[发明专利]一种进程监控的方法和装置

权利要求书

1.一种进程监控的方法，所述方法包括：

当监控到父进程创建子进程时，拦截所述父进程对执行文件的调用命 令；

根据所述调用命令，创建注入器；

采用所述注入器，创建子进程，所述子进程具有相应的Hook监控模块；

采用所述Hook监控模块对所述子进程进行监控。

2.如权利要求1所述的方法，其特征在于，在所述当监控到父进程创 建子进程时，拦截所述父进程对执行文件的调用命令的步骤后，还包括：

获取所述子进程对应的路径参数，以及，注入器对应的路径参数。

3.如权利要求2所述的方法，其特征在于，所述根据所述调用命令， 创建注入器的步骤包括：

判断所述父进程是否是通过切换用户SU提权方式创建子进程；

若是，则采用所述切换用户SU提权创建所述注入器；

若否，则将所述子进程替换为所述注入器，从而创建所述注入器。

4.如权利要求3所述的方法，其特征在于，所述采用所述切换用户SU 提权创建所述注入器的步骤包括：

在切换用户SU提权的指令中，加入-C参数，采用所述切换用户SU提 权创建所述注入器。

5.如权利要求3所述的方法，其特征在于，所述将所述子进程替换为 所述注入器，从而创建所述注入器的步骤包括：

将所述调用命令中子进程对应的路径参数替换为注入器对应的路径参 数，从而创建所述注入器。

6.如权利要求2-5任一所述的方法，其特征在于，所述采用所述注入 器，创建子进程的步骤包括：

采用所述注入器，创建所述子进程的镜像；

根据所述子进程对应的路径参数，调用所述子进程对应的组件；

将所述子进程对应的组件以及预设的Hook监控模块注入所述子进程的 镜像；

命令所述子进程加载S分享属性。

7.如权利要求6所述的方法，其特征在于，所述采用所述Hook监控模 块对所述子进程进行监控的步骤包括：

命令所述Hook监控模块通过所述S分享属性对所述子进程进行监控；

当通过所述Hook监控模块监控到所述子进程创建进程时，将所述子进 程作为父进程，继续为新创建的进程注入所述Hook监控模块。

8.如权利要求1-7任一所述的方法，其特征在于，所述父进程包括JAVA 进程，和/或，Native进程；所述子进程包括JAVA进程，和/或，Native进程。

9.一种进程监控的装置，所述装置包括：

拦截模块，用于在监控到父进程创建子进程时，拦截所述父进程对执行 文件的调用命令；

创建模块，用于根据所述调用命令，创建注入器；

注入模块，用于采用所述注入器，创建子进程，所述子进程具有相应的 Hook监控模块；

监控模块，用于采用所述Hook监控模块对所述子进程进行监控。

10.如权利要求9所述的装置，其特征在于，还包括：

获取模块，用于获取所述子进程对应的路径参数，以及，注入器对应的 路径参数。