[发明专利]检测进程的方法及设备

权利要求书

1.一种检测进程的方法，其特征在于包括：

查找操作系统内核地址空间，得到上下文切换函数地址；

修改所述上下文切换函数首部地址内容为远程跳转指令，通过远程跳转，访问进程结构体，获取进程信息。

2.根据权利要求1所述的检测进程的方法，其特征在于，在获取进程信息之后，所述方法还包括：

执行被远程跳转指令覆盖的上下文切换函数首部地址内容指令，并将远程跳转返回至上下文切换函数。

3.根据权利要求2所述的检测进程的方法，其特征在于，在远程跳转返回至上下文切换函数之后，所述方法还包括：

将所述获取的进程信息与调用应用编程接口API进程信息进行比较，若不一致，确定存在内核级隐藏进程。

4.根据权利要求1、2或3所述的检测进程的方法，其特征在于，在得到上下文切换函数地址之后，所述方法还包括：

检测上下文切换函数首部地址内容是否被篡改，若是，立即将其恢复为原始状态，并记录报警日志。

5.根据权利要求1、2或3所述的检测进程的方法，其特征在于，所述方法还包括：

动态监控上下文切换函数首部地址内容是否被篡改，若是，立即将其恢复为原始状态，并记录报警日志。

6.根据权利要求5所述的检测进程的方法，其特征在于，采用搜索算法查找内核地址空间得到上下文切换函数地址；

或者，由以下步骤得到上下文切换函数地址：

通过反汇编得到操作系统内核调度程序的二进制特征码，通过所述特征码查找到上下文切换函数地址。

7.一种检测进程的设备，其特征在于包括地址查询单元、跳转单元和实时监控单元；

所述地址查询单元，用于查找操作系统内核地址空间，得到上下文切换函数地址；

所述跳转单元，在所述地址查询单元得到上下文切换函数地址时，修改上下文切换函数首部地址内容为远程跳转指令，并指示实时监控单元对进程结构体进行监控；

所述实时监控单元，得到跳转单元监控指示后，对进程结构体进行访问，得到进程有关信息。

8.根据权利要求7所述的检测进程的设备，其特征在于，所述设备还包括进程比较单元，

用于将所述实时监控单元得到的进程信息，与调用API进程信息进行比较，在比较结果不一致的情况下，确定存在内核级隐藏进程。

9.根据权利要求7或8所述的检测进程的设备，其特征在于，所述跳转单元包括跳转执行子单元和跳转返回子单元；

所述跳转执行子单元，在所述地址查询单元得到上下文切换函数地址时，将上下文切换函数首部地址内容修改为远程跳转指令，并指示实时监控单元对进程结构体进行监控；

所述跳转返回子单元，当得知实时监控单元获取到进程信息后，通知操作系统内核执行被远程跳转指令覆盖的上下文切换函数首部地址内容指令，并指示操作系统内核返回至上下文切换函数。

10.根据权利要求9所述的检测进程的设备，其特征在于，所述跳转单元还包括首部地址内容检测子单元，

用于动态监控上下文切换函数首部地址内容是否被篡改，若是，立即通知操作系统内核将其恢复为原始状态；

所述跳转单元还包括报警日志，用于记录上下文切换函数首部地址内容被篡改情况。

11.根据权利要求10所述的检测进程的设备，其特征在于，所述操作系统包括WINDOWS系列操作系统、UNIX系列操作系统或LINUX系列操作系统；所述进程有关信息，包括进程ID、进程名称或进程镜像文件。