高效搜索系统内存检测隐藏进程

• 作者: 周利荣 廖建平
• 来源期刊: 计算机系统应用
• 关键词: 进程 物理地址扩展 进程环境块 对象
• 年，卷（期）: 2012,（10）
• 页码范围: 188-193
• 字数: 5946字
• 语种: 中文

摘要

分析了进程隐藏方法及常用检测方法,论述了搜索系统内存检测隐藏进程的原理及实现方法,即首先判断页面是否有效,再根据EPROCESS结构体特征及OBJECT对象头特征来判断内存地址是否为EPROCESS地址,并给出 PAE 内存模式与普通内存模式的判别方法及两种内存模式判断页面是否有效的方法,探讨了提高搜索效率的方法.在windows 7、vista等操作系统两种内存模式上实验表明可高效枚举所有进程,包括通过挂钩枚举进程的函数或进入内核空间直接修改内核数据来达到隐藏自身目的的进程.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	廖建平	衢州职业技术学院信息与工程学院	12	21	3.0	3.0
2	周利荣	衢州职业技术学院信息与工程学院	18	10	2.0	2.0