[發(fā)明專利]一種隱藏程序進(jìn)程的方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201610139819.5
• 申請(qǐng)日: 2016-03-11
• 公開（公告）號(hào): CN107180189B
• 公開（公告）日: 2020-06-09
• 發(fā)明（設(shè)計(jì)）人: 胡東方
• 申請(qǐng)（專利權(quán)）人: 無錫天脈聚源傳媒科技有限公司
• 主分類號(hào): G06F21/54
• 分類號(hào): G06F21/54
• 代理公司: 北京尚倫律師事務(wù)所 11477
• 代理人: 張亮

1.一種隱藏程序進(jìn)程的方法，其特征在于，包括：

根據(jù)預(yù)設(shè)的被保護(hù)程序的信息，配置預(yù)設(shè)的注入程序；

當(dāng)監(jiān)測(cè)到進(jìn)程查看程序啟動(dòng)時(shí)，將所述預(yù)設(shè)的注入程序鉤取到所述進(jìn)程查看程序；

執(zhí)行所述預(yù)設(shè)的注入程序；

在所述預(yù)設(shè)的注入程序執(zhí)行后，跳轉(zhuǎn)至所述進(jìn)程查看程序；

運(yùn)行所述進(jìn)程查看程序，輸出所述進(jìn)程查看程序的結(jié)果；

所述當(dāng)監(jiān)測(cè)到進(jìn)程查看程序啟動(dòng)時(shí)，將所述預(yù)設(shè)的注入程序鉤取到所述進(jìn)程查看程序，包括：

實(shí)時(shí)監(jiān)測(cè)所述進(jìn)程查看程序是否啟動(dòng)；

當(dāng)檢測(cè)到所述進(jìn)程查看程序啟動(dòng)時(shí)，保存所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容；

修改所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容為跳轉(zhuǎn)指令；

根據(jù)所述跳轉(zhuǎn)指令，跳轉(zhuǎn)至所述預(yù)設(shè)的注入程序的起始地址；

修改該前五個(gè)字節(jié)的內(nèi)容為跳轉(zhuǎn)指令，該調(diào)準(zhǔn)指令包括跳轉(zhuǎn)關(guān)鍵字和調(diào)準(zhǔn)地址，該跳轉(zhuǎn)關(guān)鍵字占用一個(gè)字節(jié)的空間，該跳轉(zhuǎn)地址占用四個(gè)字節(jié)的空間，跳轉(zhuǎn)地址為預(yù)設(shè)的注入程序的起始地址到進(jìn)程查看程序的起始地址之間的數(shù)值，進(jìn)程查看程序的起始地址為SysFunAddr，預(yù)設(shè)的注入程序的起始地址為UserFunAddr，跳轉(zhuǎn)地址為nDelta，且nDelta＝UserFunAddr–SysFunAddr。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述執(zhí)行所述預(yù)設(shè)的注入程序，包括：

查看預(yù)設(shè)的被保護(hù)程序是否已經(jīng)啟動(dòng)；

在所述預(yù)設(shè)的被保護(hù)程序已經(jīng)啟動(dòng)的情況下，將所述預(yù)設(shè)的被保護(hù)程序的信息從進(jìn)程結(jié)構(gòu)鏈中摘除。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述在所述預(yù)設(shè)的注入程序執(zhí)行后，跳轉(zhuǎn)至所述進(jìn)程查看程序，包括:

在所述預(yù)設(shè)的注入程序執(zhí)行后，調(diào)取保存的所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容；

通過所述保存的所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容，恢復(fù)所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述運(yùn)行所述進(jìn)程查看程序，輸出所述進(jìn)程查看程序的結(jié)果，包括：

跳轉(zhuǎn)至恢復(fù)后的所述進(jìn)程查看程序的起始地址；

運(yùn)行所述恢復(fù)后的所述進(jìn)程查看程序；

輸出所述進(jìn)程查看程序的結(jié)果。

5.一種隱藏程序進(jìn)程的裝置，其特征在于，包括：

配置模塊，用于根據(jù)預(yù)設(shè)的被保護(hù)程序的信息，配置預(yù)設(shè)的注入程序；

鉤取模塊，用于當(dāng)監(jiān)測(cè)到進(jìn)程查看程序啟動(dòng)時(shí)，將所述預(yù)設(shè)的注入程序鉤取到所述進(jìn)程查看程序；

執(zhí)行模塊，用于執(zhí)行所述預(yù)設(shè)的注入程序；

跳轉(zhuǎn)模塊，用于在所述預(yù)設(shè)的注入程序執(zhí)行后，跳轉(zhuǎn)至所述進(jìn)程查看程序；

運(yùn)行模塊，用于運(yùn)行所述進(jìn)程查看程序，輸出所述進(jìn)程查看程序的結(jié)果；

所述鉤取模塊，包括：

檢測(cè)子模塊，用于實(shí)時(shí)監(jiān)測(cè)所述進(jìn)程查看程序是否啟動(dòng)；

保存子模塊，用于當(dāng)檢測(cè)到所述進(jìn)程查看程序啟動(dòng)時(shí)，保存所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容；

修改子模塊，用于修改所述進(jìn)程查看程序的前五個(gè)字節(jié)的內(nèi)容為跳轉(zhuǎn)指令；

第一跳轉(zhuǎn)子模塊，用于根據(jù)所述跳轉(zhuǎn)指令，跳轉(zhuǎn)至所述預(yù)設(shè)的注入程序的起始地址；

所述第一跳轉(zhuǎn)子模塊，還用于修改該前五個(gè)字節(jié)的內(nèi)容為跳轉(zhuǎn)指令，該調(diào)準(zhǔn)指令包括跳轉(zhuǎn)關(guān)鍵字和調(diào)準(zhǔn)地址，該跳轉(zhuǎn)關(guān)鍵字占用一個(gè)字節(jié)的空間，該跳轉(zhuǎn)地址占用四個(gè)字節(jié)的空間，跳轉(zhuǎn)地址為預(yù)設(shè)的注入程序的起始地址到進(jìn)程查看程序的起始地址之間的數(shù)值，進(jìn)程查看程序的起始地址為SysFunAddr，預(yù)設(shè)的注入程序的起始地址為UserFunAddr，跳轉(zhuǎn)地址為nDelta，且nDelta＝UserFunAddr–SysFunAddr。

6.根據(jù)權(quán)利要求5的裝置，其特征在于，所述執(zhí)行模塊，包括：

參看子模塊，用于查看預(yù)設(shè)的被保護(hù)程序是否已經(jīng)啟動(dòng)；

摘除子模塊，用于在所述預(yù)設(shè)的被保護(hù)程序已經(jīng)啟動(dòng)的情況下，將所述預(yù)設(shè)的被保護(hù)程序的信息從進(jìn)程結(jié)構(gòu)鏈中摘除。