基于行為特征的木馬檢測系統(tǒng)研究及實現.pdf

1、在互聯(lián)網技術飛速發(fā)展和普及過程中存在著巨大的安全隱患，其中木馬泛濫異常猖獗，技術上不斷更新，因此研究木馬檢測技術有著重要的意義和價值。
　　 本論文在研究當今國內外木馬檢測技術研究現狀及不足后，提出采用目前比較流行的基于木馬行為特征檢測技術作為主要應用技術，重點對木馬行為特征進行了詳細的研究總結，并依據木馬常見的行為特征構建木馬行為特征庫。
　　 論文在理論研究的基礎上設計實現了一款基于木馬行為特征檢測系統(tǒng)。詳細敘述了系

2、統(tǒng)結構設計、系統(tǒng)功能模塊設計及基于木馬行為特征庫設計。其中系統(tǒng)功能模塊包括控制中心模塊、網絡通信檢測模塊、進程檢測模塊、文件檢測模塊及注冊表檢測模塊。每個模塊論述中包括工作原理，框架結構圖及流程圖。最后，根據系統(tǒng)功能模塊獲取的行為特征，利用構建的木馬行為特征庫得出待測文件的判定結果。
　　 其中論文對部分關鍵技術研究進行詳細敘述。首先研究了網絡通信模塊所使用的兩種關鍵技術Winsock2 SPI技術和NDIS HOOK技術，包括

3、兩種技術的基礎知識和特點等，然后介紹網絡通信兩大模塊的實現：基于SPI HOOK模塊首先介紹實現原理，然后通過Nmsock.dll中截獲網絡封包的實現和Nmsock.dll中解析網絡封包的實現兩部分詳細敘述了基于SPI HOOK模塊的具體實現；基于NDIS HOOK模塊首先介紹實現原理，然后通過Nmdriver.sys中截獲網絡封包的實現、Nmdriver.sys中協(xié)議判定的實現和Nmdriver.sys中解析網絡封包的實現三部分詳細敘