论文部分内容阅读
研究了内核模式下进程隐藏的原理和进程隐藏检测技术。在此基础上，提出了一种Windows操作系统内核模式下基于可执行路径分析（EPA）的隐藏进程检测技术。通过检查某些关键系统函数执行时所用的指令个数，来判断这些函数是否执行了多余的代码，从而断定系统被Windows Rootkit修改过了。利用该方法，可以检测出当前常规安全检测工具不能发现的系统恶意程序的进程隐藏。