论文部分内容阅读
针对目前基于隐藏的进程保护方法容易被Rootkit检测工具检测出而失效的情况，提出了一种基于直接内核对象操作（DKOM）的进程伪装保护方法．该方法将进程隐藏方法中较为常用的DKOM技术与传统的伪装技术相结合，通过直接修改操作系统内核空间中存储进程相关信息的数据结构，使进程在任务管理器中显示为一些系统进程，以此达到保护进程的目的．进程信息的修改涉及内核的操作，由Windows驱动实现，该驱动兼容Windows2000以上多个版本的操作系统，具有广泛适用性．实验结果显示，经过该方法修改后，进程查看工具查看到的