[发明专利]对象保护方法及装置

权利要求书

1.一种对象保护方法，其特征在于，所述方法包括：

当执行非窗口对象的第一函数时，根据注册对象回调函数建立的所述第一函数与第一过滤函数的关联，跳转到所述第一过滤函数，所述第一过滤函数执行对所述非窗口对象的保护；

当执行窗口对象的第二函数时，根据多用户管理驱动文件中的钩子或所述第二函数中的钩子所建立的所述第二函数与第二过滤函数的关联，跳转到所述第二过滤函数，所述第二过滤函数执行对所述窗口对象的保护。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

预先通过注册对象回调函数建立所述第一函数与所述第一过滤函数的关联。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

预先为多用户管理驱动文件win32k.sys对ntoskrnl.exe的导入表中的添加系统服务表KeAddSystemServiceTable函数设置钩子，得到影子系统服务描述符表Shadow SSDT的基地址；

搜寻所述win32k.sys中任一函数边界的空操作NOP指令，用转移Jmp指令代替所述NOP指令，所述转移指令的目标地址为所述第二过滤函数的地址；

对所述Jmp指令的地址相对于所述win32k.sys的偏移值进行左移4位，再加上所述第二函数的参数个数，得到一个数值；

根据所述Shadow SSDT的基地址，在所述Shadow SSDT中用所述数值替换与所述第二函数对应的表项，建立所述第二函数与所述第二过滤函数的关联。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

预先将所述第二函数中的起始指令替换为目标地址为所述第二过滤函数的地址的转移Jmp指令，建立所述第二函数与所述第二过滤函数的关联。

5.根据权利要求1所述的方法，其特征在于，所述第一过滤函数执行对所述非窗口对象的保护，包括：

所述第一过滤函数判断所述非窗口对象是否为被保护的进程或线程；

如果是，则清除所述进程或线程的危险权限。

6.根据权利要求1所述的方法，其特征在于，所述第二过滤函数执行对所述窗口对象的保护，包括：

所述第二过滤函数判断所述窗口对象是否为被保护的窗口；

如果是，则过滤所述窗口的危险消息或不返回找到的所述窗口。

7.一种对象保护装置，其特征在于，所述装置包括：

第一处理模块，用于当执行非窗口对象的第一函数时，根据注册对象回调函数建立的所述第一函数与第一过滤函数的关联，跳转到所述第一过滤函数，所述第一过滤函数执行对所述非窗口对象的保护；

第二处理模块，用于当执行窗口对象的第二函数时，根据多用户管理驱动文件中的钩子或所述第二函数中的钩子所建立的所述第二函数与第二过滤函数的关联，跳转到所述第二过滤函数，所述第二过滤函数执行对所述窗口对象的保护。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一建立模块，用于预先通过注册对象回调函数建立所述第一函数与所述第一过滤函数的关联。

9.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第二建立模块，用于预先为多用户管理驱动文件win32k.sys对ntoskrnl.exe的导入表中的添加系统服务表KeAddSystemServiceTable函数设置钩子，得到影子系统服务描述符表Shadow SSDT的基地址；搜寻所述win32k.sys中任一函数边界的空操作NOP指令；用转移Jmp指令代替所述NOP指令，所述转移指令的目标地址为所述第二过滤函数的地址；对所述转移指令的地址相对于所述win32k.sys的偏移值进行左移4位，再加上所述第二函数的参数个数，得到一个数值；根据所述Shadow SSDT的基地址，在所述Shadow SSDT中用所述数值替换与所述第二函数对应的表项，建立所述第二函数与所述第二过滤函数的关联。

10.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第三建立模块，用于预先将所述第二函数中的起始指令替换为目标地址为所述第二过滤函数的地址的转移Jmp指令，建立所述第二函数与所述第二过滤函数的关联。