[发明专利]一种恶意Hook行为检测方法及系统在审
| 申请号： | 201610299611.X | 申请日： | 2016-05-09 |
| 公开（公告）号： | CN106557693A | 公开（公告）日： | 2017-04-05 |
| 发明（设计）人： | 王彦杰;宋成伟;严寒冰;韩文奇;肖新光 | 申请（专利权）人： | 哈尔滨安天科技股份有限公司 |
| 主分类号： | G06F21/55 | 分类号： | G06F21/55 |
| 代理公司： | 暂无信息 | 代理人： | 暂无信息 |
| 地址： | 150090 黑龙江省哈尔滨*** | 国省代码： | 黑龙江;23 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明提出一种恶意Hook行为检测方法及系统，首先按规定创建系统函数的替代函数，其次监控系统中可执行程序的运行动态，判断是否有敏感Hook函数调用行为，若没有则放行，否则将相应可执行程序跳转到替代函数中进行处理。本发明对系统中可执行文件进行动态监控，有效检测恶意Hook行为，并通过替代函数的方式有效阻拦恶意行为的释放，保护系统数据安全；本发明通过替代函数的方式拦截恶意Hook行为，而不是直接将恶意Hook进程杀掉，该方式不影响系统中其他程序运行，能够充分维护系统稳定性。 | ||
| 搜索关键词： | 一种 恶意 hook 行为 检测 方法 系统 | ||
【主权项】：
一种恶意Hook行为检测方法，其特征在于，包括：按规定创建系统函数LoadLibraryExW函数的替代函数；监控系统中运行的可执行程序是否包含全局钩子，若不包含，则放行；若包含，则判断相应可执行程序是否加载了Hook函数，若没有加载，则放行，否则按规定获取相应可执行程序的返回地址，并判断Hook函数是否是通过系统规定程序进行加载的；若所述Hook函数是通过系统规定程序进行加载的，则放行，否则将对应可执行程序跳转到所述替代函数中执行。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于哈尔滨安天科技股份有限公司，未经哈尔滨安天科技股份有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201610299611.X/，转载请声明来源钻瓜专利网。
