持久型Windows Rootkit檢測(cè)技術(shù)的研究與實(shí)現(xiàn).pdf

1、Rootkit是攻擊者在入侵系統(tǒng)后用來(lái)保持對(duì)系統(tǒng)的超級(jí)用戶訪問權(quán)限,創(chuàng)建后門和隱藏攻擊痕跡等常采用的一種技術(shù)。Rootkit存在于Linux,Solaris和Windows等各種操作系統(tǒng)上。 根據(jù)Rootkit的外部表現(xiàn),Rootkit分兩種：可持久的Rootkit和基于內(nèi)存的Rootkit。其最根本的區(qū)別就是被感染的機(jī)器重新啟動(dòng)后,兩者的持久性?？沙志玫腞ootkit在系統(tǒng)重啟后還繼續(xù)存在,而基于內(nèi)存的Rootkit則不行。永

2、久型Rootkit因其長(zhǎng)期隱秘存在于受害系統(tǒng)中,被認(rèn)為是計(jì)算機(jī)安全的重大威脅。 本文概述了當(dāng)前檢測(cè)Windows Rootkit的主流技術(shù)和一些檢測(cè)工具。包括最早的基于特征碼檢測(cè)方法。目前發(fā)展迅速的啟發(fā)式檢測(cè)/行為檢測(cè)方法,代表的工具有VICE和Patchfinder。Cross-view是新興的檢測(cè)Rootkit的方法,本研究就是基于該方法,當(dāng)前代表作有Rootkit Revealer、Klister和StriderGhost

3、Buster。完整性檢測(cè)對(duì)內(nèi)存型Rootkit有較好的效果,硬件檢測(cè)是比較徹底解決Rootkit問題的方法。 本文應(yīng)用Cross-view方法構(gòu)建監(jiān)控系統(tǒng),通過對(duì)隱藏行為的發(fā)現(xiàn)來(lái)判定系統(tǒng)是否已被裝入永久型Windows Rootkit。使用文件系統(tǒng)過濾驅(qū)動(dòng)、鉤掛注冊(cè)表相關(guān)系統(tǒng)服務(wù)來(lái)監(jiān)視文件系統(tǒng)和注冊(cè)表的操作,并構(gòu)造可信的操作信息數(shù)據(jù)集。并在不可靠的用戶態(tài)下驗(yàn)證該數(shù)據(jù)集,以發(fā)現(xiàn)隱藏文件、注冊(cè)表和進(jìn)程的情況,判定Rootkit的存在