基于行為特征的木馬檢測(cè)系統(tǒng)研究及實(shí)現(xiàn).pdf

1、在互聯(lián)網(wǎng)技術(shù)飛速發(fā)展和普及過(guò)程中存在著巨大的安全隱患，其中木馬泛濫異常猖獗，技術(shù)上不斷更新，因此研究木馬檢測(cè)技術(shù)有著重要的意義和價(jià)值。
　　 本論文在研究當(dāng)今國(guó)內(nèi)外木馬檢測(cè)技術(shù)研究現(xiàn)狀及不足后，提出采用目前比較流行的基于木馬行為特征檢測(cè)技術(shù)作為主要應(yīng)用技術(shù)，重點(diǎn)對(duì)木馬行為特征進(jìn)行了詳細(xì)的研究總結(jié)，并依據(jù)木馬常見(jiàn)的行為特征構(gòu)建木馬行為特征庫(kù)。
　　 論文在理論研究的基礎(chǔ)上設(shè)計(jì)實(shí)現(xiàn)了一款基于木馬行為特征檢測(cè)系統(tǒng)。詳細(xì)敘述了系

2、統(tǒng)結(jié)構(gòu)設(shè)計(jì)、系統(tǒng)功能模塊設(shè)計(jì)及基于木馬行為特征庫(kù)設(shè)計(jì)。其中系統(tǒng)功能模塊包括控制中心模塊、網(wǎng)絡(luò)通信檢測(cè)模塊、進(jìn)程檢測(cè)模塊、文件檢測(cè)模塊及注冊(cè)表檢測(cè)模塊。每個(gè)模塊論述中包括工作原理，框架結(jié)構(gòu)圖及流程圖。最后，根據(jù)系統(tǒng)功能模塊獲取的行為特征，利用構(gòu)建的木馬行為特征庫(kù)得出待測(cè)文件的判定結(jié)果。
　　 其中論文對(duì)部分關(guān)鍵技術(shù)研究進(jìn)行詳細(xì)敘述。首先研究了網(wǎng)絡(luò)通信模塊所使用的兩種關(guān)鍵技術(shù)Winsock2 SPI技術(shù)和NDIS HOOK技術(shù)，包括

3、兩種技術(shù)的基礎(chǔ)知識(shí)和特點(diǎn)等，然后介紹網(wǎng)絡(luò)通信兩大模塊的實(shí)現(xiàn)：基于SPI HOOK模塊首先介紹實(shí)現(xiàn)原理，然后通過(guò)Nmsock.dll中截獲網(wǎng)絡(luò)封包的實(shí)現(xiàn)和Nmsock.dll中解析網(wǎng)絡(luò)封包的實(shí)現(xiàn)兩部分詳細(xì)敘述了基于SPI HOOK模塊的具體實(shí)現(xiàn)；基于NDIS HOOK模塊首先介紹實(shí)現(xiàn)原理，然后通過(guò)Nmdriver.sys中截獲網(wǎng)絡(luò)封包的實(shí)現(xiàn)、Nmdriver.sys中協(xié)議判定的實(shí)現(xiàn)和Nmdriver.sys中解析網(wǎng)絡(luò)封包的實(shí)現(xiàn)三部分詳細(xì)敘