[發明專利]一種隱藏進程的檢測方法及裝置

有效

• 申請號: 201310289896.5
• 申請日: 2013-07-09
• 公開（公告）號: CN103400074A
• 公開（公告）日: 2013-11-20
• 發明（設計）人: 劉廷偉;于芝濤;朱立松;徐延霞;王亮;吳連朋
• 申請（專利權）人: 青島海信傳媒網絡技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

1.一種隱藏進程的檢測方法，其特征在于，包括：

基于內核schedule調度函數將待運行的進程調度到中央處理器CPU上進行運行，其中，所述內核schedule調度函數中的switch_to函數包含有獲取被調度的進程對應的進程名稱的字段；

在內核態，根據所述switch_to函數記錄被調度的進程對應的進程名稱，并根據所述switch_to函數將所有記錄的進程名稱寫入字符存儲模塊生成第一進程列表；

在用戶態，使用讀取系統調用函數來讀取所述字符存儲模塊中寫入的第一進程列表，并將所述第一進程列表與系統中存儲的記錄進程名稱的第二進程列表進行比較；

將所述第一進程列表中存在的、所述第二進程列表中不存在的進程名稱對應的進程確定為隱藏進程。

2.如權利要求1所述的方法，其特征在于，在基于內核schedule調度函數將待運行的進程調度到CPU上進行運行之前，還包括：

確定所述待運行進程的優先級；

基于內核schedule調度函數將待運行的進程調度到CPU上進行運行，具體包括：

基于內核schedule調度函數根據待運行進程的優先級，依次將待運行的進程調度到CPU上進行運行。

3.如權利要求1或2所述的方法，其特征在于，在根據所述switch_to函數將所有記錄的進程名稱寫入字符存儲模塊之前，還包括：

在所述switch_to函數中添加flag標識，其中，所述flag標識用于指示是否開始將記錄的進程名稱寫入字符存儲模塊。

4.如權利要求3所述的方法，其特征在于，在所述switch_to函數中添加flag標識，具體包括：

采用文件系統方式在所述switch_to函數中添加flag標識。

5.一種隱藏進程的檢測裝置，其特征在于，包括：

調度單元，用于基于內核schedule調度函數將待運行的進程調度到中央處理器CPU上進行運行，其中，所述內核schedule調度函數中的switch_to函數包含有獲取被調度的進程對應的進程名稱的字段；

寫入單元，用于在內核態，根據所述switch_to函數記錄被調度的進程對應的進程名稱，并根據所述switch_to函數將所有記錄的進程名稱寫入字符存儲模塊，生成第一進程列表；

讀取單元，用于在用戶態，使用讀取系統調用函數來讀取所述字符存儲模塊中寫入的第一進程列表，并將所述第一進程列表與系統中存儲的記錄進程名稱的第二進程列表進行比較；

進程確定單元，用于將所述第一進程列表中存在的、所述第二進程列表中不存在的進程名稱對應的進程確定為隱藏進程。

6.如權利要求5所述的裝置，其特征在于，還包括優先級確定單元，所述優先級確定單元用于確定所述待運行進程的優先級；

所述調度單元具體用于，基于內核schedule調度函數根據待運行進程的優先級，依次將待運行的進程調度到CPU上進行運行。

7.如權利要求5或6所述的裝置，其特征在于，所述調度單元還用于，在所述switch_to函數中添加flag標識，其中，所述flag標識用于指示是否開始將記錄的進程名稱寫入字符存儲模塊。

8.如權利要求7所述的裝置，其特征在于，所述調度單元具體用于，采用文件系統方式在所述switch_to函數中添加flag標識。