windows系統(tǒng)Root腸t檢測(cè)技術(shù)的研究.pdf

1、Rootkit是能夠長(zhǎng)久且難以檢測(cè)地存在于計(jì)算機(jī)系統(tǒng)中的一套程序和代碼。由于Windows操作系統(tǒng)的普及性，針對(duì)Windows系統(tǒng)的Rootkit逐漸流行起來。Windows：Rootldt能夠?qū)Σ僮飨到y(tǒng)中的對(duì)象(比如文件、進(jìn)程、端口,等)進(jìn)行隱藏，因此惡意軟件利用Rootkit來隱藏攻擊痕跡、躲避監(jiān)控軟件的探測(cè)，使系統(tǒng)管理員很難發(fā)現(xiàn)系統(tǒng)中己存在著異常。這樣，計(jì)算機(jī)系統(tǒng)就具有了很大的安全隱患。為此，對(duì)可能存在于Windows操作系統(tǒng)中的

2、Rootld進(jìn)行檢測(cè)，將有助于實(shí)現(xiàn)計(jì)算機(jī)系統(tǒng)的安全、可靠運(yùn)行。
　　 本文首先介紹了與Windows Rootkit及其檢測(cè)技術(shù)相關(guān)的Windows操作系統(tǒng)運(yùn)行機(jī)制，主要包括x86處理器的Ring0和Ring3權(quán)限、Windows系統(tǒng)的體系結(jié)構(gòu)及其地址空間、Windows系統(tǒng)中虛擬地址到物理地址的轉(zhuǎn)換機(jī)制以及進(jìn)程和線程的相關(guān)概念。接著給出了Rootldt的定義及其分類，并且著重分析了Windows Rootkit主要使用的兩類隱

3、藏技術(shù)，即修改程序執(zhí)行路徑技術(shù)和直接內(nèi)核對(duì)象操作技術(shù)。在修改程序執(zhí)行路徑技術(shù)中，主要分析了導(dǎo)入地址表鉤子、系統(tǒng)服務(wù)調(diào)度表鉤子、內(nèi)聯(lián)函數(shù)鉤子、中斷描述符表鉤子以及I／O請(qǐng)求報(bào)文主函數(shù)表鉤子的實(shí)現(xiàn)原理；而在直接內(nèi)核對(duì)象操作技術(shù)中，則主要分析了Rootkit如何利用該技術(shù)實(shí)現(xiàn)進(jìn)程和設(shè)備驅(qū)動(dòng)程序的隱藏。然后深入分析和研究了目前Windows Rootldt的主要檢測(cè)技術(shù)，即特征碼檢測(cè)法、地址分析檢測(cè)法、交叉視圖檢測(cè)法、執(zhí)行路徑檢測(cè)法以及完整性檢

4、測(cè)法，并分別指出了它們的優(yōu)點(diǎn)及存在的不足。在對(duì)Windows操作系統(tǒng)運(yùn)行機(jī)制、Windows Rootkit隱藏技術(shù)及其檢測(cè)技術(shù)分析與研究的基礎(chǔ)上，本文設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)Windows Rootkit檢測(cè)程序。該檢測(cè)程序主要由Rootkit檢測(cè)模塊、主控制模塊以及自我保護(hù)模塊三部分組成。其中，Rootkit檢測(cè)模塊主要負(fù)責(zé)對(duì)用戶空間和內(nèi)核空間中的Rootkit隱藏行為進(jìn)行檢測(cè)，利用基于地址分析的檢測(cè)思想實(shí)現(xiàn)對(duì)導(dǎo)入地址表鉤子、系統(tǒng)服務(wù)調(diào)度表

5、鉤子、內(nèi)聯(lián)函數(shù)鉤子以及I／O請(qǐng)求報(bào)文主函數(shù)表鉤子的檢測(cè)；利用基于交叉視圖的檢測(cè)思想實(shí)現(xiàn)對(duì)隱藏系統(tǒng)運(yùn)行進(jìn)程和隱藏設(shè)備驅(qū)動(dòng)程序的檢測(cè)。主控制模塊則主要負(fù)責(zé)Rootkit檢測(cè)模塊中驅(qū)動(dòng)程序的加載與卸載、檢測(cè)模塊應(yīng)用程序部分與驅(qū)動(dòng)程序部分的通信以及檢測(cè)結(jié)果的匯總與顯示。而自我保護(hù)模塊則主要利用SHA-1算法對(duì)Rootkit檢測(cè)模塊和主控制模塊進(jìn)行完整性保護(hù)，并對(duì)受到破壞的模塊進(jìn)行恢復(fù)操作。此外，在Rootldt檢測(cè)程序的具體實(shí)現(xiàn)過程中，對(duì)檢測(cè)算