CN102314577A - 实时监控和保护注册表开机启动项方法 - Google Patents

实时监控和保护注册表开机启动项方法 Download PDF

Info

Publication number
CN102314577A
CN102314577A CN201110286490A CN201110286490A CN102314577A CN 102314577 A CN102314577 A CN 102314577A CN 201110286490 A CN201110286490 A CN 201110286490A CN 201110286490 A CN201110286490 A CN 201110286490A CN 102314577 A CN102314577 A CN 102314577A
Authority
CN
China
Prior art keywords
starting
item
revise
retouching operation
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201110286490A
Other languages
English (en)
Inventor
贺辉超
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Wondershare Software Co Ltd
Original Assignee
Shenzhen Wondershare Software Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Wondershare Software Co Ltd filed Critical Shenzhen Wondershare Software Co Ltd
Priority to CN201110286490A priority Critical patent/CN102314577A/zh
Publication of CN102314577A publication Critical patent/CN102314577A/zh
Pending legal-status Critical Current

Links

Images

Landscapes

  • Debugging And Monitoring (AREA)

Abstract

本发明涉及一种实时监控和保护注册表开机启动项方法及计算机,该方法包括:Hook注册表来修改API;拦截对所述注册表的修改操作;判断所述修改操作的键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API以完成修改操作;如果是,将所述修改操作对应的进程挂起,获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。本发明在有程序修改开机启动项时能实时通知用户,让用户决定是否同意修改。

Description

实时监控和保护注册表开机启动项方法
技术领域
本发明涉及计算机技术领域,具体是实时监控和保护注册表开机启动项方法。
背景技术
通过在Windows内核层HOOK(是Windows消息处理机制的一个平台)操作系统一些关键操作(如修改注册表键值)的API(Application ProgrammingInterface,应用程序编程接口)来监控操作系统及其他应用程序的活动,已经在计算机领域广泛使用。
API就是操作系统导出的函数,这些导出函数可以被其他程序调用来实现相应功能。HOOK API就是修改内核层操作系统API函数的入口地址,替换成在一个程序(一般是驱动程序)中的自定义函数的入口地址;当被HOOK的API被调用时,自定义函数会先被调用。在自定义函数中我们可以做一些操作与判断,再调用或不调用原系统API。
开机启动是Windows系统下一个非常常见的功能,它让一些应用程序随着Windows的启动而启动。用户将一些常用的程序加到开机启动项中,让这些常用的程序在开机时就运行,不用用户手动启动,非常方便。但这种便利也被一些应用程序滥用甚至恶意使用,它们将自己或其他程序加入到用户的开机启动项中,让自己或其他程序也开机启动。在多数情况下,这些被加入到用户开机启动项中的程序并不是用户真正想要的,同时过多的开机启动项也大大延长了用户Windows系统的启动时间,过多的程序在开机就启动也占用了系统大量资源,导致系统性能下降,给用户带来使用上的不便。
发明内容
本发明的主要目的是提供一种实时监控和保护注册表开机启动项方法,让在有程序修改开机启动项时,实时通知用户,让用户决定是否同意修改。在用户不确定是否同意修改时,为用户提供足够多的信息帮助用户决定。
本发明解决其技术问题所采用的技术方案是:
一种实时监控和保护注册表开机启动项方法,其包括:
Hook注册表来修改API;
拦截对所述注册表的修改操作;
判断所述修改操作的键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API以完成修改操作;
如果是,将所述修改操作对应的进程挂起,获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。
优选地,所述要修改的开机启动项的信息包括:要修改的开机启动项的进程名、所在文件夹、是否有数字签名和所属公司。
优选地,所述获取驱动并展示所述要修改的开机启动项的信息和要修改写入的开机启动项,之后,进一步包括:
接收用户的查询命令;
根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息。
优选地,所述根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息,之后,进一步包括:记录所述查询命令。
优选地,当用户同意该修改时,则调用所述注册表来修改API,完成修改操作;当用户不同意该修改时,则返回所述修改操作对应的修改的进程,并返回所述修改操作的失败信息。
本发明还提供一种计算机,其包括:
驱动程序模块,用于Hook注册表来修改API,并拦截对所述注册表的修改操作,判断所述修改操作的键值,判断所述键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API以完成修改操作,如果是,如果是,将所述修改操作对应的进程挂起;
应用程序模块,用于获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。
优选地,所述要修改的开机启动项的信息包括:要修改的开机启动项的进程名、所在文件夹、是否有数字签名和所属公司。
优选地,所述驱动程序模块,用于接收用户的查询命令,根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息。
优选地,所述驱动程序模块,还用于记录所述查询命令。
优选地,所述驱动程序模块,还用于当用户同意该修改时,则调用所述注册表来修改API,完成修改操作;当用户不同意该修改时,则返回所述修改操作对应的修改的进程,并返回所述修改操作的失败信息。
实施本发明的技术方案,具有以下有益效果:本发明提供的实时监控和保护注册表开机启动项方法,让在有程序修改开机启动项时,实时通知用户,让用户决定是否同意修改。在用户不确定是否同意修改时,为用户提供足够多的信息帮助用户决定。阻止开机启动项被恶意更改,防止系统被加入太多开机启动项而导致系统开机缓慢、性能下降。
附图说明
图1为本发明实施例提供的方法流程图;
图2为本发明实施例提供的方法的另一流程图;
图3为本发明实施例提供的计算机的结构示意图;
图4为本发明实施例提供的应用程序模块的结构示意图。
本发明目的的实现、功能特点及优点将结合实施例,参照附图做进一步说明。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白,以下结合附图及实施例,对本发明进行进一步详细说明。应当理解,此处所描述的具体实施例仅仅用以解释本发明,并不用于限定本发明。
本发明实施例提供一种实时监控和保护注册表开机启动项方法,如图1所示,包括步骤:
本发明实施例提供一种实时监控和保护注册表开机启动项方法,如图1所示,该方法包括步骤:
S110、Hook注册表来修改API;
S120、拦截对所述注册表的修改操作;
具体的,拦截到的是要修改开机启动项的信息及其要修改写入的开机启动项的信息;
S130、判断所述修改操作的键值,判断所述键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API、以完成修改操作,如果是,将所述修改操作对应的进程挂起;
S140、获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。该该步骤S140中,所述要修改的开机启动项的信息包括:要修改的开机启动项的进程名、所在文件夹、是否有数字签名和所属公司。让用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项选择同意此项修改(即:该要修改的进程)或拒绝此项修改。
在进一步的实施例中,在上述实施例的基础上,在所述步骤S140之后,如果用户不确定该如何选择时,如图2所示,该方法进一步包括步骤:
S150、接收用户的查询命令;
S160、根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息,以帮助用户根据该详细信息做进一步的判断,以同意此项修改或拒绝此项修改。在其他实施例中,在该步骤S160之后,该方法还包括:记录所述查询命令。在更进一步的实施例中,该方法还包括步骤:
S170、当用户同意该修改时,则调用所述注册表来修改API以完成修改操作;当用户不同意该修改时,则返回所述修改操作对应的修改的进程,并返回该修改操作失败信息。
另外,在其他实施例中,还可以包括记录上述步骤S120中的拦截过程,将该拦截过程保存在日志文件中,以方便用户查看。
上述实施例提供的实时监控和保护注册表开机启动项方法,让在有程序修改开机启动项时,实时通知用户,让用户决定是否同意修改。在用户不确定是否同意修改时,为用户提供足够多的信息帮助用户决定。阻止开机启动项被恶意更改,防止系统被加入太多开机启动项而导致系统开机缓慢、性能下降。
本发明实施例还提供一种计算机,如图3所示,该计算机包括:
驱动程序模块210,用于Hook注册表来修改API,并拦截对所述注册表的修改操作,判断所述修改操作的键值,判断所述键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API以完成修改操作,如果是,如果是,将所述修改操作对应的进程挂起,并通知应用程序模块220;
应用程序模块220,用于获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。所述要修改的开机启动项的信息包括:要修改的开机启动项的进程名、所在文件夹、是否有数字签名、所属公司和要修改写入的开机启动项。
更为具体的实施例中,如图4所示,该应用程序模块220还包括有用户界面通信模块、驱动程序模块、进程信息查询模块以及展示模块,即应用程序模块220的功能可以通过上述用户界面通信模块、驱动程序模块、进程信息查询模块以及展示模块来实现,具体地:
用户界面通信模块提供用户操作界面,负责加载驱动程序模块并与其通信。
驱动程序模块用于驱动负责HOOK API并拦截修改开机启动项键值的操作,并通知应用程序,再根据返回的用户选择信息进行下一步操作。
进程信息查询模块负责将拦截到所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项发送给进程后台服务器,获取更详细信息。
展示模块将驱动层拦截到的所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项展示给用户,并让用户选择,选择当前操作是阻止执行还是禁止执行该修改操作。
进程信息后台服务器维护与收集尽可能多的进程信息,同时向进程信息查询模块提供查询服务。
在其他的实施例中,在上述实施例基础上,进一步的,所述驱动程序模块210,还用于接收用户的查询命令,根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息。
所述驱动程序模块210,还用于记录所述查询命令。
在其他的实施例中,在上述实施例基础上,进一步的,所述驱动程序模块210,还用于当用户同意该修改时,则调用所述注册表来修改API,完成修改操作;当用户不同意该修改时,则返回所述修改操作对应的修改的进程,并返回所述修改操作的失败信息。
上述实施例提供的计算机,让在有程序修改开机启动项时,实时通知用户,让用户决定是否同意修改。在用户不确定是否同意修改时,为用户提供足够多的信息帮助用户决定。阻止开机启动项被恶意更改,防止系统被加入太多开机启动项而导致系统开机缓慢、性能下降。
以上仅为本发明的较佳实施例而已,并不用以限制本发明,凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等,均应包含在本发明的保护范围之内。

Claims (10)

1.一种实时监控和保护注册表开机启动项方法,其特征在于,包括:
Hook注册表来修改API;
拦截对所述注册表的修改操作;
判断所述修改操作的键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API以完成修改操作;
如果是,将所述修改操作对应的进程挂起,获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。
2.如权利要求1所述的方法,其特征在于,所述要修改的开机启动项的信息包括:要修改的开机启动项的进程名、所在文件夹、是否有数字签名和所属公司。
3.如权利要求2所述的方法,其特征在于,所述获取驱动并展示所述要修改的开机启动项的信息和要修改写入的开机启动项,之后,进一步包括:
接收用户的查询命令;
根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息。
4.如权利要求3所述的方法,其特征在于,所述根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息,之后,进一步包括:记录所述查询命令。
5.如权利要求3所述的方法,其特征在于,当用户同意该修改时,则调用所述注册表来修改API,完成修改操作;当用户不同意该修改时,则返回所述修改操作对应的修改的进程,并返回所述修改操作的失败信息。
6.一种计算机,其特征在于,包括:
驱动程序模块,用于Hook注册表来修改API,并拦截对所述注册表的修改操作,判断所述修改操作的键值,判断所述键值是否是开机启动项的键值,如果不是,调用所述注册表来修改API以完成修改操作,如果是,如果是,将所述修改操作对应的进程挂起;
应用程序模块,用于获取驱动并展示所述修改操作要修改的开机启动项的信息和要修改写入的开机启动项,以便于用户根据所述要修改的开机启动项的信息和要修改写入的开机启动项同意或者拒绝所述修改操作。
7.如权利要求6所述的计算机,其特征在于,所述要修改的开机启动项的信息包括:要修改的开机启动项的进程名、所在文件夹、是否有数字签名和所属公司。
8.如权利要求7所述的计算机,其特征在于,所述驱动程序模块,用于接收用户的查询命令,根据所述查询命令通过进程后台服务器查询并获取所述要修改的开机启动项的详细信息。
9.如权利要求8所述的计算机,其特征在于,所述驱动程序模块,还用于记录所述查询命令。
10.如权利要求8所述的计算机,其特征在于,所述驱动程序模块,还用于当用户同意该修改时,则调用所述注册表来修改API,完成修改操作;当用户不同意该修改时,则返回所述修改操作对应的修改的进程,并返回所述修改操作的失败信息。
CN201110286490A 2011-09-23 2011-09-23 实时监控和保护注册表开机启动项方法 Pending CN102314577A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201110286490A CN102314577A (zh) 2011-09-23 2011-09-23 实时监控和保护注册表开机启动项方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201110286490A CN102314577A (zh) 2011-09-23 2011-09-23 实时监控和保护注册表开机启动项方法

Publications (1)

Publication Number Publication Date
CN102314577A true CN102314577A (zh) 2012-01-11

Family

ID=45427734

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201110286490A Pending CN102314577A (zh) 2011-09-23 2011-09-23 实时监控和保护注册表开机启动项方法

Country Status (1)

Country Link
CN (1) CN102314577A (zh)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102779255A (zh) * 2012-07-16 2012-11-14 腾讯科技(深圳)有限公司 判断恶意程序的方法及装置
CN104050418A (zh) * 2013-03-13 2014-09-17 阿里巴巴集团控股有限公司 一种网页浏览器文本背景安全打印的方法和装置
CN104166575A (zh) * 2014-08-22 2014-11-26 珠海市君天电子科技有限公司 启动项处理结果的判定方法及装置
CN104572199A (zh) * 2014-12-31 2015-04-29 北京奇虎科技有限公司 一种禁止启动项启动的方法和装置
CN105590053A (zh) * 2015-12-18 2016-05-18 北京奇虎科技有限公司 启动项未知风险的检测方法及装置
CN105630532A (zh) * 2014-12-01 2016-06-01 秦江波 电脑程序的开机启动方法
CN105843657A (zh) * 2016-04-22 2016-08-10 北京奇虎科技有限公司 开机启动项的控制方法及装置
CN105868634A (zh) * 2016-04-22 2016-08-17 北京金山安全软件有限公司 一种拦截方法及装置
CN106127031A (zh) * 2016-06-23 2016-11-16 北京金山安全软件有限公司 一种保护进程的方法、装置及电子设备
CN103902883B (zh) * 2013-09-24 2017-01-11 北京安天电子设备有限公司 一种基于驱动级程序的apt预防方法及系统
CN108287779A (zh) * 2018-01-24 2018-07-17 郑州云海信息技术有限公司 一种Windows启动项监控方法及系统
CN110262840A (zh) * 2019-06-17 2019-09-20 Oppo广东移动通信有限公司 设备启动监控方法及相关产品

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030137682A1 (en) * 2002-01-21 2003-07-24 Katsuya Sakai Image forming apparatus, controlling method, and control program
US20080229327A1 (en) * 2007-03-16 2008-09-18 Ricoh Company, Limited Information processing apparatus, information processing mehtod and computer program product
CN101539976A (zh) * 2009-04-23 2009-09-23 南京大学 二进制程序内存腐烂攻击的实时检测系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030137682A1 (en) * 2002-01-21 2003-07-24 Katsuya Sakai Image forming apparatus, controlling method, and control program
US20080229327A1 (en) * 2007-03-16 2008-09-18 Ricoh Company, Limited Information processing apparatus, information processing mehtod and computer program product
CN101539976A (zh) * 2009-04-23 2009-09-23 南京大学 二进制程序内存腐烂攻击的实时检测系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
SU30MKK318: "一个未知的系统启动项正在装入", 《HTTP://ZHIDAO.COM/QUESTION/91659452.HTML》 *
李珂泂等: "恶意脚本程序研究以及基于API HOOK的注册表监控技术", 《计算机应用》 *

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102779255B (zh) * 2012-07-16 2014-11-12 腾讯科技(深圳)有限公司 判断恶意程序的方法及装置
US9158918B2 (en) 2012-07-16 2015-10-13 Tencent Technology (Shenzhen) Company Limited Method and apparatus for determining malicious program
CN102779255A (zh) * 2012-07-16 2012-11-14 腾讯科技(深圳)有限公司 判断恶意程序的方法及装置
CN104050418A (zh) * 2013-03-13 2014-09-17 阿里巴巴集团控股有限公司 一种网页浏览器文本背景安全打印的方法和装置
CN103902883B (zh) * 2013-09-24 2017-01-11 北京安天电子设备有限公司 一种基于驱动级程序的apt预防方法及系统
CN104166575A (zh) * 2014-08-22 2014-11-26 珠海市君天电子科技有限公司 启动项处理结果的判定方法及装置
CN104166575B (zh) * 2014-08-22 2018-05-08 珠海市君天电子科技有限公司 启动项处理结果的判定方法及装置
CN105630532A (zh) * 2014-12-01 2016-06-01 秦江波 电脑程序的开机启动方法
CN104572199B (zh) * 2014-12-31 2018-03-02 北京奇虎科技有限公司 一种禁止启动项启动的方法和装置
CN104572199A (zh) * 2014-12-31 2015-04-29 北京奇虎科技有限公司 一种禁止启动项启动的方法和装置
CN105590053A (zh) * 2015-12-18 2016-05-18 北京奇虎科技有限公司 启动项未知风险的检测方法及装置
CN105590053B (zh) * 2015-12-18 2018-11-09 北京奇虎科技有限公司 启动项未知风险的检测方法及装置
CN105868634A (zh) * 2016-04-22 2016-08-17 北京金山安全软件有限公司 一种拦截方法及装置
CN105843657A (zh) * 2016-04-22 2016-08-10 北京奇虎科技有限公司 开机启动项的控制方法及装置
CN106127031A (zh) * 2016-06-23 2016-11-16 北京金山安全软件有限公司 一种保护进程的方法、装置及电子设备
CN108287779A (zh) * 2018-01-24 2018-07-17 郑州云海信息技术有限公司 一种Windows启动项监控方法及系统
CN108287779B (zh) * 2018-01-24 2021-07-27 郑州云海信息技术有限公司 一种Windows启动项监控方法及系统
CN110262840A (zh) * 2019-06-17 2019-09-20 Oppo广东移动通信有限公司 设备启动监控方法及相关产品

Similar Documents

Publication Publication Date Title
CN102314577A (zh) 实时监控和保护注册表开机启动项方法
US8751281B2 (en) Method for acquiring by a session manager a list of active sessions
CN100419684C (zh) 为软件中的程序模块创建快捷方式及启动方法
CN108512695A (zh) 监控应用卡顿的方法及装置
CN107146074B (zh) 工单任务协同处理方法、装置及计算机可读存储介质
CN103809967A (zh) 应用和数据去除系统
CN102541558B (zh) 在基于Android内核的电视系统中集成Android应用系统的方法
CN107832105B (zh) 一种应用程序启动方法、启动装置及计算机可读存储介质
CN106843644B (zh) 一种建立桌面图标的方法和装置
CN103207965A (zh) 一种虚拟环境下License认证的方法及装置
CN106843871B (zh) 一种领域模型框架的设计系统及设计方法
CN111694660A (zh) 云手机数据发送方法、计算机装置和存储介质
CN104699503A (zh) 一种替换安卓系统中函数的执行逻辑的方法及装置
EP1785922A1 (en) A system for automatically reassigning an order confirmation in response to an incoming order, a computer implemented method, a user terminal and a computer readable storage medium
CN107911565A (zh) 呼叫控制方法、终端、设备以及计算机可读存储介质
CN111078424A (zh) 一种信息交互方法、装置、计算机设备和存储介质
CN105447384B (zh) 一种反监控的方法、系统及移动终端
CN113313353A (zh) 一种持续交付流水线管理方法及装置
CN108334384B (zh) 基于状态机的4g模块管理方法
CN102866895B (zh) 一种快速定位功能定制入口的方法
US20100285842A1 (en) Apparatus and method for power saving using predictive polling in a portable terminal
CN113360251B (zh) 智能合约执行与跨合约调用方法、装置及存储介质
CN101751260B (zh) 一种基于动态标签的业务对象持久化处理方法
CN101287243B (zh) 一种基于Windows Mobile平台的双卡识别方法及系统
CN107729088A (zh) 一种应用程序管理方法和系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C53 Correction of patent of invention or patent application
CB02 Change of applicant information

Address after: Room 9, block A901 building on the north side of a building 518000 North TCL A of Guangdong Province, Shenzhen city Nanshan District South Road West ten high new technology

Applicant after: Shenzhen Wondershare Information Technology Co., Ltd.

Address before: Room 9, block A901 building on the north side of a building 518000 North TCL A of Guangdong Province, Shenzhen city Nanshan District South Road West ten high new technology

Applicant before: Shenzhen Wondershare Software Co., Ltd.

COR Change of bibliographic data

Free format text: CORRECT: APPLICANT; FROM: SHENZHEN WONDERSHARE SOFTWARE CO., LTD. TO: SHENZHEN WONDERSHARE INFORMATION TECHNOLOGY CO., LTD.

C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20120111