內(nèi)核非控制數(shù)據(jù)攻擊及在線(xiàn)檢測(cè)方法的研究.pdf

1、操作系統(tǒng)安全是計(jì)算機(jī)系統(tǒng)安全的基礎(chǔ)保障和前提條件，而操作系統(tǒng)安全則主要依賴(lài)于系統(tǒng)內(nèi)核的安全。然而，隨著內(nèi)核攻擊的不斷增多，內(nèi)核安全形勢(shì)日益嚴(yán)峻。在諸多內(nèi)核攻擊中，作為Rootkit攻擊一類(lèi)的內(nèi)核非控制數(shù)據(jù)攻擊的威脅越來(lái)越大。針對(duì)內(nèi)核的非控制數(shù)據(jù)攻擊是指通過(guò)篡改內(nèi)核中的某些關(guān)鍵數(shù)據(jù)結(jié)構(gòu)，誘發(fā)內(nèi)核出現(xiàn)漏洞和產(chǎn)生一系列穩(wěn)定性問(wèn)題，從而嚴(yán)重影響操作系統(tǒng)乃至整個(gè)計(jì)算機(jī)系統(tǒng)的安全。
　　本文在分析研究現(xiàn)有各類(lèi)內(nèi)核非控制數(shù)據(jù)攻擊的基礎(chǔ)上，設(shè)計(jì)與

2、實(shí)現(xiàn)了內(nèi)核非控制數(shù)據(jù)攻擊原型，可作為安全人員研究開(kāi)發(fā)內(nèi)核非控制數(shù)據(jù)攻擊檢測(cè)方法測(cè)試工具集。為了增強(qiáng)Linux內(nèi)核的安全性，本文從各種攻擊方法的基本原理和構(gòu)建機(jī)制出發(fā)，總結(jié)它們的共同特征，研究與探索內(nèi)核關(guān)鍵數(shù)據(jù)結(jié)構(gòu)變化特性，試圖實(shí)現(xiàn)運(yùn)行（在線(xiàn)）狀態(tài)下內(nèi)核數(shù)據(jù)結(jié)構(gòu)變化的持續(xù)監(jiān)控，以及對(duì)內(nèi)核相關(guān)數(shù)據(jù)結(jié)構(gòu)的一致性和不變性的檢查，從而及時(shí)反饋系統(tǒng)所遭受的內(nèi)核非控制數(shù)據(jù)攻擊的相關(guān)信息。
　　本文提出一種基于Kprobes內(nèi)核調(diào)試機(jī)制和監(jiān)視器內(nèi)

3、核線(xiàn)程的在線(xiàn)檢測(cè)方法。前者作為系統(tǒng)原生的一種用于調(diào)試內(nèi)核的機(jī)制，將實(shí)時(shí)監(jiān)控內(nèi)核關(guān)鍵函數(shù)的執(zhí)行，并檢查相關(guān)動(dòng)態(tài)性數(shù)據(jù)結(jié)構(gòu)的一致性。后者則通過(guò)設(shè)立專(zhuān)門(mén)的以后臺(tái)方式運(yùn)行在內(nèi)核態(tài)的內(nèi)核線(xiàn)程來(lái)實(shí)現(xiàn)靜態(tài)性?xún)?nèi)核數(shù)據(jù)結(jié)構(gòu)的持續(xù)監(jiān)測(cè)和不變性驗(yàn)證。論文在Linux2.6.32.27內(nèi)核版本上運(yùn)用C語(yǔ)言設(shè)計(jì)與實(shí)現(xiàn)了相應(yīng)的內(nèi)核非控制數(shù)據(jù)攻擊在線(xiàn)檢測(cè)原型KNCDefender，進(jìn)行了對(duì)應(yīng)的一系列驗(yàn)證實(shí)驗(yàn)和性能測(cè)試實(shí)驗(yàn)。實(shí)驗(yàn)結(jié)果表明，本文提出的方法是完全輕量級(jí)的，