7.如權(quán)利要求6所述的裝置，其特征在于，所述監(jiān)控模塊還用于，針對(duì)啟動(dòng)的進(jìn)程，記錄所述進(jìn)程的基址；并在確定所述進(jìn)程的基址所在的內(nèi)存塊時(shí)，根據(jù)記錄的所述進(jìn)程的基址，確定所述進(jìn)程的基址所在的內(nèi)存塊。

8.如權(quán)利要求7所述的裝置，其特征在于，所述監(jiān)控模塊具體用于，當(dāng)所述進(jìn)程在啟動(dòng)的過程中暫停時(shí)，將所述進(jìn)程對(duì)應(yīng)的返回地址EIP信息中設(shè)置的地址作為所述進(jìn)程的基址記錄。

9.如權(quán)利要求6所述的裝置，其特征在于，所述處理模塊還用于，確定所述進(jìn)程是木馬進(jìn)程之前，確定所述進(jìn)程的內(nèi)存映像IMAGE中包含的可移植可執(zhí)行文件頭PE?HEADER代碼為指定代碼。

10.如權(quán)利要求6所述的裝置，其特征在于，所述處理模塊還用于，確定所述進(jìn)程是木馬進(jìn)程之后，生成指示所述進(jìn)程是木馬進(jìn)程的告警信息。