計算機后門程序Windows Rootkit剖析與實現(xiàn).pdf

1、rootkit是一種用來隱藏自己及相關資源(進程、端口等)或者掩蓋自己纂改系統(tǒng)信息的程序，其設計目標就是逃脫系統(tǒng)常規(guī)的檢測方法，使其對于系統(tǒng)是不可見的。
　　 自2005年Sony的數(shù)字版權(quán)管理使用rootkit技術被著名的安全分析專家MarkRussonovich曝光后，rootkit逐漸引起公眾普遍關注。并激發(fā)了新型rootkit技術的開發(fā)和研究。目前rootkit已被看作一種日益增長的信息安全威脅。據(jù)微軟信息安全部門的統(tǒng)計

2、數(shù)據(jù)：從Windows XP SP2清除的惡意軟件中，超過20％是rootkit。而在國內(nèi)猖獗一時的灰鴿子憑借rootkit技術對抗系統(tǒng)安全軟件的檢測，并曾連續(xù)3年被評為中國十大病毒之一?，F(xiàn)在，國內(nèi)外安全社區(qū)都正在認真面對rootkit所帶來的嚴峻挑戰(zhàn)。
　　 本文對Windows rootkit進行了系統(tǒng)的分析研究。首先，在闡述Windows rootkit的定義，并對其進行分類后，以內(nèi)核調(diào)試器WinDbg為工具，分析和驗證保

3、護模式下CPU的分段機制和分頁機制，說明理解CPU保護模式對Windows rootkit設計的重要性。其次，詳細分析Windows rootkit的經(jīng)典技術：SSDT的HOOK技術、IDT的HOOK技術、detour補丁技術、DKOM隱藏技術，重點研究這些技術的底層細節(jié)，說明這些Windows rootkit技術的具體實現(xiàn)方法。然后，研究Windows rootkit重要的隱藏目標：文件、進程、端口、驅(qū)動在Windows系統(tǒng)中的管理方

4、式，運用前面介紹的經(jīng)典技術實現(xiàn)隱藏這些系統(tǒng)資源的Windows rootkit，并剖析其核心技術，分析其設計思路。最后，研究Windows rootikit的交替數(shù)據(jù)流(Altemate Data Streams)、隱藏注冊表等技術，并對這些技術進行了詳細的解析。
　　 本課題的研究工作對Windows rootkit技術進行了全面而又深入的剖析，彌補了現(xiàn)有對Windows rootkit技術設計與分析的不足，具有一定的通用性和