使用差异比较法对木马程序进行防杀的技术探讨

论文摘要

木马自诞生之日起,就一直成为网络信息安全领域防范的重点和热点。木马由于其隐蔽性、远程可植入性和可控制性等特点,已成为黑客攻击或不法分子入侵或控制他人网络或计算机系统的重要工具。近年来,由于受到非法经济利益的诱惑,木马已形成一条黑色产业链,并有迅速发展蔓延的趋势。本文对木马攻击与防范技术进行了系统的分析研究,主要工作如下:1、对木马的基本概念、基本特性、植入方法、上线通知方法进行了归纳总结。2、系统地研究和分析了木马的工作原理和功能、木马种植的技巧和思路、木马自启动以及隐藏的方法,以及木马发展的历史和今后的发展方向。3、剖析了灰鸽子木马的具体隐蔽技术,并给出查杀的方法。4、分析了基于特征码木马检测的技术缺陷。指出,仅仅基于特征码的木马检测技术对未知木马存在检测的盲区,无法检测出未知木马。分析了普通的基于行为特征的木马检测技术。指出,这些方法都存在一定局限性,它们只针对木马运行时的某一个行为特征进行检测,对于某种特定类型的木马很有效,但对于其它类型的木马就无从下手了。5、提出了自己的一套解决方法,即差异比较法。此方法将传统的基于特征码的查杀木马技术与全面的基于行为的防杀木马技术相结合,既弥补了基于特征码方法的天生缺陷,又将普通的基于单一行为的防杀技术予以完善。差异比较法在不放弃传统特征码数据库的基础上,通过分析目标系统的各项特征并将其存入建立的目标特征数据库,然后对系统注册表,系统目录、系统文件和系统服务,API调用和系统函数调用,硬件资源的占用,木马的其它恶意行为等进行全面监控。通过分析、比较木马植入目标时对系统特征的更改,判断出是否为木马入侵,进而进行防杀。

论文目录

• 摘要
• ABSTRACT
• 目录
• 图表目录
• 第一章 引言
• 1.1 立项背景
• 1.2 本文的主要工作
• 第二章 木马的概念和发展历程
• 2.1 木马（程序）的定义
• 2.1.1 木马与病毒的联系与区别
• 2.1.2 木马与远程控制软件的联系与区别
• 2.2 木马的工作原理
• 2.3 木马的功能
• 2.4 木马的分类
• 2.5 木马的发展历程
• 2.6 木马的植入方式
• 2.7 木马的危害性
• 第三章 木马的基本特性及其实现技术
• 3.1 木马的隐蔽性
• 3.2 木马隐藏技术实现
• 3.3 木马自启动技术实现
• 3.3.1 利用注册表隐蔽启动
• 3.3.2 插入文件中或与其它文件捆绑在一起隐蔽启动
• 3.3.3 利用特定的系统文件或其它一些特殊方式隐蔽启动
• 3.4 木马的自动恢复性
• 3.5 木马的主动性
• 3.6 木马的功能特性
• 3.7 木马通信的实现技术
• 3.7.1 端口复用技术
• 3.7.2 反弹端口
• 3.7.2 潜伏技术
• 第四章 木马隐蔽技术的实例分析
• 4.1 灰鸽子的运行原理
• 4.2 灰鸽子的手工检测
• 4.3 灰鸽子的手工清除
• 4.3.1 清除灰鸽子的服务
• 4.3.2 删除灰鸽子程序文件
• 第五章 使用差异比较法构建立体防护体系
• 5.1 现有木马查杀技术的优缺点分析
• 5.2 差异比较法的基本原理
• 5.3 使用差异比较法对木马进行防杀的基本思路
• 5.4 使用差异比较法对木马进行防杀的具体方法
• 5.4.1 建立目标系统特征数据库
• 5.4.2 控制对注册表的访问
• 5.4.3 严格限制对系统目录、系统文件和系统服务的改变
• 5.4.4 限制非法的API调用和系统函数调用
• 5.4.5 使用硬件资源的占用率来判断
• 5.4.6 限制木马的其它恶意行为
• 5.5 差异比较法构筑的防护体系评价
• 第六章 结论
• 致谢
• 参考文献