windows内核态rootkit隐藏性分析计算机系统结构专业论文.docxVIP

摘要摘要 摘要 摘要 随着计算机病毒和网络攻击技术的进步，Windows系统出现了一种新型恶 意软件形式——内核态Rootldt。短短几年，从简单替换文件的第一代Rookit发 展到当今可修改内核的第三代，更出现固件Rootkit、虚拟Rootkit等新型Rootkit。 内核态Rootkit是WindOWS远程控制系统重要组成部分，是当今Rootldt研究的 重点。内核态Rootkit研究的焦点是Rootkit的隐蔽性，Rootkit隐蔽能力决定了 其生命力。 本文旨在提高内核态Rootkit隐藏能力。首先提出一种可以突破主流Rootkit 检测软件的新型内核钩子技术，这种技术将钩挂更深层次的内部函数，并且将 钩子函数拷贝到非换页池或内核模块的空隙内存中，有效地躲避了主流检测软 件的检测。本文利用这种技术从三个方面提高内核态Rootkit的隐蔽能力：第一， 将自启动隐藏分为自启动方式和自启动过程分别隐藏。在自启动方式中，针对 不同模块采用不同的加载方式．在自启动过程隐藏中，利用突破“守护门口 技术，将检测软件所监控的系统服务恢复和清除通知例程，最终成功地将Rootldt 的其他模块安装；第二，针对Rootkit不同模块采取了不同的加载方式，又根据 加载特点将已加载驱动程序隐藏；第三，内核态Rootkit通信是实现远程控制的 唯一方式，其隐蔽性至关重要。针对当前RootkJt通信的不足，本文使用NDIS HOOK技术在NDIS层实现通信隐藏，能够有效地穿透过滤型网络防火墙。 通过Rootkit检测工具对改进设计测试效果分析，改进的内核态Rootldt在 隐藏性方面有显著增强，能躲避针对执行路径分析、自启动分析、隐藏驱动分 析等，能够有效穿透过滤型防火墙。总之，Rootkit的隐藏性是内核态Rootkit系 统设计和实现的最重要问题，是整个系统得以生存的关键。 通过对内核态Rootkit隐藏性技术的研究与改进，本文为防治使用内核态 Rootldt技术的病毒提供了技术参考，也为检测内核态Rootkit提供了一些工具。 关键字：Rootkit隐藏性自启动NDIS AbstractAbstract Abstract Abstract Wi也the advance of computer viruses and network attacks technology，a new type of malicious software named kcmcl Rootldt appears in Windows system．In the past few years，Rookit is developed from the first generation of simple replacement to the third generation of kernel modification,fillthermore，伍rllware Rootldt,virtual Rootldt，and other new Rootkits appear successively．Kernel Rootldt is an important part of remote control system in Windows system,and it is the focus of Rootkit research currently．Kernel Rootkit research focuses on how to llide Rootldt itself,and its viability is determined by the capacity of hiding． Aiming at enhancing the capacity of kernel-mode Rootkit to mde，this paper proposes a new kernel hook which can break through the current Rootldt detection softwares．弛is technology hooks deeper internal function,and copies hook function to non—forpool or kernel module memo巧gap，SO it can evade the detection of software effectively．In this paper,the technology improves the capacity of hiding from three aspects．Firstly，self-launching will be divid