实时监控技术

Question

大多数已知的防病毒软件都具有实时监控功能，这意味着它可以在访问或执行之前扫描文件。这样的技术如何实现？ .NET中有一些名为filewatcher我不知道这是否与AntiVirus中使用的内容相同。

Answer 1

通常情况下，防病毒软件将安装过滤器驱动程序，该驱动程序附加到Windows内核中的文件系统驱动程序。所有对文件系统驱动程序的请求都首先传送给过滤器，然后过滤器决定是转发还是拒绝请求。

请注意，在用户模式下挂接Windows API或任何其他API通常是不够的，因为恶意软件总是可以直接向内核发出调用，绕过挂钩的API。

Answer 2

挂接（Win）API函数是这类任务的通用解决方案，但我认为这只是冰山一角。在wiki（Detection小节）中几乎没有关于它的提示。因此，您需要了解如何挂接API函数以及有关Windows内部的一般信息。我建议Windows via C++是解决这个全球性问题的一个很好的起点。