[发明专利]一种操作系统进程识别跟踪及信息获取的方法和装置

权利要求书

1.一种操作系统进程识别跟踪及信息获取的方法，其特征在于，包括：

识别客户操作系统当前进程，获取当前的寄存器现场信息；

生成客户操作系统当前进程控制块字段偏移知识信息；所述偏移知识信息是指，操作系统内核在不同配置编译时，关键字段域在进程控制块字段结构中的准确字段偏移信息；

通过所述当前的寄存器现场信息计算客户操作系统当前进程控制块基地址；

根据所述客户操作系统当前进程控制块基地址和所述客户操作系统当前进程控制块字段偏移知识信息，利用进程信息获取函数读取客户操作系统当前进程信息；

所述识别客户操作系统当前进程获取当前的寄存器现场信息，包括：

当监测到客户操作系统发生进程切换敏感特权操作时，识别所述客户操作系统当前进程；

定位存储有所述客户操作系统当前进程的特定系统寄存器的代码改写位置；

在所述特定系统寄存器的代码改写位置上获取所述特定系统寄存器的改写代码；

在所述特定系统寄存器的改写代码中获取所述当前的寄存器现场信息。

2.根据权利要求1所述的方法，其特征在于，所述生成客户操作系统当前进程控制块字段偏移知识信息，包括：

选取至少一段所述客户操作系统当前进程的进程字段；

编写并计算所述至少一段所述客户操作系统当前进程的进程字段的偏移信息宏，并将所述至少一段所述客户操作系统当前进程的进程字段的偏移信息宏添加到操作系统内核源代码文件中；

对所述操作系统内核源代码文件进行编译，获取所述客户操作系统当前进程控制块字段偏移知识信息。

3.根据权利要求2所述的方法，其特征在于，所述通过所述当前的寄存器现场信息计算客户操作系统当前进程控制块基地址，包括：

在所述当前的寄存器现场信息中获取ESP栈指针寄存器的值；

采用所述ESP栈指针寄存器的值计算客户操作系统当前进程基地址；

根据所述客户操作系统当前进程基地址获取所述客户操作系统当前进程控制块基地址。

4.根据权利要求3所述的方法，其特征在于，所述根据所述客户操作系统当前进程控制块基地址和所述客户操作系统当前进程控制块字段偏移知识信息，利用进程信息获取函数读取当前客户操作系统当前进程信息，包括：

根据所述客户操作系统当前进程控制块基地址和所述客户操作系统当前进程控制块字段偏移知识信息，生成客户操作系统当前进程虚拟地址；

采用所述客户操作系统当前进程虚拟地址计算客户操作系统当前进程逻辑物理地址；

通过进程信息获取函数从所述客户操作系统当前进程逻辑物理地址中读取客户操作系统当前进程信息。

5.一种操作系统进程识别跟踪及信息获取装置，其特征在于，包括：

进程识别单元，用于识别客户操作系统当前进程，获取当前的寄存器现场信息；

信息生成单元，用于生成客户操作系统当前进程控制块字段偏移知识信息；所述偏移知识信息是指，操作系统内核在不同配置编译时，关键字段域在进程控制块字段结构中的准确字段偏移信息；

基地址计算单元，用于通过所述信息生成单元生成的所述当前的寄存器现场信息计算当前客户操作系统当前进程控制块基地址；

进程信息读取单元，用于根据所述基地址计算单元计算的所述客户操作系统当前进程控制块基地址和所述信息生成单元生成的所述客户操作系统当前进程控制块字段偏移知识信息，利用进程信息获取函数读取客户操作系统当前进程信息；

所述进程识别单元，包括：

进程识别模块，用于当监测到客户操作系统发生进程切换敏感特权操作时，识别所述客户操作系统当前进程；

位置定位模块，用于定位存储有所述进程识别模块识别的所述客户操作系统当前进程的特定系统寄存器的代码改写位置；

第一信息获取模块，用于在所述位置定位模块定位的所述特定系统寄存器的代码改写位置上获取所述特定系统寄存器的改写代码；

所述第一信息获取模块，还用于在所述第一信息获取模块获取的所述特定系统寄存器的改写代码中获取所述当前的寄存器现场信息。