Windows環(huán)境惡意代碼檢測技術研究.pdf

1、隨著信息技術，特別是互聯(lián)網的高速發(fā)展，網絡安全問題正受到人們越來越多關注。對網絡安全的諸多威脅中，惡意代碼無疑是危害最大的，這也成為網絡安全領域研究的焦點。本文關注于Windows平臺的惡意代碼檢測技術。 現(xiàn)有的商業(yè)惡意代碼檢測系統(tǒng)使用的檢測技術主要是特征碼掃描、完整性檢測和虛擬機檢測。本文分析了上述三種檢測技術的原理以及各自的優(yōu)缺點：特征碼掃描檢測速度快、誤報率低，但需要和龐大的特征庫配合，無法檢測變形的惡意代碼；完整性檢測能

2、有效檢測到惡意代碼對文件的修改，但完整性檢測假設剛裝入系統(tǒng)中的文件是沒有感染惡意代碼的，因此完整性檢測無法發(fā)現(xiàn)裝入系統(tǒng)前已感染到文件上的惡意代碼；虛擬機檢測可以有效對付加密變形的惡意代碼，但惡意代碼仍然有多種方法可以有效繞過其檢測，如使用特殊指令，使用結構化異常處理等。 隨著新的Rootkit技術在惡意代碼中的廣泛應用，現(xiàn)有的惡意代碼檢測技術遇到了前所未有的挑戰(zhàn)。Rootkit技術隱藏現(xiàn)有的惡意代碼檢測系統(tǒng)的檢測目標，包括進程、

3、文件、TCP端口、注冊表等。試驗表明，現(xiàn)有的商業(yè)惡意代碼檢測系統(tǒng)無法有效檢測采用Rootkit技術隱藏了的惡意代碼。本文分析了Rootkit技術的實現(xiàn)原理，包括對進程、TCP端口、注冊表和文件的隱藏技術。 通過對惡意代碼隱藏技術的分析，本文提出了對隱藏惡意代碼的檢測技術，基于差異分析的隱藏行為檢測技術，該技術將可信任的系統(tǒng)信息與不可信任的系統(tǒng)信息進行比較，從而獲得被隱藏的信息。針對具體的進程、TCP端口、注冊表和文件信息，本文提