在基于系统调用的入侵检测研究中，如何提取系统调用序列模式是一个重要问题。提出一种利用进程堆栈中的函数返回地址链信息来提取不定长模式的方法。同王福宏的不定长模式提取方法相比，该方法可以取得更完备的模式集。在此基础上，基于系统调用序列及其对应的不定长模式序列构建了一个两层隐马尔可夫模型来检测异常行为，与仅利用系统调用序列信息的经典隐马尔可夫方法相比，该方法可以取得更低的误报率和漏报率。