[发明专利]一种杀死受保护的恶意计算机进程的系统及方法

说明书

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种杀死受保护的恶意计算机进程的系统及方法。

背景技术

随着Windows系统内核技术细节的日益公开，越来越多的木马病毒程序也开始使用内核驱动程序来保护自身的进程。这一类进程，在win32应用层使用任务管理器是无法杀掉的。受内核驱动程序保护的恶意进程，也只能通过内核驱动技术来杀死。

在Windows XP以后的视窗系统中，提供了几个系统工具来管理系统中的进程，常见的有任务管理器、taskkill.exe、net.exe等，以管理员身份登录系统后，就能用这些工具来对系统的进程进行管理，例如对各种进程进行“结束任务”操作，也即是杀死进程。但net.exe工具只能结束系统服务进程，Windows系统自带的任务管理器和taskkill.exe，只能杀死普通进程，对于受保护的恶意进程，却无能为力。

Windows2000以后的视窗系统中，提供了一个ntsd.exe程序，该程序是一个系统调试工具，功能比较强大。使用适当的命令行参数，能杀死系统中绝大多数的进程，其杀进程能力比任务管理器、taskkill.exe和net.exe要高。但ntsd.exe系统调试工具仍然不能杀死受内核驱动保护的进程。

发明内容

本发明的目的是为了克服现有技术的缺陷，提供一种杀死受保护的恶意计算机进程的系统及方法，通过该发明便于阻止内核中的恶意进程对计算机进行攻击。

一种杀死受保护的恶意计算机进程的系统，是通过Win32应用程序和驱动程序两个模块来实现的。

Win32应用程序模块包括：

向进程窗口发WM_CLOSE消息-向目标进程窗口发送WM_CLOSE消息使其终止运行；

注入代码调用ExitProcess函数—向目标进程注入代码并调用ExitProcess函数使其终止运行；

调用TerminateProcess函数—调用Windows系统提供的API函数TerminateProcess来使目标进程退出；

与内核驱动程序通信—向内核驱动程序发送目标进程信息并接收驱动程序的反馈信息；

运行日志及报告—记录程序的运行日志并生成报告以供用户阅读；

内核驱动程序模块包括：

与Win32应用程序通信—负责接收Win32应用程序传入的目标进程的ID，并且在操作结束后再将结果反馈给Win32应用程序；

调用NtTerminateProcess函数—使用NtTerminateProcess函数来杀死进程；

调用PspTerminateProcess函数—使用更底层的内核函数PspTerminateProcess来杀死进程；

将进程代码的内存页面清0—使用将存放有目标进程运行代码的内存页面清0的方法来杀死进程。

如果完成了对目标进程的杀死操作，就立刻反馈给日志及报告模块，不必再往下执行了。

如果是在驱动中完成的杀进程操作，那么还需要通过通信模块将信息反馈到Win32应用层。

本发明还提供了一种杀死受保护的恶意计算机进程的方法来进行杀死恶意进程。

本发明技术方案带来的有益效果：通过本发明可灭杀各种顽固的木马病毒进程。由于使用了内核驱动程序与Win32应用程序相结合的技术，并尝试多种杀进程的方法，使得各种类型的恶意进程基本上都能杀死，从而阻止恶意程序对计算机的攻击及数据安全，特别是能杀死内核驱动程序保护的恶意进程。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是本发明的系统结构示意图；

图2是本发明的方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明提供了一种杀死受保护的恶意计算机进程的系统，该系统是通过Win32应用程序和驱动程序两个模块来实现的，两个模块的功能结构图如图1所示。