中國(guó)科技大學(xué)工程實(shí)踐開題報(bào)告

1、中國(guó)科技大學(xué)工程實(shí)踐開題報(bào)告中國(guó)科技大學(xué)工程實(shí)踐開題報(bào)告組員周啟航，張力子，都威，石華北，葉曉曦指導(dǎo)教師指導(dǎo)教師郭燕一、課題的名稱、來源一、課題的名稱、來源1.1.課題名稱課題名稱linux系統(tǒng)下rootkit工具集的開發(fā)2.2.課題來源課題來源生產(chǎn)科研教學(xué)其他2、研究意義、研究現(xiàn)狀、研究?jī)?nèi)容、擬采用的研究思路與方法研究意義、研究現(xiàn)狀、研究?jī)?nèi)容、擬采用的研究思路與方法研究意義：研究意義：隨著計(jì)算機(jī)和互聯(lián)網(wǎng)的快速發(fā)展及演化，計(jì)算機(jī)和網(wǎng)絡(luò)己

2、成為各國(guó)政府用于管理和傳輸社會(huì)經(jīng)濟(jì)、政治、軍事和外交等重要信息的工具。信息化在為我們提供便利的同時(shí)，也帶來了一系列信息安全問題：計(jì)算機(jī)病毒和網(wǎng)絡(luò)蠕蟲的泛濫、拒絕服務(wù)攻擊導(dǎo)致的網(wǎng)絡(luò)癱瘓、緩沖區(qū)溢出攻擊、利用各類木馬和后門程序竊取機(jī)密信息等情況屢見不鮮。特別是近年來，隨著攻擊技術(shù)的迅猛發(fā)展，信息安全也面臨著越來越嚴(yán)峻的形勢(shì)，信息安全已然成為國(guó)家安全的一項(xiàng)重要組成部分。要加強(qiáng)信息安全，首先最重要的一點(diǎn)就是要加強(qiáng)和完善計(jì)算機(jī)系統(tǒng)。由于現(xiàn)有系統(tǒng)存

3、在許多漏洞和弱點(diǎn)，攻擊者很容易利用系統(tǒng)的缺陷滲透和控制大量操作系統(tǒng)。一旦攻擊者成功入侵了某一系統(tǒng)，他就希望能獲取該系統(tǒng)的長(zhǎng)期控制權(quán)，以達(dá)到在網(wǎng)絡(luò)中進(jìn)行病毒傳播、竊取信息、洪水攻擊等目的。為實(shí)現(xiàn)對(duì)目標(biāo)機(jī)器的長(zhǎng)期控制，攻擊者一般會(huì)在目標(biāo)機(jī)上留下后門，收集目標(biāo)機(jī)和附近系統(tǒng)的信息；同時(shí)，為了不讓管理員發(fā)現(xiàn)入侵行為，攻擊者還必須更改系統(tǒng)日志，隱藏攻擊進(jìn)程等，這一系列操作就是本課題要研究的對(duì)象——rootkit技術(shù)。Rootkit是操作系統(tǒng)安全領(lǐng)域

4、最新出現(xiàn)的一種攻擊方法，其應(yīng)用十分廣泛。近來，rootkit發(fā)展迅猛，幾乎已成了所有操作系統(tǒng)(包括Linux，Windows，HPUX，BSD，Solaris，和AIX等)的夢(mèng)魘，特別是由于Linux的開源和普及，使得它成為了rootkit攻擊的主要目標(biāo)，因?yàn)楹诳湍軌蚝茌p易地獲取Linux源碼，從中發(fā)現(xiàn)許多系統(tǒng)漏洞。如今，針對(duì)rootkit的檢測(cè)技術(shù)日趨成熟，出現(xiàn)了許多針對(duì)rootkit的檢測(cè)方法和工具，包括對(duì)系統(tǒng)文件的完整性進(jìn)行校驗(yàn)、

5、安裝入侵檢測(cè)系統(tǒng)監(jiān)控系統(tǒng)狀態(tài)和進(jìn)程、通過Snt監(jiān)聽網(wǎng)絡(luò)數(shù)據(jù)流等；然而這并沒有減緩rootkit的發(fā)展，反而在一定程度上刺激黑客團(tuán)體探索出越來越高明的rootkit技術(shù)，使攻擊者不斷開發(fā)出更加完善、隱蔽性更高的rootkit，甚至開發(fā)出能躲避檢測(cè)工具的rootkit，使得rootkit的檢測(cè)更有難度。由此，黑客團(tuán)體和反黑客組織展開了一場(chǎng)“拉鋸戰(zhàn)”。目前我國(guó)嵌入式等領(lǐng)域?qū)inux類的操作系統(tǒng)內(nèi)核研究和應(yīng)用也越來越多，但對(duì)Linux系統(tǒng)安全

6、性的研究還比較落后，很容易給不法分子留下空子，因此，加大的唯一可以徹底刪除Rootkit的方法。經(jīng)過這么多年的發(fā)展，Rootkit功能變的越來越完善，具有的特征也越來越多。不過，雖然它的代碼非常龐大，卻非常易于安裝和使用。另外，技術(shù)是雙刃劍，我們研究它的目的在于，透過我們的研究，用這項(xiàng)技術(shù)來保護(hù)我們的系統(tǒng)，使我們的系統(tǒng)更加健壯，充分發(fā)揮這個(gè)技術(shù)的正面應(yīng)用，而不是用來入侵和攻擊他人的電腦系統(tǒng)。研究?jī)?nèi)容：研究?jī)?nèi)容：研究rootkit工具集中

7、各工具的運(yùn)行機(jī)理，執(zhí)行方式和作用模式，用于修改操作系統(tǒng)核心服務(wù)，使被攻擊主機(jī)完全處于攻擊者掌控之下。為達(dá)到這個(gè)目的，攻擊者會(huì)將代碼導(dǎo)入內(nèi)核中以修改內(nèi)核。若要修改內(nèi)核達(dá)到我們的攻擊目的，我們需要如下程序。1:以太網(wǎng)嗅探器程序，用于獲得網(wǎng)絡(luò)上傳輸?shù)挠脩裘兔艽a等信息。2:特洛伊木馬程序，例如：passwd，login，idrshd等為攻擊者提供后門。passwd在提示你輸入新密碼時(shí)，如果輸入rootkit密碼，權(quán)限就可以變成root。log

8、in允許使用任何帳戶通過rootkit密碼登錄。id為攻擊者提供遠(yuǎn)程訪問服務(wù)。rshd為攻擊者提供遠(yuǎn)程shell服務(wù)。3:隱藏攻擊者的目錄和進(jìn)程的程序，例如：ps、stat、syslogd和ls等。其中l(wèi)s程序會(huì)阻止顯示入侵者的文件以及計(jì)算入侵者文件占用的空間并且自動(dòng)隱藏攻擊者文件的名字。ps用來隱藏所有和入侵者相關(guān)的進(jìn)程。stat隱藏出入指定IP地址或者端口的網(wǎng)絡(luò)數(shù)據(jù)流量。syslogd過濾掉日志中的某些連接信息。4:一些日志清理、遠(yuǎn)

9、程shell的端口綁定等程序。例如：zap、zap2或者z2，攻擊者可以使用這些清理工具刪除wtmp、utmp和lastlog等日志文件中有關(guān)自己行蹤的條目。sniffchk檢查系統(tǒng)中是否正有一個(gè)嗅探器在運(yùn)行。bindshellrootkit在某個(gè)端口上綁定shell服務(wù)，為遠(yuǎn)程攻擊者提供shell服務(wù)。我們將在工程實(shí)踐的過程中學(xué)習(xí)開發(fā)各種工具集所需要的前期知識(shí)，并對(duì)工具集中工具的運(yùn)作機(jī)理進(jìn)行深入的分析與實(shí)踐，并根據(jù)我們的進(jìn)展?fàn)顩r，盡力

10、實(shí)現(xiàn)所需要的rootkit工具集，使之成為一個(gè)相對(duì)健全的系統(tǒng)，以達(dá)到可以真實(shí)攻擊的目的。研究思路與方法：研究思路與方法：通過查閱國(guó)內(nèi)外已有科研資料，網(wǎng)絡(luò)上的技術(shù)文檔，對(duì)rootkit技術(shù)的前期知識(shí)進(jìn)行一個(gè)儲(chǔ)備，組員中相互分享各自對(duì)前期知識(shí)的儲(chǔ)備。深入了解rootkit中以上工具的實(shí)現(xiàn)方式，工作機(jī)理，掌握構(gòu)造一個(gè)rootkit工具集所需要的框架。運(yùn)用學(xué)到的知識(shí)以LINUX下C語言環(huán)境進(jìn)行開發(fā)，完成各個(gè)程序，并嘗試對(duì)實(shí)驗(yàn)主機(jī)實(shí)施攻擊。我們首

11、先實(shí)現(xiàn)自己的相關(guān)程序替代系統(tǒng)原來的ps、ls、stat和df等程序，使系統(tǒng)管理員無法通過這些工具發(fā)現(xiàn)自己的蹤跡。接著使用日志清理工具清理系統(tǒng)日志，消除自己的蹤跡。然后，我們會(huì)經(jīng)常地通過安裝的后門進(jìn)入系統(tǒng)查看嗅探器的日志，以發(fā)起其它的攻擊。如果能夠合理地清理日志文件，系統(tǒng)管理員就會(huì)很難察覺系統(tǒng)已經(jīng)被侵入，直到某一天其它系統(tǒng)的管理員和他聯(lián)系或者嗅探器的日志把磁盤全部填滿。但是，大多數(shù)攻擊程序在清理系統(tǒng)日志時(shí)不是非常小心或者干脆把系統(tǒng)日志全部