64位Windows木馬關(guān)鍵技術(shù)研究與實現(xiàn).pdf

1、隨著計算機技術(shù)的高速發(fā)展，互聯(lián)網(wǎng)逐漸遍布社會的每個角落，人們的生活已經(jīng)離不開計算機與互聯(lián)網(wǎng)。然而，人們在享受著互聯(lián)網(wǎng)帶來便利的同時，還面對著各種各樣的網(wǎng)絡(luò)安全威脅。網(wǎng)絡(luò)信息安全作為國家安全的重要組成部分，在國家安全戰(zhàn)略中的地位也日益提高。
　　Windows作為目前最流行的個人桌面操作系統(tǒng)，其64位版本更是以大容量內(nèi)存與優(yōu)越的計算性能等優(yōu)勢，逐漸被大眾所接受。雖然微軟為64位Windows操作系統(tǒng)設(shè)置了多項安全機制，能有效阻止部分

2、木馬的入侵，但是仍然有一些木馬能繞過這些安全機制入侵用戶計算機。如需更好地保護64位Windows操作系統(tǒng)，則有必要深入研究64位Windows木馬的入侵與防御技術(shù)，達到以攻促防，攻防俱備的目的。
　　本文通過分析64位Windows操作系統(tǒng)的特性，從技術(shù)層面上對64位Windows木馬的關(guān)鍵技術(shù)進行深入研究，其中包括：
　　一、研究64位管理員權(quán)限進程注入技術(shù)。32位木馬程序如果需要注入64位進程，必須穿透WOW64子系統(tǒng)

3、并把Shellcode注入到64位進程中。與此同時，對于擁有UAC機制的操作系統(tǒng)，還需進行UAC提權(quán)，獲取管理員權(quán)限，才能進行下一步入侵操作。
　　二、研究基于Bootkit的木馬驅(qū)動與主模塊加載技術(shù)。微軟限制Windows Vista以后的64位操作系統(tǒng)只能加載具有數(shù)字簽名的驅(qū)動程序。木馬程序如果需要在操作系統(tǒng)內(nèi)核進行深層隱藏操作，則需繞過驅(qū)動簽名限制。使用Bootkit技術(shù)可以使操作系統(tǒng)安裝無數(shù)字簽名的驅(qū)動程序，從而可以極具隱