反病毒引擎设计之即时监控篇-DelphiKTop.doc

反病毒引擎設計之即時監控篇  HYPERLINK /pub/article/c1247_a81772_p1.html /pub/article/c1247_a81772_p1.html 編者按：緒論《 HYPERLINK /pub/article/c322_a80439_p1.html \t _blank 反病毒引擎設計之虛擬機查毒篇》我們重點對虛擬機查毒進行了闡述。下面看看如何對病毒即時監控。 目錄  HYPERLINK /pub/article/c1247_a81772_p1.html \l 1#1 3.1即時監控概論 HYPERLINK /pub/article/c1247_a81772_p1.html \l 2#2 3.2病毒即時監控實現技術概論 HYPERLINK /pub/article/c1247_a81772_p1.html \l 3#3 3.3WIN9X下的病毒即時監控?? HYPERLINK /pub/article/c1247_a81772_p1.html \l 31#31 3.3.1實現技術詳解 HYPERLINK /pub/article/c1247_a81772_p1.html \l 32#32 ??3.3.2程式結構與流程?? HYPERLINK /pub/article/c1247_a81772_p1.html \l 33#33 3.3.3HOOKSYS.VXD逆向工程代碼剖析???? HYPERLINK /pub/article/c1247_a81772_p1.html \l 331#331 鉤子函數入口代碼???? HYPERLINK /pub/article/c1247_a81772_p1.html \l 332#332 取得當前進程名稱代碼???? HYPERLINK /pub/article/c1247_a81772_p1.html \l 333#333 通信部分代碼  HYPERLINK /pub/article/c1247_a81772_p1.html \l 4#4 3.4 WINNT/2000下的病毒即時監控 HYPERLINK /pub/article/c1247_a81772_p1.html \l 41#41 ??3.4.1實現技術詳解 HYPERLINK /pub/article/c1247_a81772_p1.html \l 42#42 ??3.4.2程式結構與流程?? HYPERLINK /pub/article/c1247_a81772_p1.html \l 43#43 3.4.3HOOKSYS.SYS逆向工程代碼剖析???? HYPERLINK /pub/article/c1247_a81772_p1.html \l 431#431 取得當前進程名稱代碼???? HYPERLINK /pub/article/c1247_a81772_p1.html \l 432#432 啟動鉤子函數工作代碼 ???? HYPERLINK /pub/article/c1247_a81772_p1.html \l 433#433 映射系統記憶體至用戶空間代碼 3．病毒即時監控 3.1即時監控概論 即時監控技術其實並非什麼新技術，早在DOS編程時代就有之。只不過那時人們沒有給這項技術冠以這樣專業的名字而已。早期在各大專院校機房中普遍使用的硬碟防寫軟體正是利用了即時監控技術。硬碟防寫軟體一般會將自身寫入硬碟零磁頭開始的幾個磁區（由0磁頭0柱面1扇最開始的64個磁區是保留的，DOS訪問不到）並修改原來的主引導記錄以使啟動時硬碟防寫程式可以取得控制權。引導時取得控制權的硬碟防寫程式會修改INT13H的中斷向量指向自身已駐留於記憶體中的鉤子代碼以便隨時攔截所有對磁片的操作。鉤子代碼的作用當然是很明顯的，它主要負責由判斷中斷入口參數，包括功能號，磁片目標位址等來決定該類型操作是否被允許，這樣就可以實現對某一特定區域的寫操作保護。後來又誕生了在此基礎之上進行改進了的磁片恢復卡之類的產品，其利用將寫操作重定向至目標區域外的臨時分區並保存磁片先前狀態等技術來實現允許寫入並可隨時恢復之功能。不管怎麼改進，這類產品的核心技術還是對磁片操作的即時監控。對此有興趣的朋友可參看高雲慶著《硬碟保護技術手冊》。DOS下還有許多通過駐留並截獲一些有用的中斷來實現某種特定目的的程式，我們通常稱之為TSR（終止並等待駐留terminate-and-stay-resident，此種程式不容易編好，需要大量的關於硬體和Dos中斷的知識，還要解決Dos重入，tsr程式重入等問題，搞