Bootkit技術(shù)分析及其防御方法的研究.pdf

1、隨著計(jì)算機(jī)和互聯(lián)網(wǎng)的迅猛發(fā)展，計(jì)算機(jī)和互聯(lián)網(wǎng)的安全問題日益凸顯，各種攻擊事件、木馬、病毒層出不窮。時(shí)至今日，木馬、病毒的作用不在是黑客對(duì)自我技術(shù)的炫耀，開始向竊取信息、詐騙等有計(jì)劃、有組織的網(wǎng)絡(luò)犯罪方向轉(zhuǎn)變。相應(yīng)的，一些更加具有隱蔽性和頑固性的木馬、病毒開始大規(guī)模傳播，造成了極大的危害。而基于Bootkit技術(shù)的木馬、病毒由于其在Windows內(nèi)核加載前就可以獲得執(zhí)行，能夠先于各種安全防御機(jī)制運(yùn)行，具有非常好的隱蔽性，并且很難徹底清除。

2、目前，造成了較大危害的Bootkit病毒分別為在國(guó)內(nèi)流行的鬼影系列，以及國(guó)外流行的TDSS系列，它們都是通過修改MBR（Master Boot Record，主引導(dǎo)記錄）達(dá)到其先于Windows內(nèi)核運(yùn)行的目的。針對(duì)該種基于MBR的Bootkit的特點(diǎn)，最有效的防御手段就是在其修改MBR時(shí)將其攔截。
　　本文首先介紹了Windows內(nèi)核的相關(guān)知識(shí)以及詳細(xì)的引導(dǎo)啟動(dòng)過程。之后，為了探究Bootkit技術(shù)，詳細(xì)解讀分析了Stoned B

3、ootkit的感染及運(yùn)行過程，為之后對(duì)Bootkit防御方法的研究打下了基礎(chǔ)。針對(duì)目前流行的Bootkit病毒都選擇感染MBR的特點(diǎn)，本文首先實(shí)現(xiàn)了SSDT（System Services Descriptor Table，系統(tǒng)服務(wù)描述表）Hook NtWriteFile函數(shù)過濾寫入文件請(qǐng)求和Hook IRP(I/O requestpackets，I/O請(qǐng)求包)分發(fā)函數(shù)IoCallDriver過濾IRP兩種防御方式，分別完成了在用戶模式