ROOTKIT檢測技術和系統(tǒng)修復技術的研究.pdf

1、隨著網(wǎng)絡技術的飛速發(fā)展，我們的生活，學習，工作和娛樂與網(wǎng)絡聯(lián)系得越來越緊密。我們充分享受網(wǎng)絡帶給我們的方便的同時，各種各樣的病毒，木馬等惡意軟件也在網(wǎng)絡上大肆流行。這些惡意軟件破壞我們的電子數(shù)據(jù)，盜取我們的個人信息，控制我們的個人電腦，最終導致我們個人財產(chǎn)的損失。我們需要詳細研究各種惡意軟件技術，來保護我們的個人財產(chǎn)和信息。文章對嚴重威脅網(wǎng)絡與信息安全的技術——內核級Rootkit進行了詳細的研究。
　　 Rootkit是攻擊者

2、在入侵系統(tǒng)后用來躲避各種安全軟件的監(jiān)控，長期隱藏在系統(tǒng)中監(jiān)控用戶行為，竊取用戶信息的技術。Rootkit區(qū)別于其他惡意軟件最大的特點是隱藏，是長期無法被檢測的隱藏于系統(tǒng)中。Rootkit不但可以隱藏自己，還可以隱藏其他惡意軟件。
　　 目前Rootkit技術最新的發(fā)展方向是與病毒，木馬等惡意軟件結合。Rootkit隱藏這些惡意軟件的行為來躲避各種安全軟件的監(jiān)控，這些惡意軟件負責發(fā)動攻擊，竊取用戶信息等等。Rootkit和其他的惡

3、意軟件的結合，導致了以前可以被殺毒軟件通過特征碼掃描輕易發(fā)現(xiàn)的病毒，木馬等惡意軟件，現(xiàn)在卻無法被發(fā)現(xiàn)。因為Rootkit已經(jīng)隱藏了惡意軟件的文件，進程，注冊表等等信息，殺毒軟件連惡意軟件的文件的找不到，就無法掃描了，更不可能清除它們。
　　 本文對Rootkit檢測技術和系統(tǒng)修復技術進行了詳細的研究，主要的工作包括如下：
　　 首先，概述了Rootkit的研究背景，研究內容，研究現(xiàn)狀，論文的組織結構，Rootkit的定義

4、，分類，與其他的惡意軟件的區(qū)別和它的危害。
　　 其次，詳細研究了Rootkit使用的各種技術。針對Rootkit使用的技術，詳細研究了Rootkit的檢測技術和系統(tǒng)修復技術。
　　 再次，詳細分析當前使用得比較多的Rootkit檢測工具“IceSword和RootkitUnhooker”的檢測技術。IceSword檢測進程采用ExEnumHandleTable函數(shù)獲得進程列表，Rootkit通過掛鉤ExEnumHand

5、leTable函數(shù)，繞過IceSword的進程檢測。針對該問題本文提出了不使用ExEnumHandleTable函數(shù)獲取進程列表的方法。Rootkit Unhooker檢測內聯(lián)鉤子存在誤檢的問題，如果盲目使用修復功能，將導致系統(tǒng)崩潰。本文提出使用調試器實際觀察匯編代碼來解決這個問題。
　　 然后，本文在系統(tǒng)分析中斷描述符表的基礎上，提出通過備份真實中斷描述符表的方法檢測和修復中斷描述符表。該方法可以阻止Rootkit掛鉤中斷描述

6、符表，獲得系統(tǒng)內核的控制權。
　　 接著，提出修復驅動程序的I/O請求報文處理程序鉤子的方法。本文首先通過反匯編fat32文件系統(tǒng)的驅動程序fastfat.sys獲得特征碼，然后利用特征碼在硬盤上的fastfat.sys文件中查找I/O請求報文處理程序的地址，最后通過這個地址計算出I/O請求報文處理程序在內存中的真實地址。該方法可以阻止Rootkit隱藏文件，目錄，通訊端口和通訊流量等等。
　　 最后，提出Rootkit