Windows系統(tǒng)內(nèi)核Rootkit的檢測技術(shù)研究.pdf

1、隨著計(jì)算機(jī)技術(shù)的快速發(fā)展和互聯(lián)網(wǎng)的迅速普及，計(jì)算機(jī)系統(tǒng)將會面臨越來越多的病毒、木馬、蠕蟲等惡意代碼的威脅，殺毒軟件和惡意代碼也大量使用一種稱之為內(nèi)核Rootkit的技術(shù)，從而使它們之間的對抗也深入到Windows操作系統(tǒng)的內(nèi)核。
　　 對內(nèi)核函數(shù)和內(nèi)核函數(shù)地址表，如系統(tǒng)服務(wù)描述符表和中斷描述符表，進(jìn)行完整性檢查可以檢測內(nèi)核Rootkit，但是這種方法無法定位內(nèi)核的執(zhí)行流程被重定向到哪個(gè)函數(shù)，并且會產(chǎn)生大量的漏報(bào)和誤報(bào)，導(dǎo)致普通用

2、戶無法辨別。Windows系統(tǒng)中一些未公開的內(nèi)核數(shù)據(jù)結(jié)構(gòu)也可以用于內(nèi)核Rootkit檢測，但是內(nèi)核Rootkit也可以使用這些內(nèi)核數(shù)據(jù)結(jié)構(gòu)，繞過這種檢測方法。
　　 針對Windows系統(tǒng)內(nèi)核Rootkit的特點(diǎn)，在研究現(xiàn)有檢測方法和工具的基礎(chǔ)上，結(jié)合對大量的Rootkit樣本和WRK源碼的研究，對基于外聯(lián)掛鉤的內(nèi)核Rootkit、基于內(nèi)聯(lián)掛鉤的內(nèi)核Rootkit以及基于直接內(nèi)核對象操作的Rootkit分別提出對應(yīng)的檢測方法，設(shè)