Linux內(nèi)核級(jí)rootkit攻擊分析與檢測.pdf

1、隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，智能終端設(shè)備的安全性成為備受人們關(guān)注的一個(gè)問題。rootkit作為一種特殊的惡意軟件，通常與其他惡意軟件相結(jié)合，實(shí)現(xiàn)通過后門維持root權(quán)限，隱藏攻擊痕跡等功能。目前內(nèi)核級(jí)的rootkit已經(jīng)出現(xiàn)在Android智能終端設(shè)備上，給用戶帶來了極大的困擾與安全威脅。因此面向嵌入式Linux內(nèi)核級(jí)rootkit的研究是當(dāng)前操作系統(tǒng)安全領(lǐng)域內(nèi)一個(gè)重要的課題。
　　本文首先對(duì)嵌入式Linux內(nèi)核級(jí)rootkit技術(shù)進(jìn)

2、行分析，然后在了解其實(shí)現(xiàn)原理的基礎(chǔ)上，設(shè)計(jì)并實(shí)現(xiàn)了一套Linux內(nèi)核級(jí)rootkit檢測方案。檢測方案分別從系統(tǒng)調(diào)用、Linux虛擬文件系統(tǒng)(Virtual File System，VFS)、以及內(nèi)核中用于完成查詢功能的非控制性數(shù)據(jù)結(jié)構(gòu)三個(gè)角度出發(fā)，通過驗(yàn)證這些內(nèi)容的完整性或一致性是否遭到破壞，從而判斷系統(tǒng)是否遭受了內(nèi)核級(jí)rootkit的入侵。該方案克服了行為分析法不能檢測到靜默狀態(tài)下的rootkit的弊端，而且與復(fù)雜的基于虛擬技術(shù)的檢

3、測法相比，本文的檢測方案更適宜應(yīng)用于嵌入式平臺(tái)。本文提供了一個(gè)控制檢測程序運(yùn)行的編程接口，使得應(yīng)用程序能夠通過系統(tǒng)調(diào)用訪問檢測函數(shù)。
　　本文選取了依據(jù)內(nèi)核級(jí)rootkit實(shí)現(xiàn)原理自行編寫的惡意模塊與真實(shí)的rootkit模塊，對(duì)檢測方案進(jìn)行功能驗(yàn)證，實(shí)驗(yàn)結(jié)果證明本文的方案可以準(zhǔn)確地檢測出劫持系統(tǒng)調(diào)用、攻擊VFS以及破壞內(nèi)核中的非控制性數(shù)據(jù)結(jié)構(gòu)的內(nèi)核級(jí)rootkit惡意程序，其中模塊隱藏行為的檢測率達(dá)到99.5％。論文測試了檢測方案