基于执行流完整性的Windows进程挂钩检测与实现

• 作者: 冯超 唐朝京 潘志鹏
• 来源期刊: 数字技术与应用
• 学科: 工学
• 关键词: 挂钩 检测 用户层 执行流完整性 Rootkit
• 年，卷（期）: 2016,（2）
• 所属期刊栏目: 应用研究
• 页码范围: 125-127
• 页数: 3页
• 分类号: TP309.5
• 字数: 2663字
• 语种: 中文

摘要

论文对windows系统用户层上传统的挂钩技术和检测方法进行了研究，分析了一种经过Mov指令进行跳转的用户层挂钩技术，提出了一种基于执行流完整性的进程挂钩检测方法。该方法通过对进程内存的执行流和进程对应可执行文件的执行流进行分析比较，验证进程内存执行流的完整性，进而在用户层上检测用户进程可能存在的钩子。最后与流行的Rootkit检测工具OSHI UnHooker比较，本方法可有效检测出深层次和复杂的用户层钩子。

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	唐朝京	国防科学技术大学电子科学与工程学院	59	382	12.0	16.0
2	冯超	国防科学技术大学电子科学与工程学院	13	70	5.0	8.0
3	潘志鹏	国防科学技术大学电子科学与工程学院	1	1	1.0	1.0