[发明专利]隐藏进程检测方法、装置、计算机设备和可读存储介质

说明书

本发明提供了一种隐藏进程检测方法、装置、计算机设备和可读存储介质。该隐藏进程检测方法包括：查看系统进程列表，得到第一进程组；获取CPU上将要运行的线程；确定所述线程对应的进程，得到第二进程组；以及比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程。通过本发明，能够提升检测隐藏进程的能力，降低漏检率。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种隐藏进程检测方法、装置、计算机设备和可读存储介质。

背景技术

随着手机、个人电脑以及可穿戴智能终端等网络终端设备在生活和工作中的日益普及，如何保障信息安全也成为当前首要解决的安全问题。其中，一些病毒或黑客的恶意进程由于不想被发现，会在系统中隐藏运行，从而在进程管理器里看不到这些进程，使得系统安全性降低。

为了解决上述问题，现有技术提出对隐藏进程进行检测，具体地，一方面通过用PspCidTable枚举进程，另一方面用ZwQuerySystemInformation获取系统进程，将枚举的进程与获取的系统进程进行对比，如果发现进程存在于枚举进程中，而获取到的系统进程中没有，则判定该进程为隐藏进程。

但是，发明人研究发现，这种方法虽然可以检测出通过进程链表和HOOK系统API的方式隐藏的进程，但当恶意程序把PspCidTable也擦除时，通过这种方法就无法检测出进程的隐藏。

因此，如何提升检测隐藏进程的能力，减少漏检，成为本领域亟需解决的技术问题。

发明内容

本发明的目的是提供一种隐藏进程检测方法、装置、计算机设备和可读存储介质，用于解决现有技术中的上述技术问题。

一方面，为实现上述目的，本发明提供了一种隐藏进程检测方法。

该隐藏进程检测方法包括：查看系统进程列表，得到第一进程组；获取CPU上将要运行的线程；确定所述线程对应的进程，得到第二进程组；以及比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程。

进一步地，获取CPU上将要运行的线程包括：解析CPU调度中的内核处理器控制块，得到CPU的就绪队列、等待队列和延迟就绪队列；分别确定所述就绪队列、所述等待队列、所述延迟就绪队列的线程，得到所述CPU上将要运行的线程。

进一步地，解析CPU调度中的内核处理器控制块，得到CPU的就绪队列、等待队列和延迟就绪队列包括：通过PKPCR函数和PKPRCB函数获取所述内核处理器控制块，通过偏移获取所述就绪队列、所述等待队列和所述延迟就绪队列的地址；分别确定所述就绪队列、所述等待队列、所述延迟就绪队列的线程包括：遍历所述就绪队列、所述等待队列和所述延迟就绪队列，获取若干线程结构体；确定所述线程对应的进程，得到第二进程组包括：从各所述线程结构体的ApcState获取进程结构体，得到所述第二进程组。

进一步地，该方法还包括：启动隐藏进程的检测线程，其中，所述检测线程用于查看系统进程列表，得到第一进程组，获取CPU上将要运行的线程，确定所述线程对应的进程，得到第二进程组，比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程；将所述检测线程的等级提高到调度级别。

进一步地，比对所述第一进程组和所述第二进程组，确定所述第二进程组中存在且所述第一进程组中不存在的进程为隐藏进程包括：确定所述第一进程组和所述第二进程组中各进程的CR3值；将所述第一进程组中进程的CR3值与所述第二进程组中进程的CR3值进行匹配；当所述第二进程组中第一进程的CR3值与所述第二进程组中各进程的CR3值均不相同时，确定所述第一进程为所述隐藏进程。

另一方面，为实现上述目的，本发明提供了一种隐藏进程检测装置。