公开(公告)号：CN101183418A

公开(公告)日：2008-05-21

申请号：CN200710304083.3

申请日：2007-12-25

Applicant: 北京大学

Inventor： 周扬荣 ,  韩心慧 ,  张行功 ,  陆腾飞 ,  邹维

IPC: G06F21/22

Abstract: 本发明公开了一种Windows隐蔽性恶意软件检测方法，其步骤包括：(1)调试Windows内核系统，获得所有内核对象的数据结构；(2)确定内核对象在系统的内存区域；(3)创建每一类内核对象头标志；(4)搜索步骤(2)中的内存区域，得到与对象头标志匹配内核对象的起始地址；(5)记录起始地址，根据步骤(1)获得的内核对象结构，读出内核对象体数据信息；(6)调用Windows API，获取系统的内核对象数据信息；(7)比较步骤(5)和(6)得到的信息，如果存在步骤(6)中没有的数据，判定该WINDOWS系统包含隐蔽性恶意软件。本发明适用于Windows各个版本，准确度高，方法稳定可靠。

公开(公告)号：CN100504904C

公开(公告)日：2009-06-24

申请号：CN200710304083.3

申请日：2007-12-25

Applicant: 北京大学

Inventor： 周扬荣 ,  韩心慧 ,  张行功 ,  陆腾飞 ,  邹维

IPC: G06F21/22

Abstract: 本发明公开了一种Windows隐蔽性恶意软件检测方法，其步骤包括：(1)调试Windows内核系统，获得所有内核对象的数据结构；(2)确定内核对象在系统的内存区域；(3)创建每一类内核对象头标志；(4)搜索步骤(2)中的内存区域，得到与对象头标志匹配内核对象的起始地址；(5)记录起始地址，根据步骤(1)获得的内核对象结构，读出内核对象体数据信息；(6)调用Windows API，获取系统的内核对象数据信息；(7)比较步骤(5)和(6)得到的信息，如果存在步骤(6)中没有的数据，判定该WINDOWS系统包含隐蔽性恶意软件。本发明适用于Windows各个版本，准确度高，方法稳定可靠。