[发明专利]一种检测傀儡进程创建的方法及系统

说明书

本发明的实施例公开了一种检测傀儡进程创建的方法及系统，方法包括：编写驱动程序，注册进程句柄的前操作回调函数；在编写的前操作回调函数中，对进程句柄的信息进行检查，若检查通过，则获取当前进程文件的完整路径；获取当前进程文件的完整路径和散列值，判断当前进程文件是否在白名单中；若进程句柄信息检查通过，且当前进程文件不在白名单内，则清除该进程句柄写入目标进程的权限，阻止傀儡进程的创建；若进程句柄信息检查不通过，或当前进程文件在白名单内，则为进程句柄授予写入目标进程的权限。系统包括驱动程序编写模块，回调函数判断模块，路径判断模块、清除模块和授权模块。本发明能够能够在企图创建傀儡进程时加以检测，有效弥补了现有检测傀儡进程创建手段的不足。

技术领域

本发明涉及检测傀儡进程创建技术领域，特别涉及一种检测傀儡进程创建的方法及系统。

背景技术

创建傀儡进程是攻击者常用的攻击手段，具有隐蔽性高的特点。现有检测傀儡进程创建的手段都是傀儡进程已经创建并且在傀儡进程的主线程运行时经过由

PsSetCreateProcessNotifyRoutine\PsSetCreateProcessNotifyRoutine Ex\PsSetCreateProcessNotifyRoutineEx2(内核编程接口函数)创建的进程回调时进行内存扫描，这种检测手段存在以下两点不足：一是傀儡进程已经创建；二是通过扫描内存检测存在效率低、浪费系统性能的问题。

发明内容

有鉴于此，本发明实施例的目的在于提供一种检测傀儡进程创建的方法及系统，能够在企图创建傀儡进程时加以检测，有效弥补了现有检测傀儡进程创建手段的不足。

第一方面，本发明实施例提供了一种检测傀儡进程创建的方法，其中，包括：

编写驱动程序，注册进程句柄的前操作回调函数。

在编写的前操作回调函数中，对进程句柄的信息进行检查，若检查通过，则获取当前进程文件的完整路径。

获取当前进程文件的完整路径和散列值，判断当前进程文件是否在白名单中。

若进程句柄信息检查通过，且当前进程文件不在白名单内，则清除该进程句柄写入目标进程的权限，阻止傀儡进程的创建。

若进程句柄信息检查不通过，或当前进程文件在白名单内，则为进程句柄授予写入目标进程的权限。

结合第一方面，本发明实施例提供了第一方面的第一种可能的实施方式，其中，所述编写驱动程序，注册进程句柄的前操作回调函数，包括：

调用ObRegisterCallbacks内核编程接口函数注册进程句柄的ObjectPreCallback前操作回调函数。

设置该前操作回调函数的第二个参数记为PreOperationInfo，包含进程句柄对应的内核对象。

结合第一方面，本发明实施例提供了第一方面的第二种可能的实施方式，其中，所述在编写的前操作回调函数中，对进程句柄的信息进行检查，若检查通过，则获取当前进程文件的完整路径，包括：

第一判断，若前操作回调函数中当前IRQL中断请求级别不为被动级别PASSIVE_LEVEL，则返回成功。

或者，进行第二判断，若当前句柄为内核句柄，则返回成功。具体的，若PreOperationInfo-KernelHandle为TRUE，则返回成功。

或者，进行第三判断，若进程句柄对应的内核对象类型PreOperationInfo-ObjectType不为进程对象*PsProcessType，则返回成功。