一种监控文件执行的方法及装置

摘要

本发明提供了一种监控文件执行的方法，该方法包括：打开可执行文件；在准备执行所打开的可执行文件时，对该可执行文件进行病毒扫描；及，根据所述病毒扫描的扫描结果判断该可执行文件是否为恶意软件，如果是，则阻止执行该可执行文件；否则执行该可执行文件。本发明还提供了相应的监控文件执行的装置以及监控驱动装置。采用本发明能够提高病毒扫描实时性以及软件兼容性。

主权项

一种监控文件执行的方法，其特征在于，该方法包括：打开可执行文件；在准备执行所打开的可执行文件时，对该可执行文件进行病毒扫描；及，根据所述病毒扫描的扫描结果判断该可执行文件是否为恶意软件，如果是，则阻止执行该可执行文件；否则执行该可执行文件；其中，在为所述可执行文件创建可执行映射时对该可执行文件进行病毒扫描，包括：A．拦截来自各个线程的获取锁的IRP；B．当捕获到来自一线程的获取锁的IRP时，判断所述获取锁的IRP是否针对可执行映射，如果是，则执行步骤C；否则将所述获取锁的IRP传递给下层驱动，结束当前流程；其中，所述针对可执行映射的获取锁的IRP用于请求获取用于创建可执行映射的分区的锁；及，C．获取所述可执行文件的文件信息，并将所获取的文件信息发送给用于病毒扫描的扫描引擎；所述阻止执行该可执行文件，包括：不将所述获取锁的IRP传递给下层驱动；及，所述执行该可执行文件，包括：将所述获取锁的IRP传递给下层驱动来创建可执行映射。