[发明专利]隐藏进程检测方法、装置、计算机设备和可读存储介质

权利要求书

1.一种隐藏进程检测方法，其特征在于，包括：

查看系统进程列表，得到第一进程组；

获取CPU上将要运行的线程；

确定所述线程对应的进程，得到第二进程组；以及

比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程。

2.根据权利要求1所述的隐藏进程检测方法，其特征在于，获取CPU上将要运行的线程包括：

解析CPU调度中的内核处理器控制块，得到CPU的就绪队列、等待队列和延迟就绪队列；

分别确定所述就绪队列、所述等待队列、所述延迟就绪队列的线程，得到所述CPU上将要运行的线程。

3.根据权利要求2所述的隐藏进程检测方法，其特征在于，

解析CPU调度中的内核处理器控制块，得到CPU的就绪队列、等待队列和延迟就绪队列包括：通过PKPCR函数和PKPRCB函数获取所述内核处理器控制块，通过偏移获取所述就绪队列、所述等待队列和所述延迟就绪队列的地址；

分别确定所述就绪队列、所述等待队列、所述延迟就绪队列的线程包括：遍历所述就绪队列、所述等待队列和所述延迟就绪队列，获取若干线程结构体；

确定所述线程对应的进程，得到第二进程组包括：从各所述线程结构体的ApcState获取进程结构体，得到所述第二进程组。

4.根据权利要求1所述的隐藏进程检测方法，其特征在于，还包括：

启动隐藏进程的检测线程，其中，所述检测线程用于查看系统进程列表，得到第一进程组，获取CPU上将要运行的线程，确定所述线程对应的进程，得到第二进程组，比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程；

将所述检测线程的等级提高到调度级别。

5.根据权利要求1所述的隐藏进程检测方法，其特征在于，比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程包括：

确定所述第一进程组和所述第二进程组中各进程的CR3值；

将所述第一进程组中进程的CR3值与所述第二进程组中进程的CR3值进行匹配；

当所述第二进程组中第一进程的CR3值与所述第二进程组中各进程的CR3值均不相同时，确定所述第一进程为所述隐藏进程。

6.一种隐藏进程检测装置，其特征在于，包括：

查看模块，用于查看系统进程列表，得到第一进程组；

获取模块，用于获取CPU上将要运行的线程；

确定模块，用于确定所述线程对应的进程，得到第二进程组；以及

比对模块，用于比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程。

7.根据权利要求6所述的隐藏进程检测装置，其特征在于，所述获取模块包括：

解析单元，用于解析CPU调度中的内核处理器控制块，得到CPU的就绪队列、等待队列和延迟就绪队列；

第一确定单元，用于分别确定所述就绪队列、所述等待队列、所述延迟就绪队列的线程，得到所述CPU上将要运行的线程。

8.根据权利要求1所述的隐藏进程检测装置，其特征在于，隐藏进程检测装置还包括：

启动模块，用于启动隐藏进程的检测线程，其中，所述检测线程用于查看系统进程列表，得到第一进程组，获取CPU上将要运行的线程，确定所述线程对应的进程，得到第二进程组，比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程；

调整模块，用于将所述检测线程的等级提高到调度级别。

9.一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至5任一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现权利要求1至5任一项所述方法的步骤。