內(nèi)核級木馬隱藏技術(shù)研究.pdf

1、隨著計(jì)算機(jī)、網(wǎng)絡(luò)的持續(xù)發(fā)展，給木馬的傳播提供了諸多途徑。木馬能帶來巨大的危害很大部分來源于其隱蔽性，難于被檢測、發(fā)現(xiàn)。不過，傳統(tǒng)用戶級木馬，由于一些主動防御軟件、殺毒軟件的免費(fèi)使用，以及這些工具對其所用伎倆了如指掌、狠殺猛截，危害性已呈逐年下降的趨勢。這就促使了一些木馬研究者去探究木馬在內(nèi)核中的隱藏技術(shù)，以期達(dá)到更好的隱藏效果，逃避傳統(tǒng)工具的檢測。
　　 內(nèi)核級木馬主要使用內(nèi)核Rootkit 技術(shù)來實(shí)現(xiàn)對其自身的隱藏。研究內(nèi)核級

2、木馬隱藏技術(shù)，不僅可以深入對內(nèi)核的學(xué)習(xí)，而且也有利于找到更好的檢測方案來應(yīng)對可能出現(xiàn)的隱藏技術(shù)。
　　 傳統(tǒng)的主從型內(nèi)核級木馬的木馬功能是在應(yīng)用層實(shí)現(xiàn)的，內(nèi)核只是起到一個(gè)協(xié)助隱藏的作用。而應(yīng)用層的程序具有諸多的特性，這就需要協(xié)助隱藏部分針對所有的特性實(shí)施隱藏。針對這些缺點(diǎn)，通過對常用內(nèi)核級隱藏技術(shù)的分析，改進(jìn)的內(nèi)核級木馬隱藏方案在四個(gè)方面做了調(diào)整：在自啟動方面，采用線程注入、在驅(qū)動中加載驅(qū)動的方法；在文件隱藏方面，通過逆向IRP