[发明专利]软体文件被修改时的来源追溯方法、监测方法、还原方法及系统

摘要

本发明公开了一种软体文件被修改时的来源追溯方法、监测方法、还原方法及系统，来源追溯方法包括S101、在操作系统内核即将对硬盘写入时，拦截操作系统内核对硬盘的写入函数；S102、根据操作系统调用写入函数时传递的参数来获取进程的进程ID号；S103、通过进程ID获取到对应的进程对象；S104、通过进程堆栈读取写入函数的返回地址进行递归分析所述进程对象的原始请求函数调用；S105、通过原始调用函数得到操作者IP、操作者提交的报文数据，从而得到修改的软体文件的修改来源；S106、客户端计算机将操作者IP、操作者提交的报文数据打包形成数据包，并将数据包上传至服务器端；S107、服务器端接收到数据包之后发出警示信息至客户端计算机侧的对应管理人员。

主权项

1.一种客户端计算机内软体文件的监测方法，包括以下步骤：S201、对客户端计算机内的软体文件进行备份并上传至服务器端，以使服务器端以此作为判断客户端计算机内的软体文件是否被修改的基线，其中，软体文件的备份包括文件位置目录的备份、文件属性的备份、文件内容的备份；S202、在客户端计算机操作系统内核即将对硬盘写入时，拦截操作系统内核对硬盘的写入函数；S203、客户端计算机根据操作系统调用写入函数时传递的参数来获取进程的进程ID号、被写入硬盘的位置目录、被写入的文件属性、被写入的文件内容；S204、客户端计算机通过进程ID获取到对应的进程对象；S205、客户端计算机通过进程堆栈读取写入函数的返回地址进行递归分析所述进程对象的原始请求函数调用；S206、客户端计算机通过原始调用函数得到操作者IP、操作者提交的报文数据，并将操作者IP、报文数据、被写入硬盘的位置目录、该目录下被写入的文件属性以及被写入的文件内容打包形成数据包上传至服务器端；S207、服务器端接收到数据包之后对数据包进行分析，根据数据包内的操作者IP得到入侵对象的原始来源，根据报文数据分析得到操作者的写入手段；将数据包中的被写入硬盘的位置目录、该目录下被写入文件属性以及被写入文件内容与备份的对应文件进行比对，以得到在原备份的基础上被修改的明细，从而实现对客户端计算机内的软体文件进行监测的目的。