內(nèi)核態(tài)Rootkit隱藏性研究與改進(jìn).pdf

1、隨著信息安全的重要性日益提高,網(wǎng)絡(luò)攻防技術(shù)得到迅速的發(fā)展,遠(yuǎn)程控制技術(shù)的研究也成為網(wǎng)絡(luò)攻防研究中的熱點之一。Rootkit作為一種長期隱蔽控制計算機(jī)系統(tǒng)的有效工具,其相關(guān)技術(shù)研究是遠(yuǎn)程控制技術(shù)研究的重要組成部分。在WINDOWS系統(tǒng)中,內(nèi)核態(tài)Rootkit 相對于用戶態(tài)的Rootkit 在隱蔽性方面更加完善,功能也更加強大。
　　 基于內(nèi)核態(tài)的Rootkit 將成為WINDOWS系統(tǒng)遠(yuǎn)程控制技術(shù)研究的主要方向。
　　 目

2、前內(nèi)核態(tài)Rootkit 在內(nèi)存隱藏性方面主要采用內(nèi)核API 掛接、直接內(nèi)核對象操作等方式,在隱蔽通道方面采用注入信任進(jìn)程的方式建立通道。改進(jìn)的內(nèi)核態(tài)Rootkit針對這些方式的優(yōu)缺點，在三個方面給出適當(dāng)?shù)母倪M(jìn)方案。在自啟動隱藏方面，利用逆向分析得出一種有效躲避系統(tǒng)檢測軟件的加載形式；在內(nèi)存隱藏方面，現(xiàn)存的內(nèi)核態(tài)Rootkit 雖能改變系統(tǒng)調(diào)用執(zhí)行路徑，但破壞操作系統(tǒng)的內(nèi)存子系統(tǒng)。改進(jìn)后的Rootkit 利用X86的內(nèi)存分頁機(jī)制和破壞TL

3、B 同步的方式，分離內(nèi)存訪問請求，從而實現(xiàn)在內(nèi)存中Rootkit 代碼頁面的隱藏；在數(shù)據(jù)遠(yuǎn)程通訊方面，現(xiàn)有的Rootkit中多采用端口復(fù)用和反向連接技術(shù)來欺騙防火墻信任連接，改進(jìn)的Rootkit 則結(jié)合WINDOWS系統(tǒng)網(wǎng)絡(luò)體系結(jié)構(gòu)中底層網(wǎng)絡(luò)驅(qū)動接口的結(jié)構(gòu),提出了一種基于底層網(wǎng)絡(luò)驅(qū)動接口內(nèi)核函數(shù)掛接的隱蔽的底層網(wǎng)絡(luò)通訊機(jī)制.這種通訊方式無需開啟端口進(jìn)行監(jiān)聽和建立連接，能夠有效的穿透過濾型網(wǎng)絡(luò)防火墻，并能繞過本機(jī)防火墻進(jìn)行遠(yuǎn)程通訊。