[發明專利]一種基于Windows操作系統的U盤PE格式文件病毒的攔截方法

在審

• 申請號: 202010215519.7
• 申請日: 2020-03-25
• 公開（公告）號: CN111552962A
• 公開（公告）日: 2020-08-18
• 發明（設計）人: 李凱;孔祥焱;吳艷
• 申請（專利權）人: 沈陽通用軟件有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于Windows操作系統的U盤PE格式文件病毒的攔截方法，包含以下步驟：

a．通過Windows操作系統文件過濾驅動技術設定將防護攔截程序掛鉤被保護的終端計算機系統的文件打開接口；

b．防護攔截程序攔截所有文件打開操作，獲取打開操作所攜帶的輸入參數；

所述打開操作所攜帶的輸入參數包括被打開文件的文件路徑名、文件屬性對象地址、當前進程ID；

c．防護攔截程序通過打開操作所攜帶的輸入參數轉換為文件打開操作的基本信息；

所述文件打開操作的基本信息包括被打開文件路徑名、訪問進程文件路徑名、文件訪問屬性；

通過當前進程ID，獲取訪問進程所在的文件路徑名；

通過文件屬性對象地址，獲取所包含的文件訪問權限，文件訪問權限包括讀、寫；

d．防護攔截程序判斷文件訪問屬性，如果文件訪問屬性中包含寫權限，繼續執行步驟e；如果文件訪問屬性中不包含寫權限，則執行步驟h；

e．防護攔截程序判斷被打開文件的文件類型；

所述文件類型包括可執行文件、非可執行文件；

防護攔截程序讀取被打開文件的頭部信息，判斷被打開文件是否為PE格式，如果被打開文件為PE格式，則判斷被打開文件為可執行文件，繼續執行步驟f；如果被打開文件為非PE格式，則判斷被打開文件為非可執行文件，執行步驟h；

f．防護攔截程序判斷被打開文件是否需要保護；

通過文件打開操作的基本信息，判斷被打開文件是否需要保護，如果被打開文件路徑名和訪問進程文件路徑名相等，則判定不需保護，執行步驟h；如果被打開文件路徑名和訪問進程文件路徑名不相等，則判定被打開文件需要設定保護，繼續執行步驟g；

g．設定文件保護；

防護攔截程序修改被打開文件的文件打開操作的基本信息中的文件訪問屬性，去掉文件訪問屬性中的寫權限，并將去掉寫屬性的文件訪問屬性更新到打開操作所攜帶的輸入參數的文件屬性對象地址中；

h．執行文件操作；

防護攔截程序將被打開文件的文件打開操作的基本信息中的文件訪問屬性返回給操作系統；

所述被保護的終端計算機利用Windows操作系統文件過濾驅動技術，監控可執行文件的打開操作，執行步驟b。