基于行為特征的木馬檢測系統(tǒng)研究及實現(xiàn).pdf

1、在互聯(lián)網(wǎng)技術(shù)飛速發(fā)展和普及過程中存在著巨大的安全隱患，其中木馬泛濫異常猖獗，技術(shù)上不斷更新，因此研究木馬檢測技術(shù)有著重要的意義和價值。
　　 本論文在研究當今國內(nèi)外木馬檢測技術(shù)研究現(xiàn)狀及不足后，提出采用目前比較流行的基于木馬行為特征檢測技術(shù)作為主要應(yīng)用技術(shù)，重點對木馬行為特征進行了詳細的研究總結(jié)，并依據(jù)木馬常見的行為特征構(gòu)建木馬行為特征庫。
　　 論文在理論研究的基礎(chǔ)上設(shè)計實現(xiàn)了一款基于木馬行為特征檢測系統(tǒng)。詳細敘述了系

2、統(tǒng)結(jié)構(gòu)設(shè)計、系統(tǒng)功能模塊設(shè)計及基于木馬行為特征庫設(shè)計。其中系統(tǒng)功能模塊包括控制中心模塊、網(wǎng)絡(luò)通信檢測模塊、進程檢測模塊、文件檢測模塊及注冊表檢測模塊。每個模塊論述中包括工作原理，框架結(jié)構(gòu)圖及流程圖。最后，根據(jù)系統(tǒng)功能模塊獲取的行為特征，利用構(gòu)建的木馬行為特征庫得出待測文件的判定結(jié)果。
　　 其中論文對部分關(guān)鍵技術(shù)研究進行詳細敘述。首先研究了網(wǎng)絡(luò)通信模塊所使用的兩種關(guān)鍵技術(shù)Winsock2 SPI技術(shù)和NDIS HOOK技術(shù)，包括

3、兩種技術(shù)的基礎(chǔ)知識和特點等，然后介紹網(wǎng)絡(luò)通信兩大模塊的實現(xiàn)：基于SPI HOOK模塊首先介紹實現(xiàn)原理，然后通過Nmsock.dll中截獲網(wǎng)絡(luò)封包的實現(xiàn)和Nmsock.dll中解析網(wǎng)絡(luò)封包的實現(xiàn)兩部分詳細敘述了基于SPI HOOK模塊的具體實現(xiàn)；基于NDIS HOOK模塊首先介紹實現(xiàn)原理，然后通過Nmdriver.sys中截獲網(wǎng)絡(luò)封包的實現(xiàn)、Nmdriver.sys中協(xié)議判定的實現(xiàn)和Nmdriver.sys中解析網(wǎng)絡(luò)封包的實現(xiàn)三部分詳細敘