基于身份检查的反木马技术研究

论文摘要

随着木马编写技术的快速发展,木马对用户的威胁越来越大,尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己,不仅使普通用户很难在中马后发觉,而且使主流的杀毒软件和防火墙都难以觉察。针对日益严重的木马问题,主流的反木马技术还是以查杀木马为主,本文提出了一种以防为主的反木马技术。本文首先介绍了木马的相关内容,详细介绍的分析了主流的反木马技术,指出了它们的一些不足。接着针对它们的不足,本文提出了身份检查的反木马技术。文中详细介绍了该技术的核心思想,即只允许有身份的程序运行,不运行身份不名的程序运行,并分析了这个的可行性。对它的相关概念和实现过程进行了详细介绍。然后针对文件身份库的建立,提出了它的两个关键之处。文件身份标识映射算法采用MD5算法,文件身份的数据存储采用SQLite数据库存储。最后介绍了身份检查的关键技术,即SSDT的HOOK技术。文中介绍了内核驱动的相关概念和实现。然后详细介绍了SSDT的HOOK技术,并针对这一技术给出了具体的实现方法。最后介绍了整个身份检查的具体实现。采用本文的技术,我们实现了一个反木马程序,并采用木马进行测试,取得了理想的效果。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 木马的危害
• 1.2 反木马技术的现状和存在的问题
• 1.3 本文的主要内容
• 第二章 木马和反木马技术概述
• 2.1 木马的定义及其分类
• 2.1.1 木马病毒的原理
• 2.1.2 木马病毒的发展
• 2.1.3 木马病毒的种类
• 2.1.4 木马病毒的危害
• 2.2 反木马技术
• 2.2.1 特征码识别
• 2.2.2 广谱特征
• 2.2.3 启发式扫描
• 2.2.4 虚拟机
• 2.2.5 主动防御
• 2.2.6 云查杀
• 2.2.7 防火墙技术
• 第三章 身份检查的反木马技术介绍
• 3.1 技术核心介绍
• 3.2 文件身份库的建立
• 3.3 身份检查的过程
• 第四章 建立文件身份库
• 4.1 文件身份标识映射算法
• 4.1.1 HASH函数概述
• 4.1.2 HASH函数种类
• 4.1.3 安全特性
• 4.1.4 应用范围
• 4.1.5 HASH函数的采用
• 4.2 文件身份的数据库存储
• 4.2.1 SQLITE数据库概述
• 4.2.2 SQLITE特性
• 4.2.3 SQLITE数据类型
• 4.2.4 文件身份数据表的建立
• 第五章 身份检查
• 5.1 内核驱动
• 5.1.1 WINDOWS驱动介绍
• 5.1.2 驱动程序结构
• 5.2 SSDT的HOOK
• 5.2.1 SSDT介绍
• 5.2.2 HOOK技术介绍
• 5.2.3 SSDT的HOOK
• 5.3 身份检查的实现
• 5.3.1 SSDT的HOOK实现
• 5.3.2 身份检查的实现
• 第六章 结论
• 参考文献
• 致谢