基于Linux内核的Rootkit研究

论文摘要

近年来,随着计算机技术的发展和现代军事领域对计算机系统依赖程度的增加,计算机网络正以前所未有的速度作用于社会政治经济生活的各个领域。信息化水平己成为衡量一个国家现代化程度和综合国力的重要标志。Linux操作系统由于其系统源码的公开性和稳定的系统性能,得到了广泛的应用。Linux系统下远程控制技术的研究正日益成为网络安全领域研究的热点,而内核Rootkit以其强大的功能和较为完善的隐蔽性更加受到瞩目.内核rootkit以其高杀伤性,高隐蔽性,高灵活性正逐渐的成为顶级黑客的攻击手段。本文首先对linux内核进行的分析。深入了解其机理和运作机制,只有这样才能“知己知彼”。然后在其基础上,研究了当前流行的linux rootkit所采用的技术。并对其底层技术进行了深入的研究,重点放在系统调用接口的替换上。通过分析当前的内核级rootkit并根据其采用的技术将其分类。最后,设计出了一种新型的动态的内核级rootkit。并进行了验证。本文的工作为操作系统内核安全的研究引入了新的思路,实现了一种新型的rootkit,研究的分类方法以及新型的rootkit模型对新的rootkit的研究、分类和检测提供了理论依据。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 课题研究的来源背景
• 1.1.1 Rootkit 基本概念
• 1.1.2 课题背景
• 1.2 Rootkit 的发展历史和现状
• 1.3 Rootkit 的功能
• 1.4 Rootkit 的类型
• 1.5 本文的组织
• 2 深入分析和理解 Linux 内核
• 2.1 Linux 操作系统内核发展
• 2.2 Linux 操作系统体系结构
• 2.2.1 Linux 内核组成
• 2.2.2 依赖关系
• 2.3 系统启动过程
• 2.3.1 系统启动概述
• 2.3.2 引导装入程序
• 2.3.3 系统初始化
• 2.4 进程管理与调度机制
• 2.4.1 重要的数据结构与宏
• 2.4.2 进程调度策略
• 2.5 本章小结
• 3 Rootkit 相关原理分析
• 3.1 Linux 系统调用机制
• 3.1.1 什么是系统调用
• 3.1.2 系统调用的作用
• 3.1.3 系统调用的实现机制
• 3.2 可加载内核模块机制
• 3.2.1 可加载内核模块的结构
• 3.2.2 可加载内核模块的编译
• 3.2.3 加载内核模块的流程
• 3.2.4 加载内核模块时的版本检查
• 3.3 Rootkit 的攻击原理
• 3.3.1 攻击系统调用函数
• 3.3.2 攻击系统调用表
• 3.4 小结
• 4 当前 Rootkit 的检测方法
• 4.1 用现有的 GPL 工具检测 Rootkit
• 4.2 黑盒分析法检测 Rootkit
• 4.3 小结
• 5 一种新型的 rootkit 模型
• 5.1 rootkit 的要求和功能
• 5.1.1 内核Rootkit 需满足下列要求
• 5.1.2 系统的功能
• 5.2 笔者对 rootkit 的研究和看法
• 5.2.1 proc rootkit
• 5.2.2 非/proc rootkit
• 5.3 一种新型的非/proc 型内核级 rootkit
• 5.3.1 linux 内核定时器的工作方式
• 5.3.2 Linux 的工作队列
• 5.3.3 基于定时器和工作队列的rootkit 工作方式
• 5.4 新型 rootkit 的检测
• 5.5 小结
• 结论
• 参考文献
• 致谢
• 攻读学位期间已发表的学术论文及科研成果