基于执行流完整性的Windows进程挂钩检测与实现  

作　　者：潘志鹏[1] 冯超[1] 唐朝京[1] 

机构地区：[1]国防科学技术大学电子科学与工程学院,湖南长沙410073

出　　处：《数字技术与应用》2016年第2期125-127,共3页Digital Technology & Application

摘　　要：论文对windows系统用户层上传统的挂钩技术和检测方法进行了研究,分析了一种经过Mov指令进行跳转的用户层挂钩技术,提出了一种基于执行流完整性的进程挂钩检测方法。该方法通过对进程内存的执行流和进程对应可执行文件的执行流进行分析比较,验证进程内存执行流的完整性,进而在用户层上检测用户进程可能存在的钩子。最后与流行的Rootkit检测工具OSHI Un Hooker比较,本方法可有效检测出深层次和复杂的用户层钩子。

关 键 词：挂钩 检测 用户层 执行流完整性 ROOTKIT 

分 类 号：TP309.5[自动化与计算机技术—计算机系统结构]