基于隱性存儲(chǔ)的木馬原型研究與實(shí)現(xiàn).pdf

1、近年來(lái)，互聯(lián)網(wǎng)技術(shù)的快速發(fā)展引發(fā)了越來(lái)越嚴(yán)重的網(wǎng)絡(luò)安全問(wèn)題，如今網(wǎng)絡(luò)安全問(wèn)題已經(jīng)嚴(yán)重威脅到個(gè)人的工作以及生活。其中，木馬作為網(wǎng)絡(luò)安全問(wèn)題的重要攻克難題，亟需更好地防御技術(shù)來(lái)抵制它。由于木馬常常采用最前沿的互聯(lián)網(wǎng)技術(shù)。其技術(shù)已經(jīng)從最初被動(dòng)的規(guī)避安全防護(hù)軟件迅猛發(fā)展到如今主動(dòng)深入內(nèi)核爭(zhēng)奪主機(jī)的管理權(quán)，因此這對(duì)安全防護(hù)軟件的木馬查殺能力提出了更高層次的要求。本文對(duì)木馬展開深入研究，剖析其關(guān)鍵技術(shù)，以期為更好的查殺木馬提供堅(jiān)實(shí)的理論基礎(chǔ)和技術(shù)支

2、撐。
　　本文以高隱蔽性和高擴(kuò)展性為目標(biāo)，針對(duì)木馬文件的“隱性存儲(chǔ)技術(shù)”和“動(dòng)態(tài)鏈接庫(kù)內(nèi)存加載技術(shù)”展開研究，結(jié)合“多層指令解析機(jī)制”，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)基于隱性存儲(chǔ)的木馬原型系統(tǒng)。本文的主要工作歸納如下：
　　1、為解決傳統(tǒng)隱性存儲(chǔ)方法隱蔽性較低的問(wèn)題，本文提出了“分塊化”隱性存儲(chǔ)方法，將內(nèi)存中的功能載荷DLL(Dynamic Link Library)庫(kù)文件以塊形式分散存儲(chǔ)在文件系統(tǒng)的“碎片”宿主中。由于碎片是文件系統(tǒng)的殘

3、留空間，將DLL庫(kù)文件存儲(chǔ)到碎片中不會(huì)占據(jù)文件系統(tǒng)的有效空間且不會(huì)改變系統(tǒng)的數(shù)據(jù)結(jié)構(gòu)，因此本文提出的方法隱蔽性更高。同時(shí)，為了能夠突破Windows DLL庫(kù)文件僅限于從磁盤加載的限制，本文實(shí)現(xiàn)了“動(dòng)態(tài)鏈接庫(kù)內(nèi)存加載”技術(shù)完成了DLL庫(kù)文件在系統(tǒng)內(nèi)存中的加載，進(jìn)一步增強(qiáng)了隱性存儲(chǔ)運(yùn)行時(shí)的隱蔽性。
　　2、基于本文提出的“分塊化”隱性存儲(chǔ)方法，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)木馬原型系統(tǒng)。系統(tǒng)主要分為主控端和被控端兩部分，其中由主控端向被控端發(fā)送指