基于执行流完整性的Windows进程挂钩检测与实现

论文对windows系统用户层上传统的挂钩技术和检测方法进行了研究,分析了一种经过Mov指令进行跳转的用户层挂钩技术,提出了一种基于执行流完整性的进程挂钩检测方法。该方法通过对进程内存的执行流和进程对应可执行文件的执行流进行分析比较,验证进程内存执行流的完整性,进而在用户层上检测用户进程可能存在的钩子。最后与流行的Rootkit检测工具OSHI Un Hooker比较,本方法可有效检测出深层次和复杂的用户层钩子。