谈谈监控主机的“Hook链”问题

操作系统是通过消息传递驱动各种事件动作的，要想监控系统内的动态，发现黑客的入侵行为，需要对非常多的“重要操作”进行监控，比如：权限的变更、进程的创建与被杀、网络连接的变化、文件的读写、注册表的变化、驱动程序的加载、远程线程注入等等。 如何实现这些系统行为的监控呢？就是在这些动作程序被执行前，插入自己的一段程序代码，检查驱动程序的消息是从哪里来的，若跟自己无关，就交给原来的程序去执行，若关乎自己，则

>>阅读原文<<