Windows系统内核Rootkit的检测技术研究

论文摘要

随着计算机技术的快速发展和互联网的迅速普及,计算机系统将会面临越来越多的病毒、木马、蠕虫等恶意代码的威胁,杀毒软件和恶意代码也大量使用一种称之为内核Rootkit的技术,从而使它们之间的对抗也深入到Windows操作系统的内核。对内核函数和内核函数地址表,如系统服务描述符表和中断描述符表,进行完整性检查可以检测内核Rootkit,但是这种方法无法定位内核的执行流程被重定向到哪个函数,并且会产生大量的漏报和误报,导致普通用户无法辨别。Windows系统中一些未公开的内核数据结构也可以用于内核Rootkit检测,但是内核Rootkit也可以使用这些内核数据结构,绕过这种检测方法。针对Windows系统内核Rootkit的特点,在研究现有检测方法和工具的基础上,结合对大量的Rootkit样本和WRK源码的研究,对基于外联挂钩的内核Rootkit、基于内联挂钩的内核Rootkit以及基于直接内核对象操作的Rootkit分别提出对应的检测方法,设计并实现检测程序。为了提高检测的效率,提出一种基于BM算法的改进的模式匹配算法,该算法增大模式串失配时的最大偏移距离,从而提高匹配的效率。利用检测程序对若干个Windows系统内核Rootkit样本进行检测,验证检测效果,并利用Windows系统下的其他Rootkit工具对这些样本进行检测。通过对检测结果的对比,证明新的检测方法不论是准确性还是稳定性,都有比较大的改进。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 研究背景
• 1.2 Rootkit 的定义及发展历史
• 1.3 国内外研究现状
• 1.4 本文的主要工作
• 1.5 本文的组织结构
• 2 Windows 系统内核
• 2.1 Windows 系统内核
• 2.2 Windows 系统的内核Rootkit 的分类
• 2.3 Windows 系统的内核Rootkit 的实现机理
• 2.4 本章总结
• 3 Windows 系统的内核Rootkit 检测技术
• 3.1 通用的入侵检测技术在Rootkit 检测中的应用
• 3.2 交叉视图在Rootkit 检测中的应用
• 3.3 一种新的内核Rootkit 检测思路
• 3.4 基于BM 算法的改进的模式匹配算法
• 3.5 本章总结
• 4 Windows 系统内核Rootkit 检测技术实现
• 4.1 一种新的Windows 系统内核Rootkit 检测方法
• 4.2 Windows 系统内核Rootkit 检测的实现
• 4.3 本章总结
• 5 检测效果测试和性能分析
• 5.1 实验环境
• 5.2 Windows 系统内核Rootkit 检测
• 5.3 检测效果分析
• 5.4 本章总结
• 6 总结与展望
• 6.1 工作总结
• 6.2 后续研究方向
• 致谢
• 参考文献