买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：中国科学院信息工程研究所

摘要：本发明公开了一种基于虚拟机自省技术的API动态监控方法及系统。本方法为：1读取并解析设定的监控策略配置文件，获取所需监控的API以及API所属的动态链接库DLL；2遍历已加载到系统内存的动态链接库，对已加载到内存中且需要监控的API进行监控；对未加载入系统内存的动态链接库进行监控，当其载入系统内后，确认是否是需要监控的动态链接库，如果是，则对该动态链接库内需要监控的API函数进行监控；3当所需监控API函数被触发后，对当前操作系统内存进行解析，提取出当前进程、进程ID、当前线程、线程ID、当前进程名、所调用API、所属动态链接库信息，并写入日志。

主权项：1.一种基于虚拟机自省技术的API动态监控方法，其步骤包括：1策略加载模块读取并解析设定的监控策略配置文件，获取所需监控的API以及API所属的动态链接库DLL；其中，策略加载模块读取并解析设定的监控策略配置文件的方法为：1-1读取监控策略配置文件，获取所需监控的API及所属的动态链接库DLL；1-2初始化需监控API与其地址及状态的第一哈希表，初始化所需监控的API与其所属的动态链接库DLL的第二哈希表；1-3根据当前操作系统内核文件ntoskrnl.exe对应的程序数据库文件PDB，获取操作系统进程链的头节点地址，进程链的每个节点对应一个EPROCESS结构体，每个EPROCESS结构体对应操作系统中的一个进程，EPROCESS结构体内部包含进程的进程ID、进程页目录表基址、进程名和磁盘文件存储位置信息；1-4在EPROCESS结构体中根据被监控操作系统EPROCESS成员偏移查找该EPROCESS结构体对应进程的PEB结构体；1-5从进程的PEB结构体按照被监控操作系统PEB成员偏移找到进程的PEB_LDR_DATA结构体；1-6遍历PEB_LDR_DATA双向链表，取出已映射到当前进程中的各DLL的虚拟基址；1-7对已映射入操作系统内存的DLL，查询所述第二哈希表寻找所需监控的API函数，然后根据程序数据库文件PDB获取API函数相对于DLL基址的偏移；将此偏移加上API函数所属DLL的虚拟基址，得到所需监控API函数的虚拟地址并对该API函数进行监控；1-8若监控成功，则更新该API函数的状态与地址；若不成功则保持原有状态不变；2遍历已加载到系统内存的动态链接库，调用监控设置模块对已加载到内存中且需要监控的API进行监控；对未加载入系统内存的动态链接库进行监控，当其载入系统内后，动态监控模块将其交于策略加载模块进行判断，确认是否是需要监控的动态链接库，如果是，则调用监控设置模块对该动态链接库内需要监控的API函数进行监控；3当所需监控API函数被触发后，语义转换模块对当前操作系统内存进行解析，提取出当前进程、进程ID、当前线程、线程ID、当前进程名、所调用API、所属动态链接库信息，并写入日志。

全文数据：

权利要求：

百度查询： 中国科学院信息工程研究所 一种基于虚拟机自省技术的API动态监控方法及系统