[发明专利]一种高兼容性的监控Windows内核函数调用的方法

权利要求书

1.一种高兼容性的监控Windows内核函数调用的方法，其特征在于含 有以下步骤：

第一步、新建一张SSDT映射表，复制系统原有SSDT表中所有内容到 新的SSDT映射表中，然后在所述新的SSDT映射表后加入扩展监控函数的 首地址和参数量信息，使用所述新的SSDT映射表替换系统原有的SSDT表；

第二步、通过Inlinc Hook系统KiFastCallEntry函数，加入监控判 断代码；

第三步、在第二步中加入的所述监控判断代码内判断被调用函数，通 过EAX寄存器中数值来确认是否为被监控函数，是则修改EAX寄存器的值 为所述新的SSDT映射表中相应监控函数的偏移量，不是则不进行任何修 改；

第四步、在所述新的SSDT映射表中的监控函数中提取所述被监控函数 参数中的信息并进行处理；

所述第一步含有以下步骤：

在SSDT映射表后添加所述扩展的监控函数，然后通过修改Windows调 用系统内核函数时的跳转偏移量，使被监控函数调用转向扩展的监控函数， 以达到监控所述Windows内核函数调用的目的；

所述的扩展SSDT映射表，是通过新建一张SSDT映射表，复制系统原 有SSDT表中所有内容到所述新的SSDT映射表中，然后在所述新的SSDT映 射表后加入所述扩展的监控函数的首地址和参数量信息，使用所述新的 SSDT映射表替换系统原有的SSDT表来实现的；

所述的扩展的监控函数，是通过提取所述被监控函数参数中的信息， 处理后跳转到系统原内核函数执行或者返回错误代码来实现的；

所述第三步含有以下步骤：

所述的修改所述Windows内核函数调用时的跳转偏移量，是通过对 Inline Hook系统的KiFastCallEntry函数来实现的。

2.如权利要求1所述的方法，其特征在于：所述的使被监控函数调用 转向扩展的监控函数，是通过所述Inline Hook系统KiFastCallEntry函 数后判断EAX寄存器中数值是否为被监控函数的偏移量，是则修改EAX寄 存器的值为相应监控函数的偏移量然后跳转到所述KiFastCallEntry函数 代码继续执行，否则直接跳转到所述KiFastCallEntry函数代码执行来实 现的。