实时监控技术

Real-time monitoring technique

本文关键字：技术监控实时更新时间：2023-10-16

大多数已知的防病毒软件都具有实时监控功能，这意味着它可以在文件被访问或执行之前扫描文件。如何实现这样的技术?在。net中有一种叫做filewatcher的东西，我不知道这是否与反病毒中使用的想法相同。

通常，杀毒软件将安装一个过滤器驱动程序，该驱动程序连接到Windows内核中的文件系统驱动程序。因此，所有对文件系统驱动程序的请求都首先传递给过滤器，然后由过滤器决定是否转发或拒绝请求。

请注意，在用户模式下挂接Windows API或任何其他API通常是不够的，因为恶意软件总是可以直接向内核发出调用，绕过挂接的API。

hook a (Win)API函数是此类任务的通用解决方案，但我认为这只是冰山一角。在wiki (Detection小节)中很少有关于它的注释。因此，您需要了解如何挂钩API函数和一般的Windows内部。我建议使用c++的Windows作为解决这个全球性问题的一个很好的起点。