Windows內(nèi)核態(tài)Rootkit隱藏性研究.pdf

1、隨著計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊技術(shù)的進(jìn)步，Windows系統(tǒng)出現(xiàn)了一種新型惡意軟件形式——內(nèi)核態(tài)Rootkit。短短幾年，從簡(jiǎn)單替換文件的第一代Rookit發(fā)展到當(dāng)今可修改內(nèi)核的第三代，更出現(xiàn)固件Rootkit、虛擬Rootkit等新型Rootkit。內(nèi)核態(tài)Rootkit是Windows遠(yuǎn)程控制系統(tǒng)重要組成部分，是當(dāng)今Rootkit研究的重點(diǎn)。內(nèi)核態(tài)Rootkit研究的焦點(diǎn)是Rootkit的隱蔽性，Rootkit隱蔽能力決定了其生命力。

2、>　　 本文旨在提高內(nèi)核態(tài)Rootkit隱藏能力。首先提出一種可以突破主流Rootkit檢測(cè)軟件的新型內(nèi)核鉤子技術(shù)，這種技術(shù)將鉤掛更深層次的內(nèi)部函數(shù)，并且將鉤子函數(shù)拷貝到非換頁(yè)池或內(nèi)核模塊的空隙內(nèi)存中，有效地躲避了主流檢測(cè)軟件的檢測(cè)。本文利用這種技術(shù)從三個(gè)方面提高內(nèi)核態(tài)Rootkit的隱蔽能力：第一，將自啟動(dòng)隱藏分為自啟動(dòng)方式和自啟動(dòng)過(guò)程分別隱藏。在自啟動(dòng)方式中，針對(duì)不同模塊采用不同的加載方式．在自啟動(dòng)過(guò)程隱藏中，利用突破“守護(hù)門(mén)口”

3、技術(shù)，將檢測(cè)軟件所監(jiān)控的系統(tǒng)服務(wù)恢復(fù)和清除通知例程，最終成功地將Rootldt的其他模塊安裝；第二，針對(duì)Rootkit不同模塊采取了不同的加載方式，又根據(jù)加載特點(diǎn)將已加載驅(qū)動(dòng)程序隱藏；第三，內(nèi)核態(tài)Rootkit通信是實(shí)現(xiàn)遠(yuǎn)程控制的唯一方式，其隱蔽性至關(guān)重要。針對(duì)當(dāng)前Rootkit通信的不足，本文使用NDISHOOK技術(shù)在NDIS層實(shí)現(xiàn)通信隱藏，能夠有效地穿透過(guò)濾型網(wǎng)絡(luò)防火墻。
　　 通過(guò)Rootkit檢測(cè)工具對(duì)改進(jìn)設(shè)計(jì)測(cè)試效果分