[发明专利]一种通过Windows系统服务监控Windows系统剪贴板的方法

权利要求书

1、一种通过Windows系统服务监控Windows系统剪贴板的方法，其特征在于采用WINDOWS内核HOOK技术对剪贴板相关的系统服务进行HOOK，从而达到对WINDOWS系统剪贴板监控的目的，该方法包括以下步骤：

A、对与剪贴、复制和粘贴操作相关的系统服务信息初始化，找到两个系统描述符表ServiceDescriptorTable和ServiceDescriptorTableShadow，获得两个系统服务NtUserGetClipboardData和NtUserSetClipboardData的服务号ID；

B、计算系统服务NtUserGetClipboardData和NtUserSetClipboardData在Windows中的地址偏移；

C、HOOK两个系统核心态服务NtUserGetClipboardData和NtUserSetClipboardData；

D、有操作请求时，用户发出的原进入系统服务NtUserSetClipboardData和NtUserGetClipboardData的剪贴板操作信息就会进入HOOK的两个相应函数：NewNtUserGetClipboardData和NewNtUserSetClipboardData，在这两个函数中，实现监控剪贴板的所有逻辑处理；

E、退出监控驱动，对两个系统服务解除HOOK。

2、如权利要求1所述的通过Windows系统服务监控Windows系统剪贴板的方法，其特征在于所述步骤A包括下列步骤：

A1、找到已由Ntoskrnl.exe公开导出的系统描述符表ServiceDescriptorTable(简称：SDT)；

A2、找到ServiceDescriptorTableShadow在win32k.sys中的基地址；

A3、取得两个系统服务NtUserGetClipboardData和NtUserSetClipboardData对应当前系统版本的服务号ID。

3、如权利要求2所述的通过Windows系统服务监控Windows系统剪贴板的方法，其特征在于所述步骤A2是通过在系统内存空间的搜索方式，找到ServiceDescriptorTableShadow在win32k.sys中的基地址的。

4、如权利要求2所述的通过Windows系统服务监控Windows系统剪贴板的方法，其特征在于所述步骤A3是通过辅助驱动程序LocalSystem.sys取得两个系统服务NtUserGetClipboardData和NtUserSetClipboardData对应当前系统版本的服务号ID的。

5、如权利要求1所述的通过Windows系统服务监控Windows系统剪贴板的方法，其特征在于：所述步骤D中的逻辑处理包括以下步骤：

(1)获取当前发起剪切、复制、粘贴请求的进程号(PID)；

(2)获取当前发起剪切、复制、粘贴请求的进程进程名(ProcessName)；

(3)判断当前进程号是否是在受监控进程列表中，或者当前进程名是否是csrss.exe，对请求做保留、丢弃或加密等处理。

6、如权利要求1所述的通过Windows系统服务监控Windows系统剪贴板的方法，其特征在于在剪贴板HOOK驱动中定义一个分支IRP，以实现操作的中断控制。