計(jì)算機(jī)后門程序Windows Rootkit剖析與實(shí)現(xiàn).pdf

1、rootkit是一種用來(lái)隱藏自己及相關(guān)資源(進(jìn)程、端口等)或者掩蓋自己纂改系統(tǒng)信息的程序，其設(shè)計(jì)目標(biāo)就是逃脫系統(tǒng)常規(guī)的檢測(cè)方法，使其對(duì)于系統(tǒng)是不可見的。
　　 自2005年Sony的數(shù)字版權(quán)管理使用rootkit技術(shù)被著名的安全分析專家MarkRussonovich曝光后，rootkit逐漸引起公眾普遍關(guān)注。并激發(fā)了新型rootkit技術(shù)的開發(fā)和研究。目前rootkit已被看作一種日益增長(zhǎng)的信息安全威脅。據(jù)微軟信息安全部門的統(tǒng)計(jì)

2、數(shù)據(jù)：從Windows XP SP2清除的惡意軟件中，超過(guò)20％是rootkit。而在國(guó)內(nèi)猖獗一時(shí)的灰鴿子憑借rootkit技術(shù)對(duì)抗系統(tǒng)安全軟件的檢測(cè)，并曾連續(xù)3年被評(píng)為中國(guó)十大病毒之一?，F(xiàn)在，國(guó)內(nèi)外安全社區(qū)都正在認(rèn)真面對(duì)rootkit所帶來(lái)的嚴(yán)峻挑戰(zhàn)。
　　 本文對(duì)Windows rootkit進(jìn)行了系統(tǒng)的分析研究。首先，在闡述Windows rootkit的定義，并對(duì)其進(jìn)行分類后，以內(nèi)核調(diào)試器WinDbg為工具，分析和驗(yàn)證保

3、護(hù)模式下CPU的分段機(jī)制和分頁(yè)機(jī)制，說(shuō)明理解CPU保護(hù)模式對(duì)Windows rootkit設(shè)計(jì)的重要性。其次，詳細(xì)分析Windows rootkit的經(jīng)典技術(shù)：SSDT的HOOK技術(shù)、IDT的HOOK技術(shù)、detour補(bǔ)丁技術(shù)、DKOM隱藏技術(shù)，重點(diǎn)研究這些技術(shù)的底層細(xì)節(jié)，說(shuō)明這些Windows rootkit技術(shù)的具體實(shí)現(xiàn)方法。然后，研究Windows rootkit重要的隱藏目標(biāo)：文件、進(jìn)程、端口、驅(qū)動(dòng)在Windows系統(tǒng)中的管理方

4、式，運(yùn)用前面介紹的經(jīng)典技術(shù)實(shí)現(xiàn)隱藏這些系統(tǒng)資源的Windows rootkit，并剖析其核心技術(shù)，分析其設(shè)計(jì)思路。最后，研究Windows rootikit的交替數(shù)據(jù)流(Altemate Data Streams)、隱藏注冊(cè)表等技術(shù)，并對(duì)這些技術(shù)進(jìn)行了詳細(xì)的解析。
　　 本課題的研究工作對(duì)Windows rootkit技術(shù)進(jìn)行了全面而又深入的剖析，彌補(bǔ)了現(xiàn)有對(duì)Windows rootkit技術(shù)設(shè)計(jì)與分析的不足，具有一定的通用性和