[发明专利]一种视窗操作系统下基于内核的防硬盘被格式化的方法

说明书

本发明公开了一种视窗操作系统下基于内核的防硬盘被格式化的方法，包括以下步骤：创建和设置所述视窗操作系统的Image回调函数，以监视所述视窗操作系统应用层加载的所有进程及其模块，并获得每个所述进程及其模块的信息；从所述进程及其模块的信息中获取结构体RTL_USER_PROCESS_PARAMETERS；从所述结构体RTL_USER_PROCESS_PARAMETERS中获取成员CommandLine的字符串值；比较所述字符串值，判断其中是否存在执行格式化硬盘命令对应的特定字符串：如有，则用空格替换所述特定字符串后，交还该结构体给该进程，以确保该进程不格式化硬盘。本发明属于ring 0层，无进程也无DLL存在，不易被卸载，因而更加安全可靠。

技术领域

本发明属于软件领域，尤其涉及一种视窗操作系统下基于内核的防硬盘被格式化的方法。

背景技术

硬盘格式化是一种清除电脑中数据的重要手段，其对于数据的危害也最大。一旦格式化，通常很难恢复数据或需要付出较多的时间和费用才能部分恢复数据。而执行格式化这个指令的门槛却非常低，普通的用户通过几个简单的操作即可进行格式化操作。这使得在数据日益重要的今天，如何防范硬盘被误格式化，或员工离职时恶意操作或者黑客进入后格式化硬盘，这显得日益重要。

发明内容

为了克服上述问题，本发明提供一种安全可靠的视窗操作系统下基于内核的防硬盘被格式化的方法。

本发明的技术方案是提供一种视窗操作系统下基于内核的防硬盘被格式化的方法，其是一种在所述视窗操作系统的ring0级下执行的方法，其包括以下步骤：

创建和设置所述视窗操作系统的Image回调函数，以监视所述视窗操作系统应用层加载的所有进程及其模块，并获得每个所述进程及其模块的信息；从所述进程及其模块的信息中获取结构体RTL_USER_PROCESS_PARAMETERS；

从所述结构体RTL_USER_PROCESS_PARAMETERS中获取所述结构体RTL_USER_PROCESS_PARAMETERS的成员CommandLine的字符串值；

比较所述字符串值，判断其中是否存在执行格式化硬盘命令对应的特定字符串：

如有，则用空格替换所述特定字符串后，交还该结构体给该进程，以确保该进程不格式化硬盘；

如无，则直接返回以使得该进程继续执行。

优选的，所述特定字符串为c:\windows\system32\dllhost.exe/processid:{。

优选的，从所述Image回调中的返回参数中获取其对应的结构体RTL_USER_PROCESS_PARAMETERS的方法为：

调用系统函数PsGetProcessWow64Process：

如返回值正常，则获取其中的所述结构体RTL_USER_PROCESS_PARAMETERS；

如返回值异常，则调用系统函数PsGetProcessPeb，如返回值正常，则获取其中的所述结构体RTL_USER_PROCESS_PARAMETERS。

优选的，从所述Image回调中的返回参数中获取其对应的结构体RTL_USER_PROCESS_PARAMETERS的方法为：

调用系统函数PsGetProcessPeb：

如返回值正常，则获取其中的所述结构体RTL_USER_PROCESS_PARAMETERS；

如返回值异常，则调用系统函数PsGetProcessWow64Process，如返回值正常，则获取其中的所述结构体RTL_USER_PROCESS_PARAMETERS。