一种傀儡进程检测方法、装置、可读存储介质及计算设备

摘要

本发明实施例提供了一种傀儡进程检测方法、装置、可读存储介质及计算设备，通过反汇编技术和汇编指令队列比较技术对内存主模块的OEP和PE文件的OEP的不变量特征值进行比较，进而确定出傀儡进程，提高了傀儡进程检测的准确性和效率，并且适用于不同的技术平台，方法包括：确定目标进程对应的内存的主模块的第一原始入口点OEP；将所述第一OEP指向的内存内容作反汇编处理，得到第一指令队列；确定所述目标进程对应的可移植的可执行PE文件的第二OEP；将所述第二OEP指向的文件内容作反汇编处理，得到第二指令队列；根据所述第一指令队列和所述第二指令队列的比较结果，确定所述目标进程是否为傀儡进程。