基于內(nèi)存完整性的木馬檢測(cè)技術(shù)研究.pdf

1、隨著黑客技術(shù)的不斷發(fā)展，Windows 木馬以其攻擊范圍廣，隱蔽性強(qiáng)，危害大等特點(diǎn)成為常見(jiàn)的網(wǎng)絡(luò)危害之一。基于對(duì)近年來(lái)流行的Windows 木馬掛鉤隱藏方式的分析，改進(jìn)了基于內(nèi)存完整性的檢測(cè)方法，以有效地檢測(cè)利用各種掛鉤技術(shù)的Windows木馬，同時(shí)也介紹了Windows 內(nèi)核級(jí)木馬的各種重要檢測(cè)技術(shù)。 內(nèi)存完整性的檢測(cè)方法，就是在程序運(yùn)行過(guò)程中，通過(guò)對(duì)內(nèi)存各個(gè)重要區(qū)域進(jìn)行完整性檢測(cè)，查出可能存在的異常現(xiàn)象，從而判斷系統(tǒng)中是否存

2、在木馬的方法?，F(xiàn)有的內(nèi)存檢測(cè)方法中，多是通過(guò)檢測(cè)代碼區(qū)塊的完整性來(lái)判斷木馬的存在，它無(wú)法檢測(cè)到改變內(nèi)存其它區(qū)域的木馬。根據(jù)內(nèi)存檢測(cè)原理，設(shè)計(jì)一個(gè)檢測(cè)程序，它通過(guò)四個(gè)檢測(cè)模塊對(duì)內(nèi)存進(jìn)行完整性檢測(cè)，它們分別是輸入地址表檢測(cè)，系統(tǒng)服務(wù)地址表檢測(cè)，系統(tǒng)服務(wù)描述表檢測(cè)和活動(dòng)進(jìn)程鏈表完整性檢測(cè)。 輸入地址表的檢測(cè)方式是基于PE(Portable Executable)文件格式的檢測(cè)方式。 在輸入地址表的檢測(cè)方式中，通過(guò)比較輸入地址表