基于內(nèi)存完整性的木馬檢測技術(shù)研究.pdf

1、隨著黑客技術(shù)的不斷發(fā)展，Windows 木馬以其攻擊范圍廣，隱蔽性強，危害大等特點成為常見的網(wǎng)絡(luò)危害之一?；趯陙砹餍械腤indows 木馬掛鉤隱藏方式的分析，改進了基于內(nèi)存完整性的檢測方法，以有效地檢測利用各種掛鉤技術(shù)的Windows木馬，同時也介紹了Windows 內(nèi)核級木馬的各種重要檢測技術(shù)。 內(nèi)存完整性的檢測方法，就是在程序運行過程中，通過對內(nèi)存各個重要區(qū)域進行完整性檢測，查出可能存在的異?，F(xiàn)象，從而判斷系統(tǒng)中是否存

2、在木馬的方法?，F(xiàn)有的內(nèi)存檢測方法中，多是通過檢測代碼區(qū)塊的完整性來判斷木馬的存在，它無法檢測到改變內(nèi)存其它區(qū)域的木馬。根據(jù)內(nèi)存檢測原理，設(shè)計一個檢測程序，它通過四個檢測模塊對內(nèi)存進行完整性檢測，它們分別是輸入地址表檢測，系統(tǒng)服務(wù)地址表檢測，系統(tǒng)服務(wù)描述表檢測和活動進程鏈表完整性檢測。 輸入地址表的檢測方式是基于PE(Portable Executable)文件格式的檢測方式。 在輸入地址表的檢測方式中，通過比較輸入地址表