[发明专利]一种检测隐藏进程的方法、装置及存储设备

说明书

本发明实施例公开一种检测隐藏进程的方法、装置及存储设备，用以解决在采用Rookit技术隐藏进程之后利用目前Windows提供的系统工具无法查看出是否存在隐藏进程的问题。该方法包括：调用当前系统的ntdll.dll中的函数获取所述系统的所有存活进程的进程句柄；利用所述系统中常规使用的系统API遍历所述系统的所有存活进程，以获取进程句柄；比较两次获取的进程句柄的数量；在两次获取的进程句柄的数量不等时，确定所述系统中存在隐藏进程。

技术领域

本发明实施例涉及计算机反病毒领域，尤其涉及一种检测隐藏进程的方法、装置及存储设备。

背景技术

利用Rootkit技术，可以将恶意进程从整个系统的进程链中摘除，从而隐藏该恶意进程。

通常系统正常的API调用都是由kernel32.dll、user32.dll、GDI32.dll、ADVAPI32.dll等系统dll导出的函数，目前常规使用CreateToolhelp32Snapshot这个系统API以遍历系统中所有存活的进程，而这个API就是在kernel32.dll中实现的；但是当使用Rootkit技术隐藏进程后，该API会失效。

因此，采用Rootkit技术隐藏进程之后，用户无法通过Windows提供的任务管理器等相关系统工具查看到隐藏的进程，这样势必会给用户造成很大的破坏，而且用户也很难手动去结束恶意程序的运行。如果隐藏进程有自删除的功能，会将自己的实体从磁盘上完全删除，这样给安全分析人员也带来了一定的困难，安全分析人员无法真正拿到磁盘上的实体。而普通用户更难发现磁盘上多出的文件，如果用常规的方式进行病毒扫描，即使有这个恶意程序的MD5，在扫描磁盘的时候也不会发现任何威胁。

综上所述，在采用Rookit技术隐藏进程之后，目前的用于遍历所有存活就进程的API失效，从而导致使用目前Windows提供的系统工具无法查看出是否存在隐藏进程。

发明内容

基于上述存在的问题，本发明实施例提供一种检测隐藏进程的方法、装置及存储设备，用以解决在采用Rookit技术隐藏进程之后利用目前Windows提供的系统工具无法查看存出是否存在隐藏进程的问题。

本发明实施例公开一种检测隐藏进程的方法，包括：

调用当前系统的ntdll.dll中的函数获取所述系统的所有存活进程的进程句柄；

利用所述系统中常规使用的系统API遍历所述系统的所有存活进程，以获取进程句柄；

比较两次获取的进程句柄的数量；

在两次获取的进程句柄的数量不等时，确定所述系统中存在隐藏进程。

进一步地，在确定所述系统中存在隐藏进程后，还包括：将隐藏进程的进程句柄转换成对应的文件路径；在所述文件路径下不存在文件时，确定所述隐藏进程为无实体进程。

进一步地，调用当前系统的ntdll.dll中的函数获取所述系统的所有存活进程的进程句柄，具体包括：调用ntdll.dll中的函数NtQuerySystemInformation；向NtQuerySystemInformation函数传入SystemHandleInformation变量，获取返回的SYSTEM_HANDLE_INFORMATION结构的数组；从所述数组中提取所述系统的所有存活进程的句柄，获取所述系统所有存活进程的进程句柄。

进一步地，将隐藏进程的进程句柄转换成对应的文件路径，具体为：调用ntdll.dl中的导出函数NtQueryObject，向所述导出函数的OBJECT_INFORMATION_CLASS变量传入ObjectNameInformation的值，获得对应的文件路径。