Windows Bootkit技術(shù)研究與應(yīng)用.pdf

1、Windows Bootkit作為目前最前沿的Windows Rootkit技術(shù)，把寄宿地由傳統(tǒng)的操作系統(tǒng)磁盤文件擴展到了硬件BIOS芯片、硬盤MBR等位置，同時將自身的啟動提前到了與Windows系統(tǒng)內(nèi)核啟動相同的級別，甚至還要更早的階段。這樣Bootkit就能較早的取得對計算機的控制權(quán)，從而實現(xiàn)較強的隱藏和控制功能。 雖然該技術(shù)目前還處于概念性驗證階段，沒有實際的成熟的惡意程序產(chǎn)品，但是如果現(xiàn)在不研究檢測、清除的方法，將會給

2、網(wǎng)絡(luò)留下安全隱患。而只有先掌握好Bootldt所使用的關(guān)鍵技術(shù)和攻擊手段，達到知己知彼，才能找到相應(yīng)的解決方案。因此本文從攻擊者的角度對Windows Bootkit技術(shù)進行研究與分析。 本文對當(dāng)前的Windows Bootkit實例的核心技術(shù)進行了分析和總結(jié)。從復(fù)雜的Windows Bootkit技術(shù)原理中，抽象出了基于Windows Bootkit的協(xié)同隱藏模型，并給出了其形式化的描述。在此基礎(chǔ)上設(shè)計和實現(xiàn)了一個基于MBR的

3、WindowsBootkit原型。 該原型相對于傳統(tǒng)的基于MBR的Bootkit，在hook特征碼的選取上更具有通用性，同時通過hook MBR的讀寫操作，提高反檢測能力。在隱藏實現(xiàn)中，除了使用Rootkit的DKOM、hook ssdt、驅(qū)動過濾等常規(guī)技術(shù)外，使用了一種新的文件隱藏技術(shù)——對象劫持，用以繞過當(dāng)前所有的檢測工具。在Bootkit的功能模塊中，實現(xiàn)了一個用于遠程控制的shell功能。通過三個實驗驗證了Windows