Windows內(nèi)核模塊安全技術(shù)的研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)的迅速深入和普及、信息技術(shù)的迅猛發(fā)展,經(jīng)濟(jì)、社會(huì)等各方面的重要信息在計(jì)算機(jī)中存儲(chǔ)和在網(wǎng)絡(luò)中傳輸。信息安全的研究成為最熱門的研究方向之一。終端系統(tǒng)的安全是構(gòu)建信息安全的基礎(chǔ)。Windows內(nèi)核模塊技術(shù)有很大的優(yōu)點(diǎn),但同時(shí)也存在很大的安全隱患。攻擊行為已經(jīng)從用戶態(tài)進(jìn)入內(nèi)核態(tài),具備了系統(tǒng)的最高權(quán)限,可以修改系統(tǒng)內(nèi)核的關(guān)鍵數(shù)據(jù)結(jié)構(gòu)并可以改變系統(tǒng)服務(wù)的一些功能。 本文對(duì)Windows內(nèi)核模塊的重要組成元素和各部分存在的不安全因素

2、進(jìn)行了深入的分析,然后對(duì)攻擊內(nèi)核模塊的技術(shù)比如各種掛鉤技術(shù)、機(jī)器重啟時(shí)自動(dòng)運(yùn)行技術(shù)、利用驅(qū)動(dòng)程序等進(jìn)入內(nèi)存的加載技術(shù)進(jìn)行了深入的剖析,特別對(duì)Rootkit各個(gè)發(fā)展階段的技術(shù)原理有很深入的研究。 最后,是內(nèi)核模塊安全檢測(cè)系統(tǒng)的設(shè)計(jì)和實(shí)現(xiàn),實(shí)際上就是在操作系統(tǒng)的運(yùn)行過程中,對(duì)內(nèi)存中各個(gè)敏感區(qū)域進(jìn)行檢測(cè)。內(nèi)存中的各種模塊,不管是內(nèi)核模式下的系統(tǒng)模塊還是用戶模式下的普通應(yīng)用模塊,都是從某些磁盤文件中寫入的,這些文件通常是PE格式文件,它

3、在從硬盤到內(nèi)存的過程中基本上是有章可循的。所以就能夠以硬盤為參照,查找內(nèi)存中可能出現(xiàn)的異常現(xiàn)象,從而判斷系統(tǒng)是否受到了攻擊。 本檢測(cè)系統(tǒng)首先對(duì)系統(tǒng)調(diào)用過程中涉及到的重要的用戶態(tài)及內(nèi)核態(tài)的主要模塊和重要的系統(tǒng)服務(wù)進(jìn)行檢測(cè),這些都是攻擊者的攻擊目標(biāo),每一部份的檢測(cè)都是對(duì)應(yīng)于對(duì)內(nèi)核模塊進(jìn)行攻擊的主要技術(shù)有針對(duì)性的進(jìn)行。并且本方案不是傳統(tǒng)的基于病毒的特征碼進(jìn)行檢測(cè)的,所以體現(xiàn)出一定的有效性和智能性。本文給出了整體的系統(tǒng)設(shè)計(jì)方案和每一檢測(cè)