[发明专利]在虚拟机外部机进行的windows隐藏进程检测方法

摘要

本发明涉及计算机技术领域，特别涉及在虚拟机外部机进行的windows隐藏进程检测方法。本发明在不改变虚拟机原有结构，也不在其中安装任何感知插件的情况下，在虚拟机外部即时监测虚拟机内的Windows操作系统隐藏进程的状态。我们的隐藏进程检测模块放置在虚拟化架构中的虚拟机监视器中。本发明通过三步进行完整的Windows隐藏进程发现：首先找出Windows里的内核模块ntoskrnl.exe，然后通过ntoskrnl.exe寻找系统内核维护的EPROCESS链表，最后利用多视图技术比对遍历线程后得到的线程所属的进程队列与EPROCESS链之间的差异，找出系统中存在的隐藏进程。

主权项

一种在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，包括以下步骤：步骤1：通过虚拟机内客户机的FS寄存器找到Windows加载的所有内核模块构成的链表，从链表中找到内核模块ntoskrnl.exe；步骤2：找出Windows操作系统内核空间维护的所有活动进程，根据所有活动进程寻找内核维护的活动进程EPROCESS链表上的所有活动进程；步骤3：结合步骤2得到的活动进程EPROCESS链表上的所有活动进程检测系统中EPROCESS链中脱链的隐藏进程。