知搜-全球专利检索

  1. 登录
  2. 注册
发明授权
CN1936834B 一种Windows平台下对抗API挂接的方法 有权

一种Windows平台下对抗API挂接的方法
摘要：
本发明公开了一种Windows平台下对抗API挂接的方法，其特征在于：进程调用API函数CreateFile打开提供API的PE文件，再将打开的PE文件映射到虚拟内存缓冲区，取得API在虚拟内存缓冲区内的偏移量，记为偏移一，然后进程通过调用API函数GetProcAddress取得API在进程空间的偏移量，记为偏移二，最后通过判断比较两个偏移的内容，将与偏移一不相同的偏移二的内容恢复成偏移一的内容；本发明从PE文件分析得出API原来的内容，并保证得到API内容的正确性，实现对抗API挂接；提高恶意进程挂接API的难度，恶意进程须改写PE文件才能实现挂接，这时在Windows NT平台下将触发Windows FileProtection机制。
摘要（英）：

This invention discloses a counteracting method for connecting API in windows platform. It can be described like this: unfold the files who provide API by selecting CreateFile function, map these files to virtual memory buffer and obtain the offset of API in virtual memory buffer (offset one); obtain the offset in course space by selecting GetProcAddress function (offset two); renew the content inoffset two that are different from offset one by comparing. This invention could effectively prevent the hostile course from connecting to the API.

公开/授权文献
0/0