[發明專利]一種計算機進程監控方法和系統

在審

• 申請號: 201610156652.3
• 申請日: 2016-03-18
• 公開（公告）號: CN105787371A
• 公開（公告）日: 2016-07-20
• 發明（設計）人: 吳永
• 申請（專利權）人: 山東華軟金盾軟件股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F11/30
• 代理公司: 北京德和衡律師事務所 11405
• 代理人: 姜壽輝

1.一種計算機進程監控方法，其特征在于，包括：

步驟1)基于進程調試API函數掛接目標進程，并使調試器進入調試循 環；

步驟2)創建調試事件線程，同時為當前線程設置異常API斷點；

步驟3)監視異常API斷點，其中，當異常斷點位置被調用時，將中斷信 息提交給安全軟件進程，由安全軟件進程分析后再使目標進程繼續執行。

2.根據權利要求1所述的計算機進程監控方法，其特征在于，步驟1) 中，進程調試API函數為APIDebugActiveProcess，所述調試等待API函數為 WaitForDebugEvent。

3.根據權利要求1或2所述的計算機進程監控方法，其特征在于，步驟 2)中，所述異常API斷點采取X86的一組調試寄存器作為硬件斷點，其包括 四個斷點寄存器，分別為Dr0，Dr1，Dr2，Dr3，這四個寄存器分別存儲著一 個需要中斷的地址；此外，還包括一斷點描述寄存器Dr7，其記錄上述四個寄 存器的狀態，包括生效位、訪問位、斷點大小位。

4.根據權利要求1所述的計算機進程監控方法，其特征在于，步驟2) 中，具體包括以下子步驟：

步驟21)根據CPU的調試寄存器設定，定義相應數據結構，其包括斷點 地址、訪問位和斷點字節大小，同時利用結構體定義四個斷點寄存器的狀態；

步驟22)設置相關調試寄存器的值，由此設定硬件斷點。

5.根據權利要求1所述的計算機進程監控方法，其特征在于，步驟3) 中，具體包括以下子步驟：

31)獲取異常事件EXCEPTION_DEBUG_EVENT并且異常地點為硬件斷 點設置的地點；

32)中斷線程，分析線程的寄存器上下文，并得到當前線程棧空間，基于 使用棧來傳遞參數的原理，從棧上分析函數調用參數；

33)將中斷地址改為中斷地址的后一個地址，恢復進程的繼續執行后，再 將中斷地址改為之前的地址。

6.根據權利要求5所述的計算機進程監控方法，其特征在于，步驟33) 中，使用ContinueDebugEvent傳參數為DBG_CONTINUE，恢復進程的繼 續執行。

7.一種計算機進程監控系統，其特征在于，包括：

進程掛接單元，用于基于進程調試API函數掛接目標進程，并使調試器 進入調試循環；

進程創建的單元，用于創建調試事件線程，同時為當前線程設置異常API 斷點；

進程監控和提交單元，用于監視異常API斷點，其中，當異常斷點位置 被調用時，將中斷信息提交給安全軟件進程，由安全軟件進程分析后再使目標 進程繼續執行。