[发明专利]在虚拟机外部机进行的windows隐藏进程检测方法

权利要求书

1.一种在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，包括以下步骤：

步骤1：通过虚拟机内客户机的FS寄存器找到Windows加载的所有内核模块构成的链表，从链表中找到内核模块ntoskrnl.exe；

步骤2：找出Windows操作系统内核空间维护的所有活动进程，根据所有活动进程寻找内核维护的活动进程EPROCESS链表上的所有活动进程；

步骤3：结合步骤2得到的活动进程EPROCESS链表上的所有活动进程检测系统中EPROCESS链中脱链的隐藏进程。

2.根据权利要求1所述的在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，所述的步骤2中，对于Windows下的每一个进程，系统都会给它分配一个excutive process block对其进行管理，所述excutive process 即EPROCESS，该结构包含和指向一系列其他相关的数据结构；所有的进程EPROCESS相互之间使用一对指针ActiveProcessLinks连接起来形成了一个循环双向链表。

3.根据权利要求1所述的在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，所述的步骤1找出内核模块的具体方法包括以下子步骤：

步骤1.1，,通过Windows系统中的段寄存器FS寄存器找到KdVersionBlock 结构体指针，所述FS寄存器中存储的地址指向Windows操作系统的内核控制区域结构；

步骤1.2，在内核控制区域结构中偏移为34处，找到KdVersionBlock 结构体，其对应的结构是_DBGKD_GET_VERSION64，所述结构体里面包含了Windows加载的所有内核模块构成的链表的表头PsLoadedModuleList；

步骤1.3，通过PsLoadedModuleList访问链表第一个结点，得到操作系统内核文件ntoskrnl.exe以及其加载到内存中的基地址。

4.根据权利要求1所述的在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，所述步骤2中，寻找内核维护的活动进程EPROCESS链的具体方法包括以下子步骤：

步骤2.1，分析ntoskrnl.exe的PE文件，在其.edata节的导出地址表中，得到PsInitialSystemProcess的相对虚拟地址，其中PsInitialSystemProcess 是一个指向系统中system进程EPROCESS的指针；

步骤2.2，根据规定的PE文件加载到内存中的公式，符号PsInitialSystemProcess在内存中所处的虚拟地址VA = RVA + BaseAddress；通过上述计算，在获得内核中的PsInitialSystemProcess符号的虚拟地址后，得到系统中的system进程；

步骤2.3，基于EPROCESS链是一个双向循环链表，找到了其中一个进程，顺着这条链即得到找到整条内核空间维护的EPROCESS进程链表上的所有活动进程。

5.根据权利要求1所述的在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，所述的步骤3中，检测系统中EPROCESS链中脱链的隐藏进程是基于遍历线程的方法来检测，具体包括以下子步骤：

步骤3.1，遍历Windows系统中的三条链表：WaitList，QueueListEntry和ThreadListEntry，找到所有活动的线程；

步骤3.2，通过这些枚举出的线程，反向确定它们所属的进程队列；

步骤3.3，最后通过多视图的方式比较步骤2中找到的EPROCESS链和本步骤找到的进程队列之间的差异，从而确定了隐藏进程；即通过比对不同的方式检测出的结果来判断是否有异常。

6.根据权利要求5所述的在虚拟机外部机进行的windows隐藏进程检测方法，其特征在于，所述的步骤3.1中，在每次遍历过程中，根据某一时刻的进程id使用了位图的方式记录。