[发明专利]一种基于windows句柄技术的程序安全加固方法及装置

权利要求书

1.一种基于windows句柄技术的程序安全加固方法，其特征在于，包括如下步骤，

第一步，将需要安全加固的程序的驱动加载至windows进程中，启动被保护进程；

遍历全局句柄表和私有句柄表；

通过特征码搜索定位pspCidTable句柄表；

通过特征ExpLookupHandleTableEntry函数，获取到全局句柄表对象,并定位到该被保护进程的句柄表；

抹除该被保护进程的句柄表；

第二步，获取System进程执行体的EPROCESS结构；

修改执行体的Eprocess结构；

第三步，检查内存，需要安全加固的程序的驱动在其初始化的时候产生自身启动模块，跟该自身启动模块进行对比，如果发现其在初始化过程中出现非该被保护进程的自身启动模块以外的其他模块，强制把该其他模块卸载；

自动强制杀死进程并重启。

2.根据权利要求1所示的基于windows句柄技术的程序安全加固方法，其特征在于，所述第一步中，当“获取到全局句柄表对象,并定位到该被保护进程的句柄表”不能实现时，判断被保护进程是否退出。

3.根据权利要求2所示的基于windows句柄技术的程序安全加固方法，其特征在于，当判断被保护进程已退出，则清理资源，移除驱动中查找到的旧句柄表数据。

4.根据权利要求1所示的基于windows句柄技术的程序安全加固方法，其特征在于，所述第二步中，通过pspCidTable句柄表获取System进程执行体的EPROCESS结构。

5.根据权利要求1所示的基于windows句柄技术的程序安全加固方法，其特征在于，所述第二步中，“修改执行体的Eprocess结构”，具体为将其字段UniqueProcessId的赋值替换成0。

6.根据权利要求1所示的基于windows句柄技术的程序安全加固方法，其特征在于，所述第三步中，如果未发现非该被保护进程的自身启动模块以外的其他模块，则清理资源，移除句柄表数据。

7.一种计算机可读存储介质，其特征在于，存储有至少一程序，所述至少一程序在被调用时执行并实现如权利要求1至6任一所述的基于windows句柄技术的程序安全加固方法。

8.一种电子装置，其特征在于，所述电子装置包含有如权利要求7所述的计算机可读存储介质。