木马穿透个人防火墙技术研究

学术研究Academic Research

信息安全与通信保密・２００７．１145宋柳松，吴少华，周安民（四川大学信息安全研究所，四川　成都　６１００６４）

【摘 要】论文介绍了ｗｉｎｄｏｗｓ平台下个人防火墙常用的网络数据包截获技术（ＮＤＩＳ－ＨＯＯＫ技术和中间层驱动技术）的原理、特点和不足，以及特洛伊木马如何穿透各种基于不同数据包截获技术的个人防火墙，并以此为基础，提出改进个人防火墙的一些建议和设想。【关键词】个人防火墙；ＮＤＩＳ－ＨＯＯＫ；中间层；特洛伊木马【中图分类号】ＴＰ３０９ 【文献标识码】Ａ 【文章编号】１００９－８０５４（２００７）　０１－０１４５－０３

Study on the Technology of Trojan 's Penetration Through Personal-firewallSong Liusong, Wu Shaohua, Zhou Anmin(Information Security Insitute, Sichuan University, Chengdu 610064, China)【Abstract】This paper introduces personal-firewall network datapacket intercepting technology on windows platform,including the principle, characteristics and shortcomings of NDIS-HOOK and intermediate NDIS driver, and explainshow the Trojan horse penetrates the firewall in network communication. As a conclusion, some personal advice andpresumption on improvement of personal-firewall are mentioned.【Keywords】personal-firewall; NDIS-HOOK; intermediate NDIS drivers; Trojan

木马穿透个人防火墙技术研究

收稿日期：２００６－７－２８作者简介：宋柳松，１９８２年生，男，重庆永川人，在读硕士研究生，研究方向为信息安全。吴少华，１９７７年生，男，福建福安人，讲师，研究方向为信息安全。周安民，１９６３年生，男，四川成都人，研究员，研究方向为信息安全。

１ 引言随着个人防火墙技术日趋成熟，传统木马已经无法穿透当前大多数个人防火墙。个人防火墙技术的成熟必定伴随着木马技术的提高，不久之后，必将出现具有穿透当前主流防火墙能力的木马。本文将介绍当前主流的个人防火墙使用的网络数据包截获技术，并提出一些穿透防火墙的有效方法，最后，针对可能出现的新的木马技术提出增强个人防火墙监测能力的一些建议。２ 数据包截获技术２．１　基于ＮＤＩＳ－ＨＯＯＫ技术的网络封包截获ＮＤＩＳ协议驱动程序初始化时维护一张ＮＤＩＳ＿ＰＲＯＴＯＣＯＬ＿ＣＨＡＲＡＣＴＥＲＩＳＴＩＣＳ表，这张表中存有所有协议驱动程序与底层的派发函数的入口［２］。系统以该表为参数调用ＮＤＩＳ　ＡＰＩ函数ＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ进行注册。以下是重新定义的ＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ原型。ＥＸＰＯＲＴ　ＶＯＩＤＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ（ＯＵＴ　ＰＮＤＩＳ＿ＳＴＡＴＵＳ　Ｓｔａｔｕｓ，ＯＵＴ　ＰＮＤＩＳ＿ＰＲＯＴＯＣＯＬ＿ＢＬＯＣＫ　ＮｄｉｓＰｒｏｔｏｃｏｌＨａｎｄｌｅ，ＩＮ　ＰＮＤＩＳ＿ＰＲＯＴＯＣＯＬ＿ＣＨＡＲＡＣＴＥＲＩＳＴＩＣＳＰｒｏｔｏｃｏｌＣｈａｒａｃｔｅｒｉｓｔｉｃｓ，ＩＮ　ＵＩＮＴ　ＣｈａｒａｃｔｅｒｉｓｔｉｃｓＬｅｎｇｔｈ）ＮＤＩＳ＿ＰＲＯＴＯＣＯＬ＿ＢＬＯＣＫ（协议表）是ＮＤＩＳ维护所有系统中已注册协议的单向链接表。注册新的协议时，ＮＤＩＳ会把新注册的协议放在链表的头并返回这张表，所以只要注册一个新的协议，通过返回的链表头就遍历系统中所有协议表，并勾挂表中的派发函数，实现网络封包截Academic Research学术研究ｗｗｗ．ｃｉｓｍａｇ．ｃｏｍ．ｃｎ146

获［２］。ＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ在注册完一个协议后，ＮＤＩＳ调用表中ＢｉｎｄＡｄａｐｔｅｒＨａｎｄｌｅｒ派发函数完成对每一个网卡的ＢＩＮＤＩＮＧ。ＢｉｎｄＡｄａｐｔｅｒＨａｎｄｌｅ处理程序会根据需要使用ＮｄｉｓＯｐｅｎＡｄａｐｔｅｒ将自身绑定到适合的网卡，并返回ＮｄｉｓＢｉｎｄｉｎｇＨａｎｄｌｅ。ＮｄｉｓＢｉｎｄｉｎｇＨａｎｄｌｅ其实是指向ＮＤＩＳ＿ＯＰＥＮ＿ＢＬＯＣＫ表的一根指针，当协议顺利的绑定后，每个绑定的网卡和每一个协议之间会建立一条数据传输的通道，而ＮＤＩＳ＿ＯＰＥＮ＿ＢＬＯＣＫ就是用来维护这一数据通道的表。当第Ｎ块网卡发送数据包到第Ｎ个协议时，就会调用第Ｎ个协议与第Ｎ个网卡之间建立的ＮＤＩＳ＿ＯＰＥＮ＿ＢＬＯＣＫ表里的ＳｅｎｄＨａｎｄｌｅｒ或ＳｅｎｄＰａｃｋｅｔＨａｎｄｌｅｒ。所以还需要对这张表里的派发函数进行处理（勾挂）。２．２　基于中间层驱动的网络封包截获中间层驱动有一个Ｍｉｎｉｐｏｒｔ上边界和一个Ｐｒｏｔｏｃｏｌ下边界。对于协议驱动，中间层驱动相当于一个Ｍｉｎｉｐｏｒｔ驱动，而对于Ｍｉｎｉｐｏｒｔ驱动，中间层驱动相当于一个Ｐｒｏｔｏｃｏｌ驱动。应用程序的数据经协议驱动封装后，到达中间层驱动，这里中间层驱动可以对数据进行处理后再向网卡驱动发送。同样，当底层Ｍｉｎｉｐｏｒｔ驱动收到数据包时，首先进行处理的是中间层驱动，之后才向上层的Ｐｒｏｔｏｃｏｌ驱动转发。这就是基于中间层技术的防火墙的截获过程。３ 木马穿透防火墙技术３．１　针对基于ＮＤＩＳ＿ＨＯＯＫ技术的防火墙首先，要确定防火墙是基于ＮＤＩＳ－ＨＯＯＫ技术，这类防火墙都会修改ＮＤＩＳ．ｓｙｓ中某些导出函数的地址，以ＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ为例，首先在内存中找到ＮＤＩＳ．ｓｙｓ的基址，从导出表中查找ＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ的偏移，从而获得函数的地址，将该地址与ＮＤＩＳ．ｓｙｓ基址比较，如果低于基址，那说明函数地址已经被修改，那防火墙很可能是基于ＮＤＩＳ－ＨＯＯＫ技术。然后，从被修改的函数地址开始向内存低址搜索，第一个模块基址就是防火墙所加载的驱动程序模块，得到了防火墙的驱动模块路径之后可以采用修改注册表禁止加载该模块或者替换该模块等不同处理方法。从图１、图２中可以发现，安装ｏｕｔｐｏｓｔ防火墙后ＮＤＩＳＡＰＩ的入口地址（ＮｄｉｓＲｅｇｉｓｔｅｒｐｒｏｔｏｃｏｌ：０ｘＦ８９６８Ｅ００）低于ＮＤＩＳ．ｓｙｓ的基址（这里是０ｘＦ９Ｃ６５０００）。而最近的低于ＮＤＩＳ　ＡＰＩ入口地址的模块正是防火墙的驱动模块（０ｘＦ８９５００００）。显然，防火墙用自身的函数入口地址替换了系统模块ＮＤＩＳ．ｓｙｓ导出的函数入口点地址。现在国外的防火墙比如卡巴斯基、Ａｇｎｉｔｕｍ的ｏｕｔｐｏｓｔ、ＺｏｎｅＡｌａｒｍ的ｅＴｒｕｓｔ大多采用了ＮＤＩＳ－ＨＯＯＫ技术。３．２　针对基于中间层技术的防火墙中间层驱动会调用一些特定的ＮＤＩＳ接口ＮｄｉｓＩＭＲｅｇｉｓｔｅｒＬａｙｅｒｅｄＭｉｎｉｐｏｒｔ，借鉴ＮＤＩＳ－ＨＯＯＫ技术，将ＮｄｉｓＩＭＲｅｇｉｓｔｅｒＬａｙｅｒｅｄＭｉｎｉｐｏｒｔ进行ＨＯＯＫ，下面是该函数的原型：ＮＤＩＳ＿ＳＴＡＴＵＳＮｄｉｓＩＭＲｅｇｉｓｔｅｒＬａｙｅｒｅｄＭｉｎｉｐｏｒｔ（ ＩＮ　ＮＤＩＳ＿ＨＡＮＤＬＥ ＮｄｉｓＷｒａｐｐｅｒＨａｎｄｌｅ，　ＩＮ　ＰＮＤＩＳ＿ＭＩＮＩＰＯＲＴ＿ＣＨＡＲＡＣＴＥＲＩＳＴＩＣＳＭｉｎｉｐｏｒｔＣｈａｒａｃｔｅｒｉｓｔｉｃｓ， ＩＮ　ＵＩＮＴ ＣｈａｒａｃｔｅｒｉｓｔｉｃｓＬｅｎｇｔｈ， ＯＵＴ　ＰＮＤＩＳ＿ＨＡＮＤＬＥ ＤｒｉｖｅｒＨａｎｄｌｅ）ＮｄｉｓＷｒａｐｐｅｒＨａｎｄｌｅ是之前调用ＮｄｉｓＭＩｎｉｔｉａｌｉｚｅＷｒａｐｐｅｒ函数所返回的句柄，ＭｉｎｉｐｏｒｔＣｈａｒａｃｔｅｒｉｓｔｉｃｓ是注册ｍｉｎｉｐｏｒｔ上边界的接口函数的列表，ＤｒｉｖｅｒＨａｎｄｌｅ是输出参数，这些参数都不能修改，否则会导致蓝屏。这里我们让该函数返回一个失败的状态值，这导致中间层驱动的初始化的失败，从而导致防火墙的初始化失败，目的完成。

４ 个人防火墙改进建议当前主流的个人防火墙大多采用ＮＤＩＳ－ＨＯＯＫ和中

图１　防火墙驱动模块在内存中的地址和路径图２ 被修改后的ＮＤＩＳ　ＡＰＩ的入口地址学术研究Academic Research

信息安全与通信保密・２００７．１147间层技术截获网络数据包，因此，在这里基于以上对这几类个人防火墙特点的分析提出一些改进建议：—增强对防火墙关键模块的保护。增强对关键模块的保护以及个人防火墙关键信息，比如启动信息的隐藏将有效避免木马对个人防火墙本身的篡改。这里可以借鉴ｗｉｎｄｏｗｓ２０００对关键模块的保护技术，建立原始的模块库，对被篡改的模块进行还原。—控制不明驱动程序的加载。驱动程序工作在内核，对内核具有最高访问权限。要监控工作在内核模式下的木马程序，必须具有监控驱动程序的能力。—对关键接口的保护。在穿透ｐａｓｓｔｈｒｕ程序的实验中，通过对ＮｄｉｓＩＭＲｅｇｉｓｔｅｒＭｉｎｉｐｏｒｔ接口进行ＨＯＯＫ，来让该函数返回期望的结果。对关键接口的保护将有效地降低这类木马对系统的威胁。—混合采用多种数据包截获技术。５ 总结本文描述了在Ｗｉｎｄｏｗｓ下个人防火墙所采用的网络数据包拦截技术，分析了各种技术的原理和不足，以及木马要穿透防火墙所可能采用的技术，并提出了改进个人防火墙的一些建议。本文所有例子测试环境为ｗｉｎ２０００ｓｐ４，ＶＣ＋＋６．０，测试ＮＤＩＳ－ＨＯＯＫ技术所用的防火墙为ＯｕｔＰｏｓｔ　Ｆｉｒｅｗａｌｌ，中间层技术是引用ｗｉｎ２０００ＤＤＫ提供的ｐａｓｓｔｈｒｕ程序。

参考文献［１］　ＭＳＤＮ　Ｌｉｂｒａｒｙ　ｆｏｒ　Ｗｉｎｄｏｗｓ　ＤＤＫ［Ｚ］．Ｍｉｃｒｏｓｏｆｔ　Ｃｏｒｐｏｒａｔｉｏｎ，２００１．［２］　叶小虎．　Ｗｉｎｄｏｗｓ下的个人防火墙－网络数据包拦截技术概览［Ｊ］．　绿盟科技，２００３．　

险。一般要求项关系到较低的安全风险，它们中的每一大项分为若干小项，每一小项的测评结果分为“合格”、“基本合格”和“不合格”三种情况。大项的结果判据如下：—如果一个大项中所有小项均为“合格”，则该大项为“合格”。—如果一个大项中“不合格”的小项超过４０％，则该大项“不合格”。—除上述两项以外的其它情况，为“基本合格”。（２）　检测结论判据。—基本要求项中有一个大项“不合格”，检测结论即为“不合格”。—基本要求项中６０％（含６０％）“合格”，其它基本要求项为“基本合格”，且一般要求项中６０％以上（含６０％）“合格”，检测结论即为“合格”。—除上述两项以外的其它情况，检测结论即为“基本合格”。（３）　检测意见、专家评估意见与测评结论的关系。—检测意见认为“不合格”，待整改复测后，再召开专家评估会进行评估。—检测意见认为“合格”，专家评估意见认为“基本合格”，则测评结论为“基本合格”。—检测意见认为“基本合格”，专家评估意见认为“不合格”，待整改复测后，再给出测评结论。５ 结语本文针对涉密信息系统自身的特殊性要求，对涉密信息系统的安全风险评估与安全测评具体实施方法做了初步探讨，从实践角度解释了两者目的、流程、实施等方面的区别，希望引起涉密信息系统的安全风险评估与安全测评实施方的注意，也为进一步探讨提供基础资料。下一步研究方向为涉密资产的摸底及风险分析。