[發(fā)明專利]一種獲取計(jì)算機(jī)程序調(diào)度表原始數(shù)據(jù)的方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201410320180.1
• 申請(qǐng)日: 2014-07-04
• 公開（公告）號(hào): CN104036192B
• 公開（公告）日: 2017-01-18
• 發(fā)明（設(shè)計(jì)）人: 李丁盼
• 申請(qǐng)（專利權(quán)）人: 可牛網(wǎng)絡(luò)技術(shù)（北京）有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F9/44
• 代理公司: 北京柏杉松知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙)11413
• 代理人: 項(xiàng)京,馬敬

1.一種獲取計(jì)算機(jī)程序調(diào)度表原始數(shù)據(jù)的方法，其特征在于，包括步驟：

將要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序的原始文件展開到內(nèi)存中；

對(duì)所述計(jì)算機(jī)程序的原始文件進(jìn)行重定位處理；

加載所述計(jì)算機(jī)程序的引入表，并在加載過程中將預(yù)設(shè)的掛鉤表中的掛鉤加載到所述引入表中；所述預(yù)設(shè)的掛鉤表中的掛鉤，用于針對(duì)所述計(jì)算機(jī)程序中不需要被調(diào)用的函數(shù)，返回?zé)o效值；

獲取被加載的計(jì)算機(jī)程序的入口指針；

根據(jù)所述入口指針，按照上述加載了預(yù)設(shè)的掛鉤表中掛鉤的引入表，執(zhí)行所述要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序的入口程序；在執(zhí)行所述入口程序過程中，計(jì)算機(jī)程序的數(shù)據(jù)被初始化；

從所述被初始化的數(shù)據(jù)中，獲取調(diào)度表原始數(shù)據(jù)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序的原始文件展開到內(nèi)存中，包括：

用Windows?API?ZwCreateFile打開原始文件；

將返回的文件句柄傳遞給ZwCreateSection；

執(zhí)行ZwCreateSection，將原始文件展開到內(nèi)存中。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述對(duì)所述計(jì)算機(jī)程序的原始文件進(jìn)行重定位處理為：按照標(biāo)準(zhǔn)重定位表，對(duì)內(nèi)存中原始文件代碼段中的所有立即地址進(jìn)行重定位。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，

當(dāng)要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序?yàn)轵?qū)動(dòng)程序時(shí)，所述不需要被調(diào)用的函數(shù)包括：

IoCreateDevice、IoCreateSymbolicLink、IoRegisterDriverReinitialization、IoRegisterBootDriverReinitialization、IoRegisterFileSystem、KeSetTimer、ZwOpenKey、MmGetSystemRoutineAddress、IoWMIRegistrationControl、FsRtlRegisterFileSystemFilterCallbacks、IoDeleteDevice、ObfReferenceObject和ObfDereferenceObject。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述根據(jù)所述入口指針，按照上述加載了預(yù)設(shè)的掛鉤表中掛鉤的引入表，執(zhí)行所述要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序的入口程序，包括：

分配一個(gè)DRIVER_OBJECT對(duì)象；

將DRIVER_OBJECT對(duì)象作為參數(shù)傳遞給驅(qū)動(dòng)程序的入口指針并調(diào)用它；

所述計(jì)算機(jī)程序的數(shù)據(jù)被初始化為：所述DRIVER_OBJECT對(duì)象被初始化，獲取DRIVER_OBJECT對(duì)象初始化后的數(shù)據(jù)。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述從所述被初始化的數(shù)據(jù)中，獲取調(diào)度表原始數(shù)據(jù)為：

從DRIVER_OBJECT對(duì)象初始化后的域DRIVER_OBJECT.MajorFunction中提取出中斷請(qǐng)求調(diào)度表的原始值。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，

當(dāng)要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序?yàn)镃OM組件時(shí)，所述不需要被調(diào)用的函數(shù)包括：

CreateMutex和CreateEvent。

8.一種獲取計(jì)算機(jī)程序調(diào)度表原始數(shù)據(jù)的裝置，其特征在于，包括：

原始文件展開單元，將要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序的原始文件展開到內(nèi)存中；

重定位單元，對(duì)所述計(jì)算機(jī)程序的原始文件進(jìn)行重定位處理；

引入表加載單元，加載所述計(jì)算機(jī)程序的引入表，并在加載過程中將預(yù)設(shè)的掛鉤表中的掛鉤加載到所述引入表中；所述預(yù)設(shè)的掛鉤表中的掛鉤，用于針對(duì)所述計(jì)算機(jī)程序中不需要被調(diào)用的函數(shù)，返回?zé)o效值；

入口指針獲取單元，獲取被加載的計(jì)算機(jī)程序的入口指針；

入口程序執(zhí)行單元，根據(jù)所述入口指針，按照上述加載了預(yù)設(shè)的掛鉤表中掛鉤的引入表，執(zhí)行所述要獲取調(diào)度表原始數(shù)據(jù)的計(jì)算機(jī)程序的入口程序；在執(zhí)行所述入口程序過程中，計(jì)算機(jī)程序的數(shù)據(jù)被初始化；和

調(diào)度表原始數(shù)據(jù)獲取單元，從所述被初始化的數(shù)據(jù)中，獲取調(diào)度表原始數(shù)據(jù)。