智能主動防御系統(tǒng)(08-100)
——
作者：趙宇宸 齊鵬 毛寧祥 胡建偉 西安電子科技大學(xué)
時間：2009-02-26
來源：電子產(chǎn)品世界
收藏
加入技術(shù)交流群
掃碼加入
和技術(shù)大咖面對面交流
海量資料庫查詢
下面是Shadow SSDT表中鉤掛的函數(shù)：
本文引用地址：http://www.biyoush.com/article/91772.htmNtSetUserWindowsHookEx。
通過替換系統(tǒng)中的這些函數(shù)，來實現(xiàn)對一個程序的行為監(jiān)控，并進(jìn)行主動判斷來檢測病毒或者木馬，其原理如圖4所示。
圖4 病毒主動防御原理
可以看到，應(yīng)用層的軟件都會經(jīng)過我們攔截模塊的過濾，然后把信息傳給我們的用戶接口。用戶態(tài)程序主要用于顯示程序執(zhí)行時調(diào)用的函數(shù)，以及發(fā)現(xiàn)危險操作時進(jìn)行告警。內(nèi)核態(tài)的驅(qū)動程序主要用于信息的截獲，以及分析處理，判斷危險調(diào)用，然后通知用戶。內(nèi)核態(tài)程序和用戶態(tài)程序采用了事件進(jìn)行同步，因此可以實時的進(jìn)行信息的傳遞，大大提高了效率，同時用一個緩沖區(qū)隊列把實時信息傳到用戶態(tài)的程序。
用戶態(tài)程序和內(nèi)核態(tài)程序交互的示意圖如圖5所示。
評論