Windows下基于交叉视图的Rootkit进程隐藏检测技术

合集下载

基于Windows内核的进程隐藏工具的设计与实现本科毕业设计

毕业论文声明本人郑重声明：1．此毕业论文是本人在指导教师指导下独立进行研究取得的成果。

除了特别加以标注地方外，本文不包含他人或其它机构已经发表或撰写过的研究成果。

对本文研究做出重要贡献的个人与集体均已在文中作了明确标明。

本人完全意识到本声明的法律结果由本人承担。

2．本人完全了解学校、学院有关保留、使用学位论文的规定，同意学校与学院保留并向国家有关部门或机构送交此论文的复印件和电子版，允许此文被查阅和借阅。

本人授权大学学院可以将此文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本文。

3．若在大学学院毕业论文审查小组复审中，发现本文有抄袭，一切后果均由本人承担，与毕业论文指导老师无关。

4.本人所呈交的毕业论文，是在指导老师的指导下独立进行研究所取得的成果。

论文中凡引用他人已经发布或未发表的成果、数据、观点等，均已明确注明出处。

论文中已经注明引用的内容外，不包含任何其他个人或集体已经发表或撰写过的研究成果。

对本文的研究成果做出重要贡献的个人和集体，均已在论文中已明确的方式标明。

学位论文作者（签名）：年月关于毕业论文使用授权的声明本人在指导老师的指导下所完成的论文及相关的资料（包括图纸、实验记录、原始数据、实物照片、图片、录音带、设计手稿等），知识产权归属华北电力大学。

本人完全了解大学有关保存，使用毕业论文的规定。

同意学校保存或向国家有关部门或机构送交论文的纸质版或电子版，允许论文被查阅或借阅。

本人授权大学可以将本毕业论文的全部或部分内容编入有关数据库进行检索，可以采用任何复制手段保存或编汇本毕业论文。

如果发表相关成果，一定征得指导教师同意，且第一署名单位为大学。

本人毕业后使用毕业论文或与该论文直接相关的学术论文或成果时，第一署名单位仍然为大学。

本人完全了解大学关于收集、保存、使用学位论文的规定，同意如下各项内容：按照学校要求提交学位论文的印刷本和电子版本；学校有权保存学位论文的印刷本和电子版，并采用影印、缩印、扫描、数字化或其它手段保存或汇编本学位论文；学校有权提供目录检索以及提供本学位论文全文或者部分的阅览服务；学校有权按有关规定向国家有关部门或者机构送交论文的复印件和电子版，允许论文被查阅和借阅。

Windows系统Rootkit检测技术研究

为应用级Ｒｏｋｔ内核级Ｒｏｔｉｏｔｉ和ｏｋｔ。前者工作在Ｒｉｇ３级，ｎ只替换或修改系统管理员和用户使用的可执行程序，一般不会对操作系统的其它应用服务造成影响；者工作在Ｒｉｇ０级，有对系统的最后ｎ拥高操作权限，直接操作硬件设备，内存访问限可无制，以实现应用级Ｒｏｋｔ法完成的隐藏功可ｏｔｉ无
ｋｔ早现在Ｕｎｘ作系统上，在几乎所有的操ｉ最ｉ操现作系统都受到Ｒｏｋｔ的攻击，ｏｔｉ目前Ｗｉｄｗｓ环ｎｏ境下的Ｒｏｔｉ也日益流行。Ｒｏｔｉｏｋｔｏｋｔ检测技术是
当前Ｒｏｋｔ究的难点，Ｗｉｄｗｓ系统本身ｏｔｉ研而ｎｏ的复杂性也给Ｒｏｋｔ检测带来了不小的难题。ｏｔｉ本文针对Ｗｉｄｗｓ境下的Ｒｏｔｉ检测技术进ｎｏ环ｏｋｔ
西安７０７）１０７（空军工程大学电讯工程学院
摘
要
Ｒｏｋｔｏｔｉ是一组后门工具的集合，是特洛伊木马发展的高级阶段。通过研究Ｗｉｄｗｓｎｏ下的Ｒｏｋｔｏｔｉ技术原理
及检测技术，出具体实现方法。给
关键词Ｒｏｋｔ特洛伊木马网络安全ｏｔｉ
类是通过修改应用程序调用系统函数的执行路
径，劫持正常程序及系统函数调用的执行路径，篡改函数调用函数的返回值以达到向用户隐藏攻击信息
的目的；一类是通过修改系统内核数据结构，当用户程序向内核查询信息（当前运行进程、动程序）如驱

RootKit文件隐藏技术实现

RootKit文件隐藏技术实现
RootKit文件隐藏技术实现
作者：夜枫
作者机构：无
来源：黑客防线
年：2008
卷：000
期：004
页码：79-82
页数：4
中图分类：TP393.08
正文语种：CHI
关键词：RootKit;隐藏文件;隐藏技术;API函数;win32编程;当前目录;Hook;磁盘驱动
摘要：R00tKit隐藏文件的原理并不复杂，我们知道,win32编程中枚举一个目录下的文件通常是API函数FindFirstFile和FindNextFile两个组合起来，枚举到当前目录下的文件，而这两个APl实际对应的内核Native API是NtQueryDirectoryFile,所以我们只需要在内核Hook这个API函数，并做相应的处理就可以实现文件的隐藏。

当查到我们要隐藏的文件时，就在内核将这个文件剔除掉，所以FindFirstFile和FindNextFile实际得到的是我们已经剔除过的信息了，这样就不会被枚举出来了，也就看不到我们的文件了。

当然，这个方法是过不了反RootKit工具的，例如IceSword用的是直接和磁盘驱动通讯的方法获得到数据，所以R00tKit隐藏对于这类工具是无效的。

RootKit攻防与检测

本栏目责任编辑：冯蕾网络通讯及安全Computer Knowledge And Technology 电脑知识与技术2008年第4卷第4期（总第31期）RootKit 攻防和检测技术张贵强1，李兰兰2（1.兰州石化职业技术学院，甘肃兰州730060；2.兰州大学，甘肃兰州730030）摘要：随着计算机网络技术的发展，网络安全问题越来越多的受到人们的关注，同时，也出现了各种类型的计算机病毒和木马程序。

最近，出现了一种特殊木马程序———Rootkit ，该文详细的介绍了Rootkit 的隐藏技术和检测方法。

关键词：Rootkit ；木马程序；网络安全；隐藏；检测中图分类号：TP393文献标识码：A 文章编号：1009-3044(2008)31-0838-02Defence and Detection Technology Against RootKitZHANG Gui-qiang 1,LI Lan-lan 2(Lanzhou Petrochemical College of Vocational Technology,Lanzhou 730060,China;nzhou University,Lanzhou 730030,China)Abstract:With the development of computer network,security of network attracts more and more attention.Meanwhile,all kinds of computer viruses and Trojan programs arised,inluding a special Trojan program:RootKit.A detailed introduction of hidden technology and detection method of RootKit has been put forward in this paper.Key words:rootkit;trojan program;network security;hidden technology;detection众所周知，木马病毒是指寄生于用户计算机系统中，盗窃用户信息，并通过网络发送给作者的一类病毒程序。

Rootkit的类型、功能及主要技术

Rootkit的类型、功能及主要技术Rootkit 的类型小结1.固化Rootkits和BIOS Rootkits固化程序是存于ROM中，通常很小，使用系统硬件和BIOS 创建顽固的软件镜像。

将制定的代码植入到BIOS 中，刷新BIOS，在BIOS 初始化的末尾获得运行机会。

重启无用、格式化无用，在硬盘上无法探测，现有的安全软件将大部分的扫描时间用在了对硬盘的扫描上。

本文整理：（第三方信息安全网）/2 内核级Rootkits内核级Rootkits(Kernelland Rootkits)是通过修改内核、增加额外的代码、直接修改系统调用表、系统调用跳转(Syscall Jump)，并能够替换一个操作系统的部分功能，包括内核和相关的设备驱动程序。

现在的操作系统大多没有强化内核和驱动程序的不同特性。

许多内核模式的Rootkit 是作为设备驱动程序而开发，或者作为可加载模块，如Linux 中的可加载模块或Windows 中的设备驱动程序，这类Rootkit 极其危险，它可获得不受限制的安全访问权。

如果代码中有任何一点错误，那么内核级别的任何代码操作都将对整个系统的稳定性产生深远的影响。

特点：无进程；无端口。

与用户级Rootkit 相比，与操作系统处于同一级别，可以修改或破坏由其它软件所发出的任何请求。

3 用户态Rootkits用户态Rootkits(Userland Rootkits)是运行在Ring3 级的Rootkit，由于Ring3 级就是用户应用级的程序，而且信任级别低，每一个程序运行，操作系统给这一层的最小权限。

用户态Rootkit使用各种方法隐藏进程、文件，注入模块、修改注册表等。

4 应用级Rootkits应用级Rootkits 通过具有特洛伊木马特征的伪装代码来替换普通的应用程序的二进制代码，也可以使用Hook、补丁、注入代码或其它方式来修改现有应用程序的行为。

5 代码库Rootkits代码库Rootkits 用隐藏攻击者信息的方法进行补丁、Hook、替换系统调用。

Windows Rootkit实现及其检测技术分析

随操作系统启动的Ｒｏｏｔｋｉｔ中，深入分析该条目的前５个字符（ｗｉｎｄｏｗｓ支持ｍｕｔｉｌ，内核劫持、ｓｖｃｈｏｓｔ宿主启动、ｗｉｎｌｏｇｏｎ事ＳＣＳｉ，Ｓｉｇｎａｔｕｒｅ），如果是ＳｃＳｉ，就会
Ｒｏｏｔｋｉｔ１最早出现于Ｕｎｉｘ系统中，随着
计算机技术的发展，现在多种操作系统平台中都出现了Ｒｏｏｔｋｉｔ。现在的研究表明恶意代码的Ｒｏｏｔｋｉｔ技术化趋势非常明显，Ｒｏｏｔｋｉｔ
依照ｗｉｎｄｏｗｓＲｏｏｔｋｉｔ的启动实现方来实现内核的劫持，当ｗｉｎｄｏｗｓ通过ＮＲＬＤＲ
Ｋｅｙｗｏｒｄ：Ｒｏｏｔｌｄｔ；ｖｓｈｏｓｔ．ｅｘｅ；ＢＩＯＳＲｏｏｄ＆；ＭＢＲＢｏｏｔｉｔｋ
１．介绍
２．ＷｉｎｄｏｗｓＲｏｏ｛ｋｉｔ的实现原理
利用Ｂｏｏｔ．ｉｎｉ文件中的特殊选项ＳＣＳｉ
ＲｅｓｅａｒｃｈｏｎｄｅｓｉｇｎｉｎｇａｎｄｄｅｔｅｃｔｉｎｇｔｅｃｈｎｏｌｏｇｙｏｆＲｏｏｔｋｉｔ
Ａｂｓｔｒａｃｔ：ＲｏｏｄｄｔｉｓｕｓｅｄｔｏｈｉｄｅｉｔｓｍａｌｉｃｉｏｕｓｓｏｆｔｗａｒｅａｎｄｏｔｈｅｒｓｐｅｃｉａｌｒｅｓｏｕｒｃｅｓａｎｄａｃｔｉｖｉｔｉｅｓｏｆｔｈｅｐｒｏｃｅｄｕｒｅｓｓｅｔＩｎｔｈｉｓｐａｐｅｒ，ｓｔａｒｉｔｎｇｗｉｈｔｗｉｎｄｏｗｓＲｏｏｔｌｄｔ，Ｒｏｏｄｄｔｉｓｐｉｒｏｒｔｏｈｅｔｏｐｅｒａｔｉｎｇｓｙｓｔｅｍｂｏｏｔａｎｄｗｉｈｔｈｅｔｏｐｅｒａｉｔｎｇｓｙｓｔｅｍｔｏｓｔｒｔａｈｅｔｔｗｏｃｌａｓｓ，ｔｈｅｓｔａｒｔｏｆｈｅｔｔｗｏｋｉｎｄｓｏｆｗｉｎｄｏｗｓＲｏｏｔｋｉｔ，ｔｈｅｒｅａｌｉｚａｔｉｏｎｐｒｉｎｃｉｐｌｅｎｄａｈｉｄｉｎｇｔｅｃｈｎｏｌｏｇｙｉｓａｎａｌｙｚｅｄｉｎｄｅｔａｉｌ，ａｎｄｔｈｅｐｒｉｎｃｉｐｌｅｏｆｈｅｔｅｘｉｓｔｉｎｇｄｅｔｅｃｔｉｏｎｍｅｔｈｏｄｓａｒｅｎａａｌｙｚｅｄ

一种基于交叉视图的Windows Rootkit检测方法

２１年第６０１期
中图分类号：Ｆ０．Ｔ３９５文献标识码：Ａ文章编号：０９— ５２２１）６— ０６— ４１０２５（０１００２０
一
种基于交叉视图的Ｗｉｄｗｏｔｉ检测方法ｎｏｓＲｏｋｔ
傅德胜，曹成龙
效果。
关键词：ｒｏｉ检测；交叉视图；注册表；用户态；内核态ｏｔｔｋ
ＡｉｄｗｓＲｏｔｉｅｅｔｏｅｈｄｂｓｄｏｒｓ．ｉｗＷｎｏｏｋｔｄｔｃｉｎｍｔｏａｅｎｃｏｓｖｅ
ＦＵ —ｈｎＤｅｓｅｇ，ＣＡＯＣｅｇｌｎｈｎ－ｏｇ
一
展性的技术使用，使得可以定制用户所查询的信息。
Ｒｏｉ利用这种技术的目的，于当用户查询某个ｏｋｔ在
信息，比如注册表的一个子键时，系统返回的信息在中，以过滤关于隐藏自身的注册表信息，可达到隐藏自己的目的。按照Ｈｏ术实现特征，将其分ｏｋ技可
ｂｈｖｏｆｒｏｋｔｈｉｐｐｒｐｅｅｔｄａｒｏｋｔｄｔｃｉｎｍｅｈｎｓｂｓｄｏｅｈｄｅｅｉｔｅａｉｒｏｏｔｉ，ｔｓａｅｒｓｎｅｏｔｉｅｅｔｃａｉｏｍａｅｎｔｉｄｎｒｇｓｒｈｙ
ｉｆｒｔｎ，ａｄｓｇｅＷｉｏｏｔｉｄｔｃｉｎｎｏｍａｉｏｎｄｅｉｎｄａｎｄｗｓｒｏｋｔｅｅｔｍｅｏａｅｎｃｏｓｖｅｏｈｔｄｂｓｄｏｒｓ — ｉｗ．Ｔｓｍｅｈｄｙｈｉｔｏｂｃｍｐｒｎｒｍｅｋｒｅｄｅａｄｕｅｄｎｕｒｔｏｆｔｅｒｇｓｒｎｏａｉｎｆｕｅｒｇｓｒｏａｉｇｆｏｔｅｎｌｍｏｎｓｒｍｏｅｅｍｅａｉｎｏｅｉｔｙｉｆｒｔｏｏｎｄｔｅｉｔｙｈｈｍｈｈｄｅｔｍｓｂｏｔｉ，ａｔｅｅｅｔｄｔｅｏｔｉ．Ｆｎｌｙ，ａｅｒｓｎａｉｅｘｍｐｅｈｗｓｈｓｉｄｎｉｅｙｒｏｋｔｎｄｈｎｄｔｃｅｒｏｋｔｉａｌｈｒｐｅｅｔｔｖｅａｌｓｏｔｉ

Windows系统下Rootkit的隐藏与检测

来替换系统中原有的ＤＬ并将原ＤＬ改名．写Ｌ，Ｌ重的ＤＬ的ＩＴ和原ＤＬ的ＥＴＥｐ￣ＡｄｅｓａＬＡＬＡ（ｘｏｄｒｓＴ－
Ｒｔｔｏｋ的攻击过程主要包括：ｉ ①收集目标系统信息．攻击者在攻击某个系统之前，需要知道目标系统有哪些漏洞，使用什么操作系统，哪些帐号等．有 ②获得管理员等级的用户的访问权限．在得到目标系统足够的信息后，攻击者便开始利用其漏洞发起进攻．比较常见的是先获得普通用户访问权限，然后再利用目标系统的本地漏洞提高到超级用户访问权限．还有一种方式是直接利用ｆｔｔｎｔ网络服ｐ和ｅｅ等ｌ务的漏洞获得超级用户访问权限． ③在目标操作系统上安装Ｒｏｉ获得超级用户访问权限后，ｏｔｔｋ．攻击者就可以在目标系统上安装Ｒｏｉ来隐藏攻击行为，ｏｔｔｋ，创建各种后门． ④控制目标系统．目标系统上安装在Ｒｏｉ，ｏｔｔ就可以持久的控制目标系统，ｋ后对其进行各
些服务等等．
２Ｗｉｏｓｏｔｉ隐藏技术ｎｗｏｔｄＲｋ
Ｒｔｉ隐藏的实现过程主要有：１用户态下ｏｋｔ（）
的ＡＩｏｋ在用户态，ＰＨ．一种常用的隐藏方法就是修改ＰＥ文件的ＩＴＩｏｄｒｓＴｂ）实现．ＡＡ（ｍｐ￣Ａｄｅｓａｌ来ｅＩＴ中记录了该文件运行时需要调用的所有函数链接库．Ｅ文件运行时会将自己和ＩＴ中记录的链接库ＰＡ
种攻击，而且不被目标系统的管理员察觉．如：例利用目标系统攻击其它系统，目标系统拒绝提供某使

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ｋｒｅｂｅｔｎｍｅｒ．Ｅｘｅｉｎｓｓｏｔａｈｓｔｃｎｑｅｏｓｓｔｆｄｄｔｃｉｎｅｆｃ．ｅｎｌｏｊｃｓｉｍｏｙｐｒｍｅｔｈｗｈｔｔｉｅｈｉｕｗｎａｉｉｅｅｔｆｅｔｓｅｏ
ＫＥＹＷＯＲＤＳｒｏｋｔｐｏｅｓｈｄｎ，ｍｅｒｅｒｈｏｔｉ，ｒｃｓｉｉｇｍｏｙｓａｃ
到目标程序的地址空间，析内存中目标程序的Ｐ分Ｅ格式，到ＩＴ中目标ＡＩ找ＡＰ函数的地址，后替换为然
展。ｏｋｔＲｏｔｉ是能够持久且难于检测地存在于计算机之中的一组程序和代码［。用Ｗｉｄｗｏｔｉ，以１利］ｎｏｓＲｏｋｔ可
Ｒｏｔｉ初出现于Ｕｎｘ系统，１９ｏｋｔ最ｉ在９９年的时
ＦｎｔｎＨｏｋｎ）ｕｃｉｏｉｇ。导入地址表（ｏＩＡＴ）子通过进入钩
候，ｅｇｕｄ开发出了针对Ｗｉｄｗｓ系统的ＧｒｇＨｏｌｎｎｏＲｏｋｔ此后，ｎｏｏｋｔ术得到了快速发ｏｔｉ，ＷｉｄｗｓＲｏｔｉ技
１２内核级Ｒｏｋｔ．ｏｔｉ的进程隐藏技术
行隐藏，而使入侵者进入被攻占的系统后所引起的从
变化（启动了新进程、如增加了新文Ｒｏｋｔｏｔｉ技术中的一
种典型应用。将进程隐藏起来，意味着程序可以在不被
Ｗｉｄｗｓ基于交叉视图的Ｒｏｔｉ进程隐藏检测技术ｎｏ下ｏｋｔ
文章编号；０３５５（０１Ｏ — ０６０１０ —８０２１）５０５ — ２
Ｗｉｄｗｎｏｓ下基于交叉视图的Ｒｏｔｉ进程隐藏检测技术ｏｋｔ
中圈分类号：ＴＰ１．３６７文献标识码：Ａ
ＡＢＴＲＡＣＴＴｈｓｐｐｒｓｕｉｄｔｅｅｉｔｎｉｄｎｐｏｅｓｔｃｎｑｅｆｒｏｋｔｎＷｉｄｗｓｎｈｎｐｏｏｅｉｄｎｐｏｅｓＳｉａｅｔｄｅｈｘｓｉｇｈｄｅｒｃｓｅｈｉｕｓｏｏｔｉｉｎｏ，ａｄｔｅｒｐｓｄａｈｄｅｒｃｓｄｔｃｉｎｔｃｎｑｅｏｏｔｉｂｓｄｏｒｓ－ｉｗ．Ｔｈｓｔｃｎｑｅｄｔｃｓｈｄｅｒｃｓｙｃｍｐｒｎｈｒｃｓｉｔｔｉｅｅｅｔｅｈｉｕｆｒｏｋｔａｅｎｃｏｓｖｅｏｉｅｈｉｕｅｅｔｉｄｎｐｏｅｓｂｏａｉｇｔｅｐｏｅｓｌｓａｔｎｄｓａｆｏｏｅａｉｇｓｓｅｈｇ－ｅｅｎｏｌｖｌｒｓｅｔｖｌ．Ｉａｔｃｌｒｈｏｌｖｌｐｏｅｓｌｔｉｔｉｅｙｓａｃｉｇｔｅｒｍｐｒｔｎｙｔｍｉｈｌｖｌａｄｌｗ— ｅｅｐｃｉｅｙｎｐｒｉｕａ，ｔｅｌｗ—ｅｅｒｃｓｉｓａｔｎｄｂｅｒｈｎｈｅｓａ
内核级Ｒｏｔｉ工作在权限最高的环０级上，ｏｋｔ能
够直接操作内核代码，这为进程的隐藏提供了便利。在内核模式下，隐藏进程的技术主要有挂钩系统服务调度表（ｙｔｍｅｖｃｉｐｔｈＴｂｅＳＤ和直接ＳｓｅＳｒｉＤｓａｃａｌ，ＳＴ）ｅ内核对象操作（ｉｃｅｎｌＯｂｅｔＭａｉｕａｉ，ＤｒｔＫｒｅｅｊｃｎｐｌｔｎｏ
技术。技术通过比较从操作系统的高层和底层获取到的进程列表来检测被Ｒｏｋｔ隐藏的进程，中，该ｏｔｉ所其底层进程列表是通过搜索内存中的内核对象来获得的。实验表明，该技术具有较好的检测效果。
【键词】Ｒｏｔｉ，进程隐藏，内存搜索关ｏｋｔ
对Ｗｉｄｗｓ系统中的进程、ｎｏ文件、口、端驱动程序等进
钩子函数的地址。这样，当调用目标函数时，就会执行钩子函数而不是原始的ＡＰ函数。内联函数钩子常Ｉ而常直接把目标函数的前５字节修改为一个无条件跳个
转指令ＪＭＰ，跳转指向Ｒｏｋｔ该ｏｔｉ钩子。
ＨｉｅｏｅｓＤｅｅｔｏｃｉｅｏｏｋｉｓｄｏｏｓＶｉｗｎＷｉｏｄｄｎＰｒｃｓｔｃｉｎＴｅｈｎｑｕｆＲｏｔｔＢａｅｎＣｒｓ — ｅｉｎｄｗｓ
李建军王庆生
（太原理工大学计算机科学与技术学院太原００２）３０４【摘要】对现有的Ｗｉｄｗｓｏｔｉ进程隐藏技术进行了研究，提出了基于交叉视图的Ｒｏｔｉ进程隐藏检测ｎｏｏｋｔＲｏｋｔ