一种基于内存取证技术的代码注入攻击检测方式

摘要

本发明涉及一种基于内存取证技术的Windows代码注入检测方法。本发明首先有效区分Windows 64位进程和WoW64进程；然后基于遍历进程堆栈得到的函数返回地址以确定函数名、模块名等信息；然后将遍历堆栈得到的信息结合进程VAD结构来检测函数返回地址是否在VAD节点范围内、匹配堆栈信息中文件名与VAD结构中的文件名以定位注入代码。本发明的方法能够有效检测Windows代码注入，辅助取证分析人员定位内存中的代码注入攻击。