基于Windows消息機(jī)制的HTTP隱蔽通道的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著信息與網(wǎng)絡(luò)技術(shù)的發(fā)展，以及這些技術(shù)在軍事領(lǐng)域的不斷滲透，計(jì)算機(jī)網(wǎng)絡(luò)已成為連接未來(lái)信息化戰(zhàn)場(chǎng)的樞紐。對(duì)計(jì)算機(jī)的攻擊，能夠獲得大量寶貴的情報(bào)以及達(dá)到其它武器系統(tǒng)所不能及的效果。因此對(duì)以計(jì)算機(jī)為基礎(chǔ)的網(wǎng)絡(luò)攻擊與防護(hù)就自然成為軍事領(lǐng)域密切關(guān)注的問(wèn)題。 網(wǎng)絡(luò)隱蔽通道技術(shù)是一種被廣泛應(yīng)用的網(wǎng)絡(luò)攻擊技術(shù)。該技術(shù)利用網(wǎng)絡(luò)通信數(shù)據(jù)作為載體進(jìn)行秘密通信。一般而言，防火墻和入侵檢測(cè)系統(tǒng)上的安全策略在防止非法程序利用正常的通信途徑竊取信息方面是有效

2、的，但是卻不能有效地防止非法程序利用那些本來(lái)不是用于通信目的的途徑來(lái)進(jìn)行通信。而網(wǎng)絡(luò)隱蔽通道技術(shù)則能夠使用來(lái)傳遞信息的信息通道以違反安全策略的方式運(yùn)行，可以一定程度上穿透防火墻和躲避入侵檢測(cè)。因此網(wǎng)絡(luò)隱蔽通道在網(wǎng)絡(luò)通信數(shù)據(jù)中無(wú)處不在、無(wú)時(shí)不在。 雖然網(wǎng)絡(luò)隱蔽通道可以構(gòu)建在TCP/IP模型的各層上(物理層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層)，但是由于應(yīng)用層天然的優(yōu)勢(shì)－相對(duì)于其它層而言，應(yīng)用層的數(shù)據(jù)，可被代理服務(wù)器改動(dòng)的空間較??；在應(yīng)用層上構(gòu)

3、建隱蔽通道所要求的權(quán)限較小－所以，越來(lái)越多的隱蔽通道構(gòu)建于該層之上。在應(yīng)用層上，可被利用來(lái)構(gòu)建隱蔽通道的協(xié)議主要有超文本傳輸協(xié)議(HTTP Hypertext Transfer Protocol)、簡(jiǎn)單郵件傳輸協(xié)議(SMTP Simple Mail Transfer Protocol)、域名解析系統(tǒng)(DNS DomainName System)。由于HTTP下的隱蔽通道不容易被檢測(cè)和屏蔽并且具有較高的帶寬，故本文以HTTP下的隱蔽通道為

4、研究對(duì)象，設(shè)計(jì)并實(shí)現(xiàn)了一種應(yīng)用于Microsoft Windows操作系統(tǒng)環(huán)境下的新的HTTP 隱蔽通道技術(shù)。該技術(shù)以HTTP 協(xié)議為載體，通過(guò)利用Windows消息機(jī)制來(lái)控制擁有網(wǎng)絡(luò)訪問(wèn)權(quán)限的應(yīng)用程序，進(jìn)而構(gòu)建網(wǎng)絡(luò)隱蔽通道，并對(duì)通道中的數(shù)據(jù)進(jìn)行加密傳輸，以達(dá)到穿透防火墻和躲避入侵檢測(cè)的目的。 本文的主要內(nèi)容如下： 首先，本文詳細(xì)研究了HTTP協(xié)議報(bào)文的內(nèi)容，對(duì)于HTTP協(xié)議有了全面深入的了解；在此基礎(chǔ)上，本文給出了構(gòu)建

5、HTTP隱蔽通道的三種通用模型(簡(jiǎn)單HTTP模型、代理模型、CGI模型)和四種常用的方法(GET方法、HEAD方法、POST方法、PUT方法)。 接著，本文深入地研究了Windows系統(tǒng)的消息組成和消息的種類，并進(jìn)一步研究了整個(gè)消息處理的機(jī)制：從消息的產(chǎn)生、發(fā)送、接收、到最后的處理。 然后，本文選擇“簡(jiǎn)單的HTTP模型”作為本文要實(shí)現(xiàn)的HTTP隱蔽通道的模型，并采用GET方法作為該隱蔽通道的實(shí)現(xiàn)方法，利用Windows消

6、息機(jī)制來(lái)劫持擁有網(wǎng)絡(luò)訪問(wèn)權(quán)限的應(yīng)用程序；采用C++和Ruby 作為編程語(yǔ)言，分別在Microsoft Windows XP和Red HatLinux Fedora Core4實(shí)現(xiàn)了該隱蔽通道的客戶端和服務(wù)端。 最后，本文搭建了以Snort作為入侵檢測(cè)系統(tǒng)，SymantecAntiVirus+SkyNet作為軟件防火墻的一個(gè)測(cè)試平臺(tái)，對(duì)本文實(shí)現(xiàn)的這個(gè)隱蔽通道進(jìn)行了相關(guān)方面的測(cè)試，并利用測(cè)試結(jié)果對(duì)該隱蔽通道的性能進(jìn)行了分析。