[发明专利]基于堆栈回溯与通信的驱动加载进程获取方法及系统

权利要求书

1.一种基于堆栈回溯与通信的驱动加载进程获取方法，其特征在于，所述方法包括：

加载minifilter框架，并通过所述minifilter框架获取系统的驱动加载状态；

当系统加载驱动完成时，在minifilter框架中遍历所有系统的驱动加载线程，并插入apc，堆栈回溯出每个所述驱动加载线程的行程轨迹；

当NtLoadDriver函数内存在有目标驱动加载线程的行程轨迹时，则判断所述目标驱动加载线程对应的进程是否为service进程；

当对应的进程为service进程时，通过alpc之间关系以及win api访问找到目标驱动加载进程。

2.根据权利要求1所述的方法，其特征在于，通过所述minifilter框架获取系统的驱动加载状态，包括：

获取系统的驱动加载的程序函数为NtLoadDriver函数。

3.根据权利要求1所述的方法，其特征在于，在判断所述目标驱动加载线程对应的进程是否为service进程之后，所述方法还包括：

当对应的进程不为service进程时，则确定该进程并非目标驱动加载进程。

4.根据权利要求1所述的方法，其特征在于，所述加载minifilter框架，并通过所述minifilter框架获取系统的驱动加载状态包括：

在minifilter当中过滤到系统加载驱动后，即驱动的加载进程处于等待状态时，等待系统加载驱动完成。

5.一种基于堆栈回溯与通信的驱动加载进程获取系统，其特征在于，所述系统包括：

获取模块，用于加载minifilter框架，并通过所述minifilter框架获取系统的驱动加载状态；

回溯模块，用于当系统加载驱动完成时，在minifilter框架中遍历所有系统的驱动加载线程，并插入apc，堆栈回溯出每个所述驱动加载线程的行程轨迹；

判断模块，用于当NtLoadDriver函数内存在有目标驱动加载线程的行程轨迹时，则判断所述目标驱动加载线程对应的进程是否为service进程；

确认模块，用于当对应的进程为service进程时，通过alpc之间关系以及win api访问找到目标驱动加载进程。

6.根据权利要求5所述的系统，其特征在于，所述获取模块中：

获取系统的驱动加载的程序函数为NtLoadDriver函数。

7.根据权利要求5所述的系统，其特征在于，所述确认模块还用于：

当对应的进程不为service进程时，则确定该进程并非目标驱动加载进程。

8.根据权利要求5所述的系统，其特征在于，所述获取模块具体用于：

在minifilter当中过滤到系统加载驱动后，即驱动的加载进程处于等待状态时，等待系统加载驱动完成。