反內(nèi)核模式驅(qū)動(dòng)級(jí)病毒技術(shù)研究及策略分析.pdf

1、近幾年來計(jì)算機(jī)病毒、木馬數(shù)量成指數(shù)增長，泛濫成災(zāi)，嚴(yán)重威脅著網(wǎng)絡(luò)安全。病毒從原來簡單的破壞系統(tǒng)快速的蛻變到不法分子竊取用戶虛擬財(cái)產(chǎn)的工具。計(jì)算機(jī)病毒制造的模塊化、專業(yè)化以及病毒“運(yùn)營”模式，在互聯(lián)網(wǎng)上已經(jīng)形成了病毒產(chǎn)業(yè)鏈。近期出現(xiàn)的內(nèi)核模式驅(qū)動(dòng)級(jí)病毒是集特洛伊木馬病毒、下載器病毒、后門病毒、Rootkit技術(shù)為一體的復(fù)合型病毒。它們的特征是運(yùn)行在內(nèi)核驅(qū)動(dòng)級(jí)、能與安全軟件抗衡、不對(duì)系統(tǒng)進(jìn)行破環(huán)但為別的病毒提供下載支持。如今這些內(nèi)核驅(qū)動(dòng)級(jí)的

2、病毒成為病毒產(chǎn)業(yè)鏈的“源頭”。本課題正是針對(duì)這種現(xiàn)象，致力于分析內(nèi)核級(jí)驅(qū)動(dòng)病毒的技術(shù)，并對(duì)其中相應(yīng)的一些檢測技術(shù)展開了研究和改進(jìn)，最后對(duì)提出的改進(jìn)檢測技術(shù)進(jìn)行模塊程序?qū)崿F(xiàn)和實(shí)驗(yàn)檢測。 本文首先敘述了病毒的定義、特征和類型并對(duì)內(nèi)核模式驅(qū)動(dòng)級(jí)病毒進(jìn)行了簡要的介紹，然后介紹了內(nèi)核模式驅(qū)動(dòng)級(jí)病毒相關(guān)的WindowsNT操作系統(tǒng)內(nèi)核原理。接著對(duì)內(nèi)核驅(qū)動(dòng)級(jí)病毒所使用的技術(shù)進(jìn)行了深入的研究，其中包括PE文件感染技術(shù)、應(yīng)用層掛鉤技術(shù)、內(nèi)核層掛鉤

3、技術(shù)、進(jìn)程隱藏技術(shù)。然后從用戶層和內(nèi)核層兩個(gè)層面對(duì)典型的內(nèi)核模式驅(qū)動(dòng)級(jí)病毒進(jìn)行代碼級(jí)的剖析。最后經(jīng)過對(duì)SSDT掛鉤檢測、驅(qū)動(dòng)掛鉤檢測、隱藏進(jìn)程檢測的研究提出了改進(jìn)方案并進(jìn)行了模塊設(shè)計(jì)和實(shí)驗(yàn)檢測。 本課題主要解決的難點(diǎn)問題包括：深入剖析了當(dāng)前流行內(nèi)核模式驅(qū)動(dòng)級(jí)病毒的技術(shù)，如提取病毒內(nèi)核層資源的“Drop”技術(shù)、“直接硬盤訪問文件”技術(shù)、應(yīng)用層掛鉤技術(shù)、內(nèi)核掛鉤技術(shù)（SSDT掛鉤、驅(qū)動(dòng)掛鉤）、進(jìn)程隱藏技術(shù)等；對(duì)內(nèi)核模式驅(qū)動(dòng)級(jí)病毒的一