基于行為特征的Windows Bootkit檢測(cè)模型的研究及其系統(tǒng)實(shí)現(xiàn).pdf

1、Bootkit是Rootkit技術(shù)的一種，Windows操作系統(tǒng)的廣泛使用，為Bootkit的發(fā)展和傳播提供了可靠的平臺(tái)。目前，Bootkit通過(guò)把駐留位置延伸到硬件MBR、BIOS等位置，并通過(guò)一系列的Hook等操作，更早獲得了自身的啟動(dòng)以及取得對(duì)計(jì)算機(jī)的控制權(quán)。在實(shí)現(xiàn)隱藏和控制功能上，Bootkit更加強(qiáng)大，因此其危害也更大。只有緊密關(guān)注Bootkit技術(shù)的新發(fā)展和變化，把握Bootkit的特性，才能從容面對(duì)其新的應(yīng)用。
　　

2、基于Windows的Bootkit的快速發(fā)展，在技術(shù)上得益于開(kāi)源組織和個(gè)人的不斷嘗試和改進(jìn)。更重要的是，作為特殊的木馬，Bootkit在理論上，可以借助于前人提出的模型。強(qiáng)有力的理論指導(dǎo)，使得Bootkit的更新?lián)Q代不斷加快。因此，要高效而有效地檢測(cè)Bootkit，一方面要深入研究Bootkit的各種行為特性，另一方面也要著手研究具有通用意義的檢測(cè)模型。
　　本文基于分析Bootkit的主要行為特征，深入總結(jié)了最新Bootkit的

3、隱藏特性。通過(guò)介紹傳統(tǒng)的檢測(cè)方法及其不足，指出改進(jìn)檢測(cè)方法以及建立檢測(cè)模型的必要性。并以Bootkit的隱藏特征為出發(fā)點(diǎn)，參考前人建立的木馬模型，闡述了建立模型的可行性和模型的意義。
　　通過(guò)對(duì)Bootkit隱藏行為特征的分析和抽象，研究了Bootkit內(nèi)部組件之間的隱藏關(guān)系。并以檢測(cè)的角度，針對(duì)協(xié)同隱藏的特點(diǎn)，確立了模型的三要素，即檢測(cè)源，檢測(cè)路徑，檢測(cè)對(duì)象并建立了以層級(jí)檢測(cè)為核心的檢測(cè)模型。并將該模型稱為檢測(cè)模型。
　　

4、為了更好地驗(yàn)證提出的檢測(cè)模型，本文基于檢測(cè)模型分析和建立了檢測(cè)系統(tǒng)的框架。并框架中各個(gè)模塊的設(shè)計(jì)和作用進(jìn)行了詳細(xì)地說(shuō)明。鑒于傳統(tǒng)的單一的檢測(cè)方法的缺陷，在實(shí)現(xiàn)各個(gè)模塊的過(guò)程中，為更加準(zhǔn)確而高效的檢測(cè)Bootkit，本文提出了新的解決方法或解決思路。主要為提出在保護(hù)模式下掃描實(shí)模式下系統(tǒng)遺留的系統(tǒng)內(nèi)存空間以檢測(cè)Bootkit啟動(dòng)行為，并結(jié)合驅(qū)動(dòng)以及進(jìn)程檢測(cè)等方法實(shí)現(xiàn)了對(duì)Bootkit的層級(jí)檢測(cè)。
　　本文最后使用基于檢測(cè)模型實(shí)現(xiàn)的檢