[发明专利]一种木马检测方法及装置

权利要求书

1.一种木马检测方法，其特征在于，包括：

监控启动的进程，在所述进程启动完成时，确定所述进程的基址所在的内存块；

判断确定的所述内存块的类型是否为只读类型；

若是，则确定所述进程不是木马进程，不对所述进程进行任何操作，否则，确定所述进程是木马进程，阻断所述进程。

2.如权利要求1所述的方法，其特征在于，所述方法还包括：

针对启动的进程，记录所述进程的基址；

确定所述进程的基址所在的内存块，具体包括：

根据记录的所述进程的基址，确定所述进程的基址所在的内存块。

3.如权利要求2所述的方法，其特征在于，记录所述进程的基址，具体包括：

当所述进程在启动的过程中暂停时，将所述进程对应的返回地址EIP信息中设置的地址作为所述进程的基址记录。

4.如权利要求1所述的方法，其特征在于，确定所述进程是木马进程之前，所述方法还包括：

确定所述进程的内存映像IMAGE中包含的可移植可执行文件头PEHEADER代码为指定代码。

5.如权利要求1所述的方法，其特征在于，确定所述进程是木马进程之后，所述方法还包括：

生成指示所述进程是木马进程的告警信息。

6.一种木马检测装置，其特征在于，包括：

监控模块，用于监控启动的进程，在所述进程启动完成时，确定所述进程的基址所在的内存块；

判断模块，用于判断确定的所述内存块的类型是否为只读类型；

处理模块，用于当所述判断模块的判断结果为是时，确定所述进程不是木马进程，不对所述进程进行任何操作，当所述判断模块的判断结果为否时，确定所述进程是木马进程，阻断所述进程。

7.如权利要求6所述的装置，其特征在于，所述监控模块还用于，针对启动的进程，记录所述进程的基址；并在确定所述进程的基址所在的内存块时，根据记录的所述进程的基址，确定所述进程的基址所在的内存块。

8.如权利要求7所述的装置，其特征在于，所述监控模块具体用于，当所述进程在启动的过程中暂停时，将所述进程对应的返回地址EIP信息中设置的地址作为所述进程的基址记录。

9.如权利要求6所述的装置，其特征在于，所述处理模块还用于，确定所述进程是木马进程之前，确定所述进程的内存映像IMAGE中包含的可移植可执行文件头PE HEADER代码为指定代码。

10.如权利要求6所述的装置，其特征在于，所述处理模块还用于，确定所述进程是木马进程之后，生成指示所述进程是木马进程的告警信息。