[发明专利]一种隐蔽定时任务的检测方法

权利要求书

1.一种隐蔽定时任务的检测方法，其特征在于，包括：

拦截系统启动监测程序；

添加合法的自启动进程进入白名单；

分配内存资源；

跟踪白名单进程的内存使用；

预测进程的内容使用是否合法，如果是，则继续跟踪预测，否则发出告警信息。

2.如权利要求1所述的一种隐蔽定时任务的检测方法，其特征在于，在主机/设备的拦截系统上安装的监测程序，包括：

①hook进程：接管启动过程；

②WL_Create进程：将“合法”的自动启动的进程添加进白名单，具体为对白名单中的进程访问的内存地址块进行记录；

Mem_Compare进程：对第n次申请内存时的起始地址进行预测，如果该地址位于一个正确的范围，则是合法的进程申请使用；否则是非法进程使用，发出告警信息。

3.如权利要求2所述的一种隐蔽定时任务的检测方法，其特征在于，在hook进程中，对于管理员“合法”创建的自动启动任务，加入到白名单中；只有位于白名单中的自启动任务，才会被允许创建进程，并为其分配内存资源，否则，不在白名单中的进程不能分配到内存资源进行。

4.如权利要求3所述的一种隐蔽定时任务的检测方法，其特征在于，加入hook进程的启动流程，具体包括：执行bin/login程序，弹出登录框；启动rc.local文件；执行hook进程；加载内核模块；加载Kernel实时操作系统；GRUB多操作系统启动引导；读取MBR主引导记录；加载BIOS。

5.如权利要求2所述的一种隐蔽定时任务的检测方法，其特征在于，在monitor程序中由Mem_Compare进程进行程序合法性预测，预测进程的内容使用是否合法，具体为使用比对计算公式进行进程合法性预测，比对计算公式为：其中，M＝Mem_n-1_start，即第n-1次申请内存的起始地址，Mem_n为第n次申请内存的起始地址，Mem_time为申请内存的次数，Log2ⁿ为纠偏系数；如果第n次申请内存的起始地址Mem_n_start与相等，则说明进程的内容使用合法，则继续进行跟踪预测，如果不相等，则说明进程的内容使用不合法，发出告警信息。

6.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于被处理器执行如权利要求1-5任一项所述的一种隐蔽定时任务的检测方法。