基于視窗操作系統(tǒng)的程序隱藏技術(shù)研究.pdf

1、Rootkit 技術(shù)是各種攻擊中通常采用的技術(shù)，它為惡意軟件提供了隱藏行跡的功能。因此，為保護(hù)用戶計(jì)算機(jī)安全，對(duì)Windows 操作系統(tǒng)環(huán)境下的Rootkit 技術(shù)展開研究，不僅在犯罪嫌疑人的遠(yuǎn)程監(jiān)控及遠(yuǎn)程特定信息獲取中具有重要的理論和實(shí)踐意義，而且在特定用戶信息的保護(hù)中也具有較高價(jià)值。
　　 從用戶模式和內(nèi)核模式兩個(gè)方面分別分析了Rootkit 程序采用的主要技術(shù)，歸納并說明了常用的Rootkit 檢測(cè)技術(shù)和檢測(cè)原理。以此為基

2、礎(chǔ)，闡述了一個(gè)基于Rootkit原理的且封裝了TCP（Transmission Control Protocol）通信和NDIS（Network DriverInterface Specification）通信兩種通信方式的PCTS（Program Concealment Tools）系統(tǒng)的設(shè)計(jì)思想，分析了該系統(tǒng)的應(yīng)用場(chǎng)景，給出了PCTS系統(tǒng)的功能需求，如通信、隱藏等。按照自頂向下的設(shè)計(jì)原則，論述了PCTS系統(tǒng)的體系結(jié)構(gòu)和工作流程，闡明

3、了系統(tǒng)啟動(dòng)模塊、通信模塊、命令解析模塊和隱藏模塊的具體設(shè)計(jì)。
　　 基于NDIS 協(xié)議驅(qū)動(dòng)的原理及通信函數(shù)封裝原理，給出了NDIS 協(xié)議驅(qū)動(dòng)的實(shí)現(xiàn)、應(yīng)用程序和驅(qū)動(dòng)的交互方式及NDIS 協(xié)議驅(qū)動(dòng)采用的通信保障機(jī)制。在此基礎(chǔ)上，基于NDIS 協(xié)議驅(qū)動(dòng)實(shí)現(xiàn)了一個(gè)可以隱藏通信端口的中間層API（ApplicationProgramming Interface）。說明了PCTS 系統(tǒng)具體實(shí)現(xiàn)，其中著重論述了隱藏模塊的實(shí)現(xiàn)，包括用戶模式隱藏