基于計(jì)算機(jī)物理內(nèi)存分析的Rootkit查找方法研究與實(shí)現(xiàn).pdf

1、信息技術(shù)極大地促進(jìn)了人類社會(huì)的進(jìn)步，同時(shí)也帶來(lái)了計(jì)算機(jī)犯罪問(wèn)題。黑客入侵、網(wǎng)絡(luò)詐騙、網(wǎng)絡(luò)色情等案件的出現(xiàn)影響了互聯(lián)網(wǎng)的健康發(fā)展，更是破壞了正常的經(jīng)濟(jì)發(fā)展和社會(huì)生活秩序。計(jì)算機(jī)取證（Computer Forensics）是打擊計(jì)算機(jī)犯罪所使用的主要技術(shù)手段，是目前法律工作者和信息技術(shù)工作者共同研究重點(diǎn)內(nèi)容。
　　 本文針對(duì)傳統(tǒng)的rootkit查找方法的缺陷，根據(jù)物理內(nèi)存分析技術(shù)的發(fā)展提出的。通過(guò)分析物理內(nèi)存，得到所需的目標(biāo)機(jī)器上存

2、在rootkit木馬或者不存在的證據(jù)。首先深入研究和分析了計(jì)算機(jī)物理內(nèi)存鏡像獲取技術(shù)和Rootkit的攻擊原理。在文中還介紹當(dāng)今流行的Windows Rootkit。
　　 經(jīng)過(guò)分析windows rootkit原理可知，rootkit用于隱藏的技術(shù)比較多，如在中斷描述符表（IDT）和系統(tǒng)服務(wù)描述符表（SSDT）等地方設(shè)置鉤子或直接修改某些內(nèi)核數(shù)據(jù)結(jié)構(gòu)。本文中詳細(xì)的分析了幾種rootkit的隱藏技術(shù)的原理，分析了幾種常用的win

3、dows rootkit檢測(cè)工具。
　　 無(wú)論Windows Rootkit是通過(guò)修改中斷描述符表、驅(qū)動(dòng)函數(shù)還是系統(tǒng)服務(wù)調(diào)度表等地方來(lái)實(shí)現(xiàn)欺騙系統(tǒng)，讓系統(tǒng)執(zhí)行其非法代碼，實(shí)現(xiàn)其非法目的，都要把它的進(jìn)程隱藏起來(lái)。為了不讓系統(tǒng)或者反Rootkit 程序發(fā)現(xiàn)而隱藏自身的進(jìn)程是Windows Rootkit 必須做的工作。根據(jù)這個(gè)原理，在檢測(cè)Windows rootkit的時(shí)候，我們就以檢測(cè)隱藏的進(jìn)程為主要依據(jù)來(lái)檢測(cè)當(dāng)時(shí)的系統(tǒng)中是否存在

4、rootkit。
　　 文章中利用基于交叉視圖（Cross-View）的方法來(lái)來(lái)檢測(cè)rootkit。在這個(gè)方法中獲得真實(shí)的進(jìn)程列表是一個(gè)難點(diǎn)，在實(shí)驗(yàn)的過(guò)程中通過(guò)Windbg調(diào)試內(nèi)核來(lái)得到EPROCESS,HADLE_TABLE等重要的內(nèi)核數(shù)據(jù)結(jié)構(gòu)。通過(guò)對(duì)這些重要的內(nèi)核數(shù)據(jù)結(jié)構(gòu)的研究掌握了通過(guò)進(jìn)程句柄表來(lái)列舉當(dāng)前系統(tǒng)進(jìn)程列表的方法。
　　 論文主要研究?jī)?nèi)容如下：
　　 1、對(duì)計(jì)算機(jī)取證的相關(guān)概念，背景及國(guó)內(nèi)外的發(fā)

5、展現(xiàn)狀進(jìn)行了詳細(xì)介紹。
　　 2、對(duì)Windows XP系統(tǒng)下的日志文件的格式進(jìn)行了詳細(xì)的分析。
　　 3、詳細(xì)的闡述windows系統(tǒng)下常用的幾種獲取物理內(nèi)存鏡像的方法，還介紹了內(nèi)存鏡像的分析方法。
　　 4、概述了windows物理內(nèi)存的管理機(jī)制，并且結(jié)合實(shí)例詳細(xì)的介紹了虛擬地址到物理地址的轉(zhuǎn)換方式。
　　 5、對(duì)rootkit所使用的幾種技術(shù)原理（如掛鉤系統(tǒng)服務(wù)描述符表，直接內(nèi)核操作法等）進(jìn)