Windows內(nèi)核態(tài)Rootkit隱藏性研究.pdf

1、隨著計算機病毒和網(wǎng)絡(luò)攻擊技術(shù)的進步，Windows系統(tǒng)出現(xiàn)了一種新型惡意軟件形式——內(nèi)核態(tài)Rootkit。短短幾年，從簡單替換文件的第一代Rookit發(fā)展到當今可修改內(nèi)核的第三代，更出現(xiàn)固件Rootkit、虛擬Rootkit等新型Rootkit。內(nèi)核態(tài)Rootkit是Windows遠程控制系統(tǒng)重要組成部分，是當今Rootkit研究的重點。內(nèi)核態(tài)Rootkit研究的焦點是Rootkit的隱蔽性，Rootkit隱蔽能力決定了其生命力。

2、>　　 本文旨在提高內(nèi)核態(tài)Rootkit隱藏能力。首先提出一種可以突破主流Rootkit檢測軟件的新型內(nèi)核鉤子技術(shù)，這種技術(shù)將鉤掛更深層次的內(nèi)部函數(shù)，并且將鉤子函數(shù)拷貝到非換頁池或內(nèi)核模塊的空隙內(nèi)存中，有效地躲避了主流檢測軟件的檢測。本文利用這種技術(shù)從三個方面提高內(nèi)核態(tài)Rootkit的隱蔽能力：第一，將自啟動隱藏分為自啟動方式和自啟動過程分別隱藏。在自啟動方式中，針對不同模塊采用不同的加載方式．在自啟動過程隱藏中，利用突破“守護門口”

3、技術(shù)，將檢測軟件所監(jiān)控的系統(tǒng)服務(wù)恢復和清除通知例程，最終成功地將Rootldt的其他模塊安裝；第二，針對Rootkit不同模塊采取了不同的加載方式，又根據(jù)加載特點將已加載驅(qū)動程序隱藏；第三，內(nèi)核態(tài)Rootkit通信是實現(xiàn)遠程控制的唯一方式，其隱蔽性至關(guān)重要。針對當前Rootkit通信的不足，本文使用NDISHOOK技術(shù)在NDIS層實現(xiàn)通信隱藏，能夠有效地穿透過濾型網(wǎng)絡(luò)防火墻。
　　 通過Rootkit檢測工具對改進設(shè)計測試效果分