智能主動防御系統(tǒng)(08-100)
——
加入技術(shù)交流群
下面是Shadow SSDT表中鉤掛的函數(shù)：
本文引用地址：http://www.antipu.com.cn/article/91772.htmNtSetUserWindowsHookEx。
通過替換系統(tǒng)中的這些函數(shù)，來實現(xiàn)對一個程序的行為監(jiān)控，并進行主動判斷來檢測病毒或者木馬，其原理如圖4所示。
圖4 病毒主動防御原理
可以看到，應(yīng)用層的軟件都會經(jīng)過我們攔截模塊的過濾，然后把信息傳給我們的用戶接口。用戶態(tài)程序主要用于顯示程序執(zhí)行時調(diào)用的函數(shù)，以及發(fā)現(xiàn)危險操作時進行告警。內(nèi)核態(tài)的驅(qū)動程序主要用于信息的截獲，以及分析處理，判斷危險調(diào)用，然后通知用戶。內(nèi)核態(tài)程序和用戶態(tài)程序采用了事件進行同步，因此可以實時的進行信息的傳遞，大大提高了效率，同時用一個緩沖區(qū)隊列把實時信息傳到用戶態(tài)的程序。
用戶態(tài)程序和內(nèi)核態(tài)程序交互的示意圖如圖5所示。
評論