CN113094210A - 一种windows平台进程及文件守护方法及系统 - Google Patents

Abstract

本申请实施例公开了一种windows平台进程及文件守护方法及系统，通过循环获取目标守护进程，根据目标守护进程判断启动方式；创建目标守护文件服务线程；将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务。通过结合进程和文件守护，以及进程间相互守护，可以对软件进行保护，防止文件被替换或者被删除。

Description

一种windows平台进程及文件守护方法及系统

技术领域

本申请实施例涉及信息安全技术领域，具体涉及一种windows平台进程及文件守护方法及系统。

背景技术

目前，有关进程守护现有的技术，主要有以下两种方式：第一种是通过批处理进行守护，将写好的任务管理器中，开机启动批处理。第二种是通过dll注入的方式实现进程守护，将守护代码加载到系统进程中，进行伪装。

第一种写入任务管理器的方式，如果用户删除或停止任务管理器对应任务，则重启之后就会失效。第二种通过注入方式实现进程守护的，可能会影响正常的系统进程的运行，采用注入方式本身就是破坏系统进程的运行方式，很有可能会被杀毒软件当作病毒隔离。

发明内容

为此，本申请实施例提供一种windows平台进程及文件守护方法及系统，解决了停止或破坏、删除或替换软件进程文件，导致软件无法运行问题。

为了实现上述目的，本申请实施例提供如下技术方案：

根据本申请实施例的第一方面，提供了一种windows平台进程及文件守护方法，所述方法包括：

创建目标守护进程服务线程；

循环获取目标守护进程，根据目标守护进程判断启动方式；

创建目标守护文件服务线程；

将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；

在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；

在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。

可选地，所述根据目标守护进程名判断启动方式，包括：

根据目标守护进程名判断目标守护进程是否存在，若目标守护进程存在则判断目标守护进程状态是否正确，若不正确，则将目标守护进程状态修改为正常状态；若目标守护进程不存在，则判断是不是服务进程，若不是服务进程则按普通进程自动启动；若是服务进程则启动服务进程，若启动失败，则判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

可选地，所述创建循环检查目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式，包括：

创建循环检查目标守护文件状态线程，判断目标守护文件是否存在，若不存在则从备份路径下复制对应的目标守护文件，若存在则判断目标守护文件的MD5值是否有变化，若有变化则将备份文件覆盖到要保护的目标守护文件中。

可选地，所述方法还包括：

将其中一个守护进程服务伪装成系统服务，以防止被发现。

根据本申请实施例的第二方面，提供了一种windows平台进程及文件守护系统，所述系统包括：

目标守护进程服务模块，用于创建目标守护进程服务线程；还用于循环获取目标守护进程，根据目标守护进程判断启动方式；

目标守护文件服务模块，用于创建目标守护文件服务线程；还用于将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；

注册表守护服务模块，用于在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；

相互守护服务模块，用于在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。

可选地，所述目标守护进程服务模块，具体用于：

根据目标守护进程名判断目标守护进程是否存在，若目标守护进程存在则判断目标守护进程状态是否正确，若不正确，则将目标守护进程状态修改为正常状态；若目标守护进程不存在，则判断是不是服务进程，若不是服务进程则按普通进程自动启动；若是服务进程则启动服务进程，若启动失败，则判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

可选地，所述目标守护文件服务模块，具体用于：

创建循环检查目标守护文件状态线程，判断目标守护文件是否存在，若不存在则从备份路径下复制对应的目标守护文件，若存在则判断目标守护文件的MD5值是否有变化，若有变化则将备份文件覆盖到要保护的目标守护文件中。

可选地，所述系统还包括：

进程服务伪装模块，用于将其中一个守护进程服务伪装成系统服务，以防止被发现。

根据本申请实施例的第三方面，提供了一种设备，所述设备包括：数据采集装置、处理器和存储器；所述数据采集装置用于采集数据；所述存储器用于存储一个或多个程序指令；所述处理器，用于执行一个或多个程序指令，用以执行第一方面任一项所述的方法。

根据本申请实施例的第四方面，提供了一种计算机可读存储介质，所述计算机存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于执行如第一方面任一项所述的方法。

综上所述，本申请实施例提供了一种windows平台进程及文件守护方法及系统，通过创建目标守护进程服务线程；循环获取目标守护进程，根据目标守护进程判断启动方式；创建目标守护文件服务线程；将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。通过结合进程和文件守护，以及进程间相互守护，可以对软件进行保护，防止文件被替换或者被删除。

附图说明

为了更清楚地说明本发明的实施方式或现有技术中的技术方案，下面将对实施方式或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是示例性的，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图引伸获得其它的实施附图。

本说明书所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定本发明可实施的限定条件，故不具技术上的实质意义，任何结构的修饰、比例关系的改变或大小的调整，在不影响本发明所能产生的功效及所能达成的目的下，均应仍落在本发明所揭示的技术内容能涵盖的范围内。

图1为本申请实施例提供的一种windows平台进程及文件守护方法流程示意图；

图2为本申请实施例提供的进程守护流程图；

图3为本申请实施例提供的文件守护流程图；

图4为本申请实施例提供的一种windows平台进程及文件守护系统框图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现在很多底层的软件，像pchunter等都可以通过运行的程序定位到文件或者直接选择强制删除，本申请实施例提供的方法解决了这个问题。

图1示出了本申请实施例提供的一种windows平台进程及文件守护方法流程，所述方法包括：

步骤101：创建目标守护进程服务线程；

步骤102：循环获取目标守护进程，根据目标守护进程判断启动方式；

步骤103：创建目标守护文件服务线程；

步骤104：将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；

步骤105：在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；

步骤106：在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。

在一种可能的实施方式中，所述根据目标守护进程名判断启动方式，包括：

根据目标守护进程名判断目标守护进程是否存在，若目标守护进程存在则判断目标守护进程状态是否正确，若不正确，则将目标守护进程状态修改为正常状态；若目标守护进程不存在，则判断是不是服务进程，若不是服务进程则按普通进程自动启动；若是服务进程则启动服务进程，若启动失败，则判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

在一种可能的实施方式中，所述创建循环检查目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式，包括：

创建循环检查目标守护文件状态线程，判断目标守护文件是否存在，若不存在则从备份路径下复制对应的目标守护文件，若存在则判断目标守护文件的MD5值是否有变化，若有变化则将备份文件覆盖到要保护的目标守护文件中。

在一种可能的实施方式中，所述方法还包括：

将其中一个守护进程服务伪装成系统服务，以防止被发现。

可以看出，通过本申请实施例提供的方法，结合进程和文件守护，以及进程间相互守护，可以对软件进行保护，并可以通过获取进程状态，将进程恢复正常，在防删除的同时，还可以防止程序暂停导致程序运行阻塞；同时进行了文件的守护，和MD5值的校验，防止文件被替换或者被删除。

下面结合附图2和3对本申请实施例提供的方法进行进一步阐述。

第一步，创建进程守护服务，通过需要守护的进程名，如果查找不存在则自动启动，为防止第三方软件恶意暂停或者挂起进程，也需要实时获取进程的状态，如果是挂起或者暂停状态，则需要修改状态为启动状态，若进程不存在则启动。图2示出了进程守护流程图。

创建进程守护服务线程，循环获取需要守护的进程；进一步，判断进程是否存在，若进程存在则判断进程状态是否正确，若不正确，则将进程状态修改为正常状态；若进程不存在，则判断是不是服务进程，若不是则按普通进程自动启动；若是则启动服务进程，若启动失败，判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

第二步，创建文件守护服务，安装服务时，将需要守护的文件夹备份，并记录文件的MD5值，若文件被删除或者文件MD5值发生变化，则从备份文件夹中复制相应的文件过去。图3示出了文件守护流程图。

创建文件守护服务，备份需要守护的文件，创建专门守护另一个服务的进程，监测服务进程的状态；创建循环检查文件状态线程，判断文件是否存在，若不存在则从备份路径下copy对应的文件，若存在，则判断文件MD5值是否有变化，若有变化则将备份文件覆盖到要保护的文件中。

第三步，在两个守护服务中都添加注册表守护，如果服务的注册表被删除或者修改，则修复注册表，防止重启后守护服务无法开机自启。

第四步，在两个守护服务中添加两个服务的相互守护，发现服务被删除，则重新安装服务并启动，运行中服务若停止并且进程不存在，则立刻重启服务。

第五步，将其中一个重要的守护进程服务伪装成系统服务，防止被发现。

通过进程间相互守护、注册表守护、文件守护等，实现对软件系统重要进程以及文件的守护，以系统服务的形式实现开机自启动，对文件进行守护，实现原理简单合理。保护进程不被恶意结束、挂起、暂停，导致程序不能正常运行，进程文件不会被删除或者破坏，保证了软件进程和文件的安全。

综上所述，本申请实施例提供了一种windows平台进程及文件守护方法，通过创建目标守护进程服务线程；循环获取目标守护进程，根据目标守护进程判断启动方式；创建目标守护文件服务线程；将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。通过结合进程和文件守护，以及进程间相互守护，可以对软件进行保护，防止文件被替换或者被删除。

基于相同的技术构思，本申请实施例还提供了一种windows平台进程及文件守护系统，如图4所示，所述系统包括：

目标守护进程服务模块401，用于创建目标守护进程服务线程；还用于循环获取目标守护进程，根据目标守护进程判断启动方式；

目标守护文件服务模块402，用于创建目标守护文件服务线程；还用于将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；

注册表守护服务模块403，用于在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；

相互守护服务模块404，用于在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。

在一种可能的实施方式中，所述目标守护进程服务模块401，具体用于：根据目标守护进程名判断目标守护进程是否存在，若目标守护进程存在则判断目标守护进程状态是否正确，若不正确，则将目标守护进程状态修改为正常状态；若目标守护进程不存在，则判断是不是服务进程，若不是服务进程则按普通进程自动启动；若是服务进程则启动服务进程，若启动失败，则判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

在一种可能的实施方式中，所述目标守护文件服务模块402，具体用于：创建循环检查目标守护文件状态线程，判断目标守护文件是否存在，若不存在则从备份路径下复制对应的目标守护文件，若存在则判断目标守护文件的MD5值是否有变化，若有变化则将备份文件覆盖到要保护的目标守护文件中。

在一种可能的实施方式中，所述系统还包括：进程服务伪装模块，用于将其中一个守护进程服务伪装成系统服务，以防止被发现。

基于相同的技术构思，本申请实施例还提供了一种设备，所述设备包括：数据采集装置、处理器和存储器；所述数据采集装置用于采集数据；所述存储器用于存储一个或多个程序指令；所述处理器，用于执行一个或多个程序指令，用以执行所述的方法。

基于相同的技术构思，本申请实施例还提供了一种计算机可读存储介质，所述计算机存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于执行所述的方法。

本说明书中上述方法的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。相关之处参见方法实施例的部分说明即可。

需要说明的是，尽管在附图中以特定顺序描述了本发明方法的操作，但这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

虽然本申请提供了如实施例或流程图的方法操作步骤，但基于常规或者无创造性的手段可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的装置或客户端产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境，甚至为分布式数据处理环境)。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、产品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、产品或者设备所固有的要素。在没有更多限制的情况下，并不排除在包括所述要素的过程、方法、产品或者设备中还存在另外的相同或等同要素。

上述实施例阐明的单元、装置或模块等，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。为了描述的方便，描述以上装置时以功能分为各种模块分别描述。当然，在实施本申请时可以把各模块的功能在同一个或多个软件和/或硬件中实现，也可以将实现同一功能的模块由多个子模块或子单元的组合实现等。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内部包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构、类等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，移动终端，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例采用递进的方式描述，各个实施例之间相同或相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。本申请可用于众多通用或专用的计算机系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。

以上所述的具体实施例，对本申请的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本申请的具体实施例而已，并不用于限定本申请的保护范围，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种windows平台进程及文件守护方法，其特征在于，所述方法包括：

创建目标守护进程服务线程；

循环获取目标守护进程，根据目标守护进程判断启动方式；

创建目标守护文件服务线程；

将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；

在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；

在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。

2.如权利要求1所述的方法，其特征在于，所述根据目标守护进程名判断启动方式，包括：

根据目标守护进程名判断目标守护进程是否存在，若目标守护进程存在则判断目标守护进程状态是否正确，若不正确，则将目标守护进程状态修改为正常状态；若目标守护进程不存在，则判断是不是服务进程，若不是服务进程则按普通进程自动启动；若是服务进程则启动服务进程，若启动失败，则判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

3.如权利要求1所述的方法，其特征在于，所述创建循环检查目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式，包括：

创建循环检查目标守护文件状态线程，判断目标守护文件是否存在，若不存在则从备份路径下复制对应的目标守护文件，若存在则判断目标守护文件的MD5值是否有变化，若有变化则将备份文件覆盖到要保护的目标守护文件中。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

将其中一个守护进程服务伪装成系统服务，以防止被发现。

5.一种windows平台进程及文件守护系统，其特征在于，所述系统包括：

目标守护进程服务模块，用于创建目标守护进程服务线程；还用于循环获取目标守护进程，根据目标守护进程判断启动方式；

目标守护文件服务模块，用于创建目标守护文件服务线程；还用于将目标守护文件夹备份，创建监测服务状态进程，以及创建循环检查文件目标守护文件状态线程，根据目标守护文件以及MD5值判断守护方式；

注册表守护服务模块，用于在目标守护进程服务线程和目标守护文件服务线程中均添加注册表守护服务，如果服务的注册表被删除或者修改，则修复注册表，以防止重启后守护服务无法开机自启；

相互守护服务模块，用于在目标守护进程服务线程和目标守护文件服务线程中添加两个服务线程的相互守护服务，若发现服务被删除则重新安装服务并启动，若运行中服务停止并且进程不存在，则立刻重启服务。

6.如权利要求5所述的系统，其特征在于，所述目标守护进程服务模块，具体用于：

根据目标守护进程名判断目标守护进程是否存在，若目标守护进程存在则判断目标守护进程状态是否正确，若不正确，则将目标守护进程状态修改为正常状态；若目标守护进程不存在，则判断是不是服务进程，若不是服务进程则按普通进程自动启动；若是服务进程则启动服务进程，若启动失败，则判断原因，若是因为服务被卸载则安装服务，若是因为注册表被破坏则恢复注册表。

7.如权利要求5所述的系统，其特征在于，所述目标守护文件服务模块，具体用于：

创建循环检查目标守护文件状态线程，判断目标守护文件是否存在，若不存在则从备份路径下复制对应的目标守护文件，若存在则判断目标守护文件的MD5值是否有变化，若有变化则将备份文件覆盖到要保护的目标守护文件中。

8.如权利要求5所述的系统，其特征在于，所述系统还包括：

进程服务伪装模块，用于将其中一个守护进程服务伪装成系统服务，以防止被发现。

9.一种设备，其特征在于，所述设备包括：数据采集装置、处理器和存储器；

所述数据采集装置用于采集数据；所述存储器用于存储一个或多个程序指令；所述处理器，用于执行一个或多个程序指令，用以执行如权利要求1-4任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于执行如权利要求1-4任一项所述的方法。

Images