Windows Bootkit技術(shù)研究與應(yīng)用.pdf

1、Windows Bootkit作為目前最前沿的Windows Rootkit技術(shù)，把寄宿地由傳統(tǒng)的操作系統(tǒng)磁盤文件擴(kuò)展到了硬件BIOS芯片、硬盤MBR等位置，同時(shí)將自身的啟動(dòng)提前到了與Windows系統(tǒng)內(nèi)核啟動(dòng)相同的級(jí)別，甚至還要更早的階段。這樣Bootkit就能較早的取得對(duì)計(jì)算機(jī)的控制權(quán)，從而實(shí)現(xiàn)較強(qiáng)的隱藏和控制功能。 雖然該技術(shù)目前還處于概念性驗(yàn)證階段，沒有實(shí)際的成熟的惡意程序產(chǎn)品，但是如果現(xiàn)在不研究檢測(cè)、清除的方法，將會(huì)給

2、網(wǎng)絡(luò)留下安全隱患。而只有先掌握好Bootldt所使用的關(guān)鍵技術(shù)和攻擊手段，達(dá)到知己知彼，才能找到相應(yīng)的解決方案。因此本文從攻擊者的角度對(duì)Windows Bootkit技術(shù)進(jìn)行研究與分析。 本文對(duì)當(dāng)前的Windows Bootkit實(shí)例的核心技術(shù)進(jìn)行了分析和總結(jié)。從復(fù)雜的Windows Bootkit技術(shù)原理中，抽象出了基于Windows Bootkit的協(xié)同隱藏模型，并給出了其形式化的描述。在此基礎(chǔ)上設(shè)計(jì)和實(shí)現(xiàn)了一個(gè)基于MBR的

3、WindowsBootkit原型。 該原型相對(duì)于傳統(tǒng)的基于MBR的Bootkit，在hook特征碼的選取上更具有通用性，同時(shí)通過hook MBR的讀寫操作，提高反檢測(cè)能力。在隱藏實(shí)現(xiàn)中，除了使用Rootkit的DKOM、hook ssdt、驅(qū)動(dòng)過濾等常規(guī)技術(shù)外，使用了一種新的文件隱藏技術(shù)——對(duì)象劫持，用以繞過當(dāng)前所有的檢測(cè)工具。在Bootkit的功能模塊中，實(shí)現(xiàn)了一個(gè)用于遠(yuǎn)程控制的shell功能。通過三個(gè)實(shí)驗(yàn)驗(yàn)證了Windows