Windows Nt6.x安全特性下的Rootkit研究

论文摘要

随着互联网的高速发展,网络的安全问题变得日益突出。操作系统是系统安全领域攻防激烈对抗的主战场,新发布的操作系统不断地增强自身的安全防护,与此同时,恶意程序也在研究新操作系统的脆弱性,进而加以利用,实现攻击目的。通常,Rootkit是指一类特洛伊木马后门工具,通过修改现有的操作系统软件,使攻击者获得访问权限并隐藏在计算机中。Rootkit技术自身并不具备恶意特性,一些具有高级特性的软件比如反病毒软件也会使用一些Rootkit技术来使自己处在系统的最底层,进而可以发现更多的恶意攻击。然而Rootkit技术一旦被木马病毒等恶意程序利用,就具有恶意特性。微软公司发布的Windows系列操作系统,Windows XP是最热门和最普及的操作系统,但同时也是恶意程序最主要的攻击对象。在新发布的Windows NT6.x系列操作系统中,引入了一些安全特性,比如用户账户控制、驱动数字签名、内核保护补丁等技术,使得恶意软件的一些攻击手段失效,但同时一些新的攻击手段也应运而生。本课题的研究内容是分析Windows NT6.x平台的新安全机制下传统Rootkit的生存状况,以及新型Rootkit技术,提出了基于Windows NT6.x平台的检测新方法。本文首先分析了目前恶意软件的现状,详细介绍了Windows NT6.x下的安全机制,分析了传统Rootkit的原理及其在新的安全机制下的生存现状,剖析了几款目前NT6.x平台上比较流行的新型Rootkit。最后,本文设计实现了一个Windows NT6.x下的Rootkit检测工具,给出了系统设计方案及关键模块的实现技术。本文对该检测工具进行了一系列的单元测试和模块测试。测试表明该工具能够检测Windows NT6.x平台上比较流行的Rootkit,还具有比XurTr等Rootkit检测工具更好的稳定性和检测特殊Rootkit的能力。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 研究背景和研究意义
• 1.1.1 研究背景
• 1.1.2 研究意义
• 1.2 研究现状
• 1.2.1 Rootkit隐藏技术的研究现状
• 1.2.2 Rootkit检测技术的研究现状
• 1.2.3 现有研究不足
• 1.3 主要工作和论文结构
• 1.3.1 论文工作
• 1.3.2 论文创新点
• 1.3.3 论文结构
• 第2章 Windows NT6.x的安全机制
• 2.1 用户界面特权隔离
• 2.1.1 用户界面特权隔离概述
• 2.1.2 用户界面特权隔离的工作原理
• 2.1.3 用户界面特权隔离的脆弱性分析
• 2.2 强制驱动签名
• 2.2.1 强制驱动签名概述
• 2.2.2 驱动签名和验证的工作原理
• 2.2.3 强制驱动签名的脆弱性分析
• 2.3 内核补丁保护
• 2.3.1 内核补丁保护概述
• 2.3.2 内核补丁保护的工作原理
• 2.3.3 内核补丁保护的脆弱性分析
• 2.4 用户账户控制
• 2.4.1 用户账户控制概述
• 2.4.2 用户账户控制的工作原理
• 2.4.3 用户账户控制的脆弱性分析
• 2.5 地址空间分配随机化技术
• 2.5.1 地址空间分配随机化技术概述
• 2.5.2 地址空间分配随机化技术的工作原理
• 2.5.3 地址空间分配随机化技术的脆弱性分析
• 2.6 NT6.x其它安全特性
• 2.7 本章小结
• 第3章 Windows NT6.x Rootkit的原理和检测技术
• 3.1 用户模式Rootkit
• 3.1.1 DLL注入
• 3.1.2 IAT挂钩
• 3.1.3 detour补丁
• 3.2 内核模式Rootkit
• 3.2.1 Object挂钩
• 3.2.2 SSDT挂钩
• 3.2.3 SSDT Shadow挂钩
• 3.2.4 Inline挂钩
• 3.2.5 IDT挂钩
• 3.2.6 IRP挂钩
• 3.2.7 系统调用挂钩
• 3.2.8 IAT挂钩
• 3.2.9 EAT挂钩
• 3.2.10 DKOM技术
• 3.2.11 过滤驱动Rootkit
• 3.3 本章小结
• 第4章 Windows NT6.x新型Rootkit
• 4.1 Windows NT6.x Bootable Rootkit
• 4.1.1 vBootkit
• 4.1.2 Stoned Bootkit
• 4.2 Vista系统还原Rootkit
• 4.3 TDSS Rootkit
• 4.4 本章小结
• 第5章 Windows NT6.x Rootkit检测平台的设计与实现
• 5.1 总体设计方案
• 5.2 模块设计
• 5.2.1 隐藏进程子模块
• 5.2.2 隐藏服务模块
• 5.2.3 隐藏端口检测模块
• 5.2.4 SSDT挂钩检测模块
• 5.2.5 SSDT Shadow挂钩检测模块
• 5.2.6 IDT挂钩检测模块
• 5.2.7 NT6.x新型Rootkit检测模块
• 5.3 本章小结
• 第6章 测试与结果分析
• 6.1 实验测试环境
• 6.2 实验恶意软件样本的来源
• 6.3 单元测试
• 6.4 模块测试
• 6.4.1 新型Rootkit的检测效果
• 6.4.2 隐藏进程子模块检测效果
• 6.4.3 隐藏服务模块检测效果
• 6.4.4 隐藏内核子模块检测效果
• 6.4.5 消息挂钩的检测效果
• 6.4.6 SSDT挂钩的检测效果
• 6.4.7 SSDT Shadow挂钩的检测效果
• 6.4.8 IDT挂钩的检测效果
• 6.4.9 Object挂钩的效果
• 6.5 与其它Rootkit工具进行对比
• 6.6 系统测试的结果分析
• 6.7 本章小结
• 第7章 结论与展望
• 参考文献
• 在读期间发表的学术论文及研究成果
• 致谢