談談監控主機的「Hook鏈」問題

操作系統是通過消息傳遞驅動各種事件動作的，要想監控系統內的動態，發現黑客的入侵行爲，需要對非常多的「重要操作」進行監控，比如：權限的變更、進程的創建與被殺、網絡連接的變化、文件的讀寫、註冊表的變化、驅動程序的加載、遠程線程注入等等。 如何實現這些系統行爲的監控呢？就是在這些動作程序被執行前，插入自己的一段程序代碼，檢查驅動程序的消息是從哪裏來的，若跟自己無關，就交給原來的程序去執行，若關乎自己，則

>>阅读原文<<