遍历隐藏进程专利查询专利号|摘要-满商公司网

遍历隐藏进程

基本信息

申请号	CN202010828772.X	申请日	-
公开（公告）号	CN112818345A	公开（公告）日	2021-05-18
申请公布号	CN112818345A	申请公布日	2021-05-18
分类号	G06F21/56	分类	计算；推算；计数;
发明人	肖宏岩	申请（专利权）人	北京辰信领创信息技术有限公司
代理机构	上海氦闪专利代理事务所（普通合伙）	代理人	李明;袁媛
地址	100089 北京市海淀区中关村奥北科技园领智中心中楼9层901（东升地区）
法律状态	-

摘要

本发明涉及内核驱动技术领域，尤其是遍历隐藏进程,具体的遍历进程包括以下步骤：将计算机进程由导出函数KeSetAffinityThread处理获得KiSetAffinityThread的地址；从已获得的KiSetAffinityThread地址往上查找一个字节获得一个CMP指令，这个指令继续往上查找的一个DWORD就是KiDispatcherReadyListHead；进入KiDispatcherReadyListHead后，通过SSDT获取KiDispatcherReadyListHead的地址，并将指令lea装载KiDispatcherReadyListHead的地址，并准备遍历程序；判断KiWaitListEntry链表里可以指向Wait List Entry或者Queue List Entry任一位置的指针的指向；通过Thread Process域得到遍历的进程的EPROCESS，通过EPROCESS可以获得遍历的进程的全部信息，本发明通过遍历线程结构中的链表，能够查到出所有计算机中正在运行的木马病毒，可以提高反病毒工具查找隐藏程序的能力。