[发明专利]一种基于windows句柄技术的程序安全加固方法及装置

说明书

本发明提供一种基于windows句柄技术的程序安全加固方法及装置，包括三个步骤，抹除该被保护进程的句柄表；修改执行体的Eprocess结构；检查内存，需要安全加固的程序的驱动在其初始化的时候产生自身启动模块，跟该自身启动模块进行对比，如果发现其在初始化过程中出现非该被保护进程的自身启动模块以外的其他模块，强制把该其他模块卸载。本发明具有以下有益效果：通过不可或缺的三个步骤，把进程中的整个内存保护起来让上位机程序或者数采程序的内存无法被反汇编程序动态调试,随后完全把被保护进程隐藏形成“幽灵进程”，其不会造成对软件原有功能的破坏，并且还具有防止第三方注入的功能，真正地杜绝了破解的可能，形成强劲的进程保护。

技术领域

本发明涉及计算机技术领域，具体涉及一种基于windows句柄技术的程序安全加固方法、计算机可读存储介质及电子装置。

背景技术

随着工业自动化愈发强大，诞生了许多从事自动化设备研发或者注重于工业数据采集的公司。所有这些技术都会应用到上位机中。但是上位机在开发过程中没有考虑到软件的安全性，部分这类上位机或者数据采集软件极度容易被分析以及破解。

上位机或者采集软件的执行程序如何来防止逆向工程工作者的分析以及破解是目前比较重要的技术问题。

发明内容

本发明的目的在于提供一种基于windows句柄技术的程序安全加固方法、计算机可读存储介质及电子装置。

为实现上述目的，本发明的具体解决方案为：

一种基于windows句柄技术的程序安全加固方法，包括三个步骤。

第一步，将需要安全加固的程序的驱动加载至windows进程中，启动被保护进程；

遍历全局句柄表和私有句柄表；

通过特征码搜索定位pspCidTable句柄表；

通过特征ExpLookupHandleTableEntry函数，获取到全局句柄表对象,并定位到该被保护进程的句柄表；

抹除该被保护进程的句柄表。

第二步，获取System进程执行体的EPROCESS结构；

修改执行体的Eprocess结构。

第三步，检查内存，需要安全加固的程序的驱动在其初始化的时候产生自身启动模块，跟该自身启动模块进行对比，如果发现其在初始化过程中出现非该被保护进程的自身启动模块以外的其他模块，强制把该其他模块卸载；

自动强制杀死进程并重启。

优选的，所述第一步中，当“获取到全局句柄表对象,并定位到该被保护进程的句柄表”不能实现时，判断被保护进程是否退出。

优选的，当判断被保护进程已退出，则清理资源，移除驱动中查找到的旧句柄表数据。

优选的，所述第二步中，通过pspCidTable句柄表获取System进程执行体的EPROCESS结构。

优选的，所述第二步中，修改执行体的Eprocess结构，具体为把其字段UniqueProcessId的赋值替换成0。

优选的，所述第三步中，如果未发现非该被保护进程的自身启动模块以外的其他模块，则清理资源，移除句柄表数据。

本发明揭示了一种计算机可读存储介质，存储有至少一程序，所述至少一程序在被调用时执行并实现如前所述的基于windows句柄技术的程序安全加固方法。

本发明揭示了一种电子装置，所述电子装置包含有如前所述的计算机可读存储介质。