CN105844158A - 一种保护窗口的方法、装置和电子设备 - Google Patents

Abstract

本发明的实施例公开一种保护窗口的方法、装置和电子设备，该方法包括：利用钩子函数挂钩用户发送输入函数，当所述用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名；如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据所述当前操作鼠标进程名获取当前操作鼠标进程路径；根据所述当前操作鼠标进程路径调用所述反病毒软件的文件查杀接口，获取对应的文件状态，若所述文件状态为未知文件或者危险文件，拒绝调用所述用户发送输入函数。通过本发明的实施例，可以防止恶意程序利用虚拟鼠标点击退出反病毒软件。

Description

一种保护窗口的方法、装置和电子设备

技术领域

本发明涉及系统安全技术领域，尤其涉及一种保护窗口的方法、装置和电子设备。

背景技术

随着互联网技术的不断发展，病毒木马等恶意程序层出不穷。反病毒软件可以用于消除电脑病毒、木马和恶意程序等威胁，保护系统安全。但是当反病毒软件正常在系统中运行时，才能保护系统不被恶意程序利用，保护用户财产安全。目前，用户可以通过鼠标点击退出反病毒软件，只要用户退出了反病毒软件，系统就失去了保护。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题，如果恶意程序利用虚拟鼠标点击退出反病毒软件，那么恶意程序就可以突破反病毒软件的防御系统，破坏系统安全，影响了用户的使用体验。

发明内容

本发明旨在至少解决上述技术问题之一。

为此，本发明实施例提供一种保护窗口的、装置及电子设备，能够防止恶意程序利用虚拟鼠标点击退出反病毒软件，增强反病毒软件的自身防御，有利于维护系统的安全，提升用户的使用体验。

第一方面，本发明实施例提供一种保护窗口的方法，包括：利用钩子函数挂钩用户发送输入函数，当所述用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名；

如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据所述当前操作鼠标进程名获取当前操作鼠标进程路径；

根据所述当前操作鼠标进程路径调用所述反病毒软件的文件查杀接口，获 取对应的文件状态，若所述文件状态为未知文件或者危险文件，拒绝调用所述用户发送输入函数。

第二方面，本发明实施例提供一种保护窗口的装置，包括：挂钩模块、进程名获取模块、路径获取模块和处理模块；所述挂钩模块，用于利用钩子函数挂钩用户发送输入函数；所述进程名获取模块，用于当所述用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名；所述路径获取模块，用于如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据所述当前操作鼠标进程名获取当前操作鼠标进程路径；所述处理模块，用于根据所述当前操作鼠标进程路径调用所述反病毒软件的文件查杀接口，获取对应的文件的状态，若所述文件状态为未知文件或者危险文件，拒绝调用所述用户发送输入函数。

第三方面，本发明实施例提供一种保护窗口的电子设备，包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一所述的保护窗口的方法

本发明实施例的保护窗口的方法、装置和电子设备，能够获取鼠标操作并拦截恶意进程对反病毒软件的窗口进行的鼠标操作，克服了防止恶意程序利用虚拟鼠标点击退出反病毒软件的缺陷，增强反病毒软件的自身防御，有利于维护系统的安全，提升用户的使用体验。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述 中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为根据本发明的实施例一的保护窗口的方法流程图；

图2为根据本发明的实施例二的保护的装置结构示意图；

图3为本发明电子设备一个实施例的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量，由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，“多个”的含义是两个或两个以上，除非另有明确具体的限定。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按照基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

实施例一

图1是本发明的实施例一的保护窗口的方法的流程图，如图1所示，本实施例的方法可以包括：

步骤101，利用钩子函数挂钩用户发送输入函数，当用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名。

本实施例中，用户发送输入函数为NtUserSendInput内核函数，鼠标的点击动作会调用到NtUserSendInput内核函数；

本实施例中，利用钩子函数挂钩用户发送输入函数可以为：在SSDT(System Services Descriptor Table，系统服务描述符表)中，查找到NtUserSendInput内核函数的函数地址，使用钩子函数的函数地址替换SSDT中的NtUserSendInput内核函数的函数地址，从而实现了利用钩子函数挂钩NtUserSendInput内核函数，使得任意进程操作鼠标都会进入钩子函数，可以在此钩子函数中实现防止虚拟鼠标操作窗口的方法，达到防止恶意程序利用虚拟鼠标操作反病毒软件的目的；

本实施例中，获取顶层窗口进程名具体包括：获取顶层窗口句柄，根据获取到的顶层窗口句柄获取顶层窗口进程识别号；

例如，调用获取顶层窗口函数(例如，NtUserGetForegroundWindow内核函数)获取顶层窗口句柄，以顶层窗口句柄为参数调用查询窗口函数(例如NtUserQueryWindow内核函数)获取顶层窗口进程名；

例如，调用获取当前进程名函数(例如PsGetCurrentProcessID内核函数)获取当前操作鼠标的进程名。

步骤102，如果根据获取到的当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据当前操作鼠标进程名获取当前操作鼠标进程路径。

本实施例中，如果根据当前操作鼠标进程名和顶层窗口进程名判断出不为虚拟鼠标操作反病毒软件的窗口，允许所述用户发送输入函数被调用；

本实施例中，该步骤102可以具体包括：

步骤102-A1，如果当前操作鼠标的进程名和顶层窗口进程名不匹配，根据顶层窗口进程名获取顶层窗口进程路径；

本实施例中，如果顶层窗口进程名和当前操作鼠标名匹配则确定鼠标操作为用户使用鼠标点击窗口，否则确定鼠标操作不为用户使用鼠标点击窗口；如果所述当前操作鼠标的进程名和顶层窗口进程名匹配，允许所述用户发送输入函数被调用；

具体地，如果顶层窗口进程名和当前操作鼠标进程名相同，则确定顶层窗 口进程名和当前操作鼠标进程名匹配，则确定当前是自身进程在操作自身的窗口，即用户使用鼠标点击窗口，此时可以允许用户发送输入函数(NtUserSendInput内核函数)被调用，即不拦截该鼠标操作；若顶层窗口进程名和当前操作鼠标进程名不同，则确定顶层窗口进程名和当前操作鼠标进程名不匹配，则确定该鼠标操作为不同进程间的操作，例如，如a进程调用鼠标操作了b进程的窗口。

例如，如果所述当前操作鼠标的进程名和顶层窗口进程名不匹配，以顶层窗口进程名为参数调用查询系统信息函数(例如ZwQuerySystemInformation内核函数)获取顶层窗口进程路径。

步骤102-A2，如果顶层窗口进程路径与预设目录中的路径匹配，则根据当前操作鼠标进程名获取当前操作鼠标进程路径；

本实施例中，预设目录为反病毒软件目录，从注册表路径读取反病毒软件目录，如果顶层窗口进程路径与预设目录中的路径匹配，则确定鼠标点击的窗口为反病毒软件目录下的进程窗口，否则确定鼠标点击的窗口不为反病毒软件目录下的进程窗口；如果顶层窗口进程路径与预设目录中的路径不匹配，允许用户发送输入函数被调用；

具体地，如果反病毒软件目录中包括顶层窗口进程路径，则确定顶层窗口进程路径和反病毒软件目录匹配，则确定鼠标点击的窗口为反病毒软件目录下的进程窗口；若反病毒软件目录中不包括顶层窗口进程路径，则确定顶层窗口进程路径和反病毒软件目录不匹配，则确定鼠标点击的窗口不为反病毒软件目录下的进程窗口，此时可以允许用户发送输入函数(NtUserSendInput内核函数)被调用，即不拦截该鼠标操作。

例如，如果所述顶层窗口进程路径与预设目录中的路径匹配，则以当前操作鼠标进程名为参数调用查询系统信息函数(ZwQuerySystemInformation内核函数)获取当前操作鼠标进程路径；

除此之外，本实施例中，步骤102还可以具体包括：

步骤102-B1，根据顶层窗口进程名获取顶层窗口进程路径；

步骤102-B2，如果顶层窗口进程路径与预设目录中的路径匹配并且当前操作鼠标的进程名和顶层窗口进程名不匹配，则根据当前操作鼠标进程名获取当前操作鼠标进程路径。

本实施例中，如果当前操作鼠标的进程名和顶层窗口进程名匹配，或顶层窗口进程路径与预设目录中的路径不匹配，允许用户发送输入函数被调用。

步骤103，根据当前操作鼠标进程路径调用反病毒软件的文件查杀接口，获取文件的状态，若文件的状态为未知文件或者危险文件，拒绝调用用户发送输入函数。

本实施例中，当前操作鼠标进程路径是当前操作鼠标进程的一个可执行文件路径，以该文件路径为参数，调用反病毒软件的文件查杀接口，可以获取到该文件的状态；

例如，如果获取到的文件的状态为灰(即未知文件)或者红(即危险文件)，则确定恶意进程在操作反病毒软件的窗口，拒绝调用用户发送输入函数，即实现拦截恶意进程利用虚拟鼠标点击毒霸窗口的动作；

如果文件状态为白(即安全文件)，允许所述用户发送输入函数被调用。

本发明实施例的防止虚拟鼠标操作窗口的方法，利用钩子函数获取鼠标操作并拦截恶意进程对反病毒软件的窗口进行的鼠标操作，克服了防止恶意程序利用虚拟鼠标点击退出反病毒软件的缺陷，增强反病毒软件的自身防御，有利于维护系统的安全，提升用户的使用体验。

实施例二

图2是本发明的实施例二的防止虚拟鼠标操作窗口的装置的结构示意图，如图2所示，本实施例的装置包括：挂钩模块201、进程名获取模块202、路径获取模块203和处理模块204；

挂钩模块201，用于利用钩子函数挂钩用户发送输入函数；

本实施例中，用户发送输入函数为NtUserSendInput内核函数，鼠标的点击动作会调用到NtUserSendInput内核函数；

挂钩模块201包括查找单元和替换单元；

查找单元，用于在系统服务描述符表中，查找到用户发送输入函数地址；

替换单元，用于使用钩子函数地址，替换查找到的系统服务描述符表中的用户发送输入函数地址。

进程名获取模块202，用于当用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名；

进程名获取模块202包括第一获取单元和第二获取单元；

第一获取单元，用于获取顶层窗口句柄，根据顶层窗口句柄获取所述顶层窗口进程识别号；

第二获取单元，用于获取当前操作鼠标进程识别号。

例如，第一获取子单元调用获取顶层窗口函数(例如，NtUserGetForegroundWindow内核函数)获取顶层窗口句柄，以顶层窗口句柄为参数调用查询窗口函数(例如NtUserQueryWindow内核函数)获取顶层窗口进程名；

例如，第二获取子单元调用获取当前进程名函数(例如PsGetCurrentProcessID内核函数)获取当前操作鼠标的进程名。

路径获取模块203，用于如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据所述当前操作鼠标进程名获取当前操作鼠标进程路径；

路径获取模块203，还用于如果根据当前操作鼠标进程名和顶层窗口进程名判断出不为虚拟鼠标操作反病毒软件的窗口，允许所述用户发送输入函数被调用；

路径获取模块203可以具体包括：第一路径获取单元和第二路径获取单元；

第一路径获取单元，用于如果当前操作鼠标的进程名和顶层窗口进程名不匹配，根据顶层窗口进程名获取顶层窗口进程路径；

第一路径获取单元，还用于如果当前操作鼠标的进程名和顶层窗口进程名匹配，允许用户发送输入函数被调用；

本实施例中，如果顶层窗口进程名和当前操作鼠标名匹配则确定鼠标操作 为用户使用鼠标点击窗口，否则确定鼠标操作不为用户使用鼠标点击窗口；

具体地，如果顶层窗口进程名和当前操作鼠标进程名相同，则确定顶层窗口进程名和当前操作鼠标进程名匹配，则确定当前是自身进程在操作自身的窗口，即用户使用鼠标点击窗口，此时可以允许用户发送输入函数(NtUserSendInput内核函数)被调用，即不拦截该鼠标操作；若顶层窗口进程名和当前操作鼠标进程名不同，则确定顶层窗口进程名和当前操作鼠标进程名不匹配，则确定该鼠标操作为不同进程间的操作，例如，如a进程调用鼠标操作了b进程的窗口。

例如，如果所述当前操作鼠标的进程名和顶层窗口进程名不匹配，以顶层窗口进程名为参数调用查询系统信息函数(例如ZwQuerySystemInformation内核函数)获取顶层窗口进程路径。

第二路径获取单元，用于如果顶层窗口进程路径与预设目录中的路径匹配，则根据当前操作鼠标进程名获取当前操作鼠标进程路径；

第二路径获取单元，还用于如果顶层窗口进程路径与预设目录中的路径不匹配，允许用户发送输入函数被调用。

本实施例中，预设目录为反病毒软件目录，从注册表路径读取反病毒软件目录，如果顶层窗口进程路径与预设目录中的路径匹配，则确定鼠标点击的窗口为反病毒软件目录下的进程窗口，否则确定鼠标点击的窗口不为反病毒软件目录下的进程窗口。

具体地，如果反病毒软件目录中包括顶层窗口进程路径，则确定顶层窗口进程路径和反病毒软件目录匹配，则确定鼠标点击的窗口为反病毒软件目录下的进程窗口；若反病毒软件目录中不包括顶层窗口进程路径，则确定顶层窗口进程路径和反病毒软件目录不匹配，则确定鼠标点击的窗口不为反病毒软件目录下的进程窗口，此时可以允许用户发送输入函数(NtUserSendInput内核函数)被调用，即不拦截该鼠标操作。

例如，如果所述顶层窗口进程路径与预设目录中的路径匹配，则以当前操作鼠标进程名为参数调用查询系统信息函数(ZwQuerySystemInformation内核 函数)获取当前操作鼠标进程路径；

除此之外，本实施例中，路径获取模块203还可以具体包括：第三路径获取单元和第四路径获取单元；

第三路径获取单元，用于根据顶层窗口进程名获取顶层窗口进程路径；

第四路径获取单元，用于如果顶层窗口进程路径与预设目录中的路径匹配并且当前操作鼠标的进程名和顶层窗口进程名不匹配，则根据当前操作鼠标进程名获取当前操作鼠标进程路径。

本实施例中，第四路径获取单元，还用于如果当前操作鼠标的进程名和顶层窗口进程名匹配，或顶层窗口进程路径与预设目录中的路径不匹配，允许用户发送输入函数被调用。

处理模块204，用于根据当前操作鼠标进程路径调用反病毒软件文件查杀接口，获取文件的状态，若文件的状态为未知文件或者危险文件，拒绝调用用户发送输入函数；

本实施例中，当前操作鼠标进程路径是当前操作鼠标进程的一个可执行文件路径，以该文件路径为参数，调用反病毒软件的文件查杀接口，可以获取到该文件的状态；

例如，如果获取到的文件的状态为灰(即未知文件)或者红(即危险文件)，则确定恶意进程在操作反病毒软件的窗口，拒绝调用用户发送输入函数，即实现拦截恶意进程利用虚拟鼠标点击毒霸窗口的动作；

本实施例中，处理模块204，还用于如果文件状态为白(即安全文件)，允许所述用户发送输入函数被调用。

本发明实施例的防止虚拟鼠标操作窗口的装置，利用钩子函数获取鼠标操作并拦截恶意进程对反病毒软件的窗口进行的鼠标操作，克服了防止恶意程序利用虚拟鼠标点击退出反病毒软件的缺陷，增强反病毒软件的自身防御，有利于维护系统的安全，提升用户的使用体验。

本发明实施例还提供一种电子设备，所述电子设备包含前述任一实施例所述的装置。

图3为本发明电子设备一个实施例的结构示意图，可以实现本发明图1-2所示实施例的流程，如图3所示，上述电子设备可以包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的保护窗口的方法。

处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1-2所示实施例的描述，在此不再赘述。

该电子设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子设备。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计 算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本

发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种保护窗口的方法，其特征在于，包括以下步骤：

利用钩子函数挂钩用户发送输入函数，当所述用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名；

如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据所述当前操作鼠标进程名获取当前操作鼠标进程路径；

根据所述当前操作鼠标进程路径调用所述反病毒软件的文件查杀接口，获取对应的文件状态，若所述文件状态为未知文件或者危险文件，拒绝调用所述用户发送输入函数。

2.根据权利要求1所述的方法，其特征在于，所述利用钩子函数挂钩用户发送输入函数具体包括：在系统服务描述符表中，查找到用户发送输入函数地址，使用所述钩子函数地址，替换查找到的系统服务描述符表中的用户发送输入函数地址。

3.根据权利要求1所述的方法，其特征在于，获取所述顶层窗口进程名具体包括：获取顶层窗口句柄，根据所述顶层窗口句柄获取所述顶层窗口进程识别号。

4.根据权利要求1所述的方法，其特征在于，如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出不为虚拟鼠标操作反病毒软件的窗口，或所述文件状态为安全文件，允许所述用户发送输入函数被调用。

5.根据权利要求1所述的方法，其特征在于，所述根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，包括：

如果所述当前操作鼠标的进程名和顶层窗口进程名不匹配，根据所述顶层窗口进程名获取顶层窗口进程路径；

如果所述顶层窗口进程路径与预设目录中的路径匹配，则确定判断出虚拟鼠标操作反病毒软件的窗口。

6.根据权利要求1所述的方法，其特征在于，所述根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，包括：

根据所述顶层窗口进程名获取顶层窗口进程路径；

如果所述顶层窗口进程路径与预设目录中的路径匹配并且所述当前操作鼠标的进程名和顶层窗口进程名不匹配，则确定判断出虚拟鼠标操作反病毒软件的窗口。

7.根据权利要求5或6所述的方法，其特征在于，如果所述当前操作鼠标的进程名和顶层窗口进程名匹配，或所述顶层窗口进程路径与预设目录中的路径不匹配，允许所述用户发送输入函数被调用。

8.一种保护窗口的装置，其特征在于，包括：挂钩模块、进程名获取模块、路径获取模块和处理模块；

所述挂钩模块，用于利用钩子函数挂钩用户发送输入函数；

所述进程名获取模块，用于当所述用户发送输入函数被调用时获取当前操作鼠标进程名和顶层窗口进程名；

所述路径获取模块，用于如果根据所述当前操作鼠标进程名和顶层窗口进程名判断出虚拟鼠标操作反病毒软件的窗口，根据所述当前操作鼠标进程名获取当前操作鼠标进程路径；

所述处理模块，用于根据所述当前操作鼠标进程路径调用所述反病毒软件的文件查杀接口，获取对应的文件的状态，若所述文件状态为未知文件或者危险文件，拒绝调用所述用户发送输入函数。

9.根据权利要求8所述的装置，其特征在于，所述挂钩模块包括查找单元和替换单元；

所述查找单元，用于在系统服务描述符表中，查找到用户发送输入函数地址；

所述替换单元，用于使用所述钩子函数地址，替换查找到的系统服务描述符表中的用户发送输入函数地址。

10.根据权利要求8所述的装置，其特征在于，所述进程名获取模块包括第一获取单元和第二获取单元；

所述第一获取单元，用于获取顶层窗口句柄，根据所述顶层窗口句柄获取所述顶层窗口进程识别号；

所述第二获取单元，用于获取当前操作鼠标进程识别号。