進程隱藏技術(shù)及其在惡意代碼檢測中的應(yīng)用.pdf

1、隨著互聯(lián)網(wǎng)的發(fā)展，網(wǎng)絡(luò)安全備受人們的關(guān)注。現(xiàn)在的病毒木馬不再單純的以炫耀技術(shù)，破壞用戶系統(tǒng)為目的，更多的是潛行在系統(tǒng)中收集數(shù)據(jù)、竊取用戶私密信息以牟取錢財。為了能夠長期的潛行在系統(tǒng)中不被用戶和殺毒軟件發(fā)現(xiàn)，后門程序通常采用了隱藏技術(shù)，其中隱藏自身進程是其最基本的功能之一。
　　 本文首先回顧了Rootkit的發(fā)展歷史，并深入探討了Rootkit隱藏進程的原理，即掛鉤一些關(guān)鍵的API函數(shù)和系統(tǒng)服務(wù)函數(shù)、修改系統(tǒng)內(nèi)存和內(nèi)核對象等，接

2、著詳細分析了用戶模式下的IAT HOOK、Inline HOOK以及內(nèi)核模式下的IDT HOOK、SSDTHOOK、直接內(nèi)核對象操作等技術(shù)。最后對幾個經(jīng)典的Rootkit檢測工具進行了分析。但是，這些工具針對性很強只能檢測出某些特定Rootkit，無法檢測到采用了其他技術(shù)的Rootkit，而且還容易受到惡意代碼的破壞以達到篡改檢測結(jié)果欺騙用戶的不法目的。
　　 本文在分析了Rootkit隱藏進程所利用的各種技術(shù)的基礎(chǔ)上，設(shè)計了一

3、個具有自身完整性保護功能的多層次多方法隱藏進程檢測系統(tǒng)模型。自我完整性保護用來保護檢測系統(tǒng)不被具有反檢測功能的Rootkit所破壞，保證了檢測結(jié)果的正確性。在檢測隱藏進程時，檢測系統(tǒng)分別從用戶層和內(nèi)核層兩個層次對Rootkit可能修改的地方進行檢測，并且在每個層面都采用了多種檢測方法，在用戶層實現(xiàn)了直接內(nèi)核函數(shù)調(diào)用檢測方法；在內(nèi)核層實現(xiàn)了各種鉤子檢測方法、基于內(nèi)核對象的檢測方法以及基于線程調(diào)度的檢測方法，惡意代碼將會很難應(yīng)對這么多的檢測