基于vmm的rootkit及其检测技术研究

《基于vmm的rootkit及其检测技术研究》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、第３８卷第１２期２０１１年１２月计算机科学Ｖｏｌ．３８Ｎｏ．１２ＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅＤｅｃ２０１１基于ＶＭＭ的Ｒｏｏｔｋｉｔ及其检测技术研究周天阳朱俊虎王清贤（解放军信息工程大学信息工程学院郑州４５０００２）摘要借助虚拟化技术，Ｒｏｏｔｋｉｔ隐藏能力得到极大提升，基于ＶＭＭ的Ｒｏｏｔｋｉｔ的研究成为主机安全领域的热点。总结了传统Ｒｏｏｔｋｉｔ的隐藏方法和技术瓶颈，介绍了ＶＭＭ的自身优势和软、硬件实现方法，分析了不同ＶＭＭＲｏｏｔ－ｋｉｔ的设计原理和运行机制。针对ＶＭＭ存在性检测的不足，阐述了一种新的ＶＭＭ恶意性检测思路，同时讨论了ＶＭＭＲ

2、ｏｏｔｋｉｔ的演化方向，并从防护的角度提出了一些安全使用虚拟化技术的建议。关键词Ｒｏｏｔｋｉｔ，虚拟机监控器，检测，防护中图法分类号文献标识码ＴＰ３０９．５ＡＲｅｓｅａｒｃｈｏｎＶＭＭ－ｂａｓｅｄＲｏｏｔｋｉｔａｎｄｉｔｓＤｅｔｅｃｔｉｏｎＴｅｃｈｎｏｌｏｇｙＺＨＯＵＴｉａｎ－ｙａｎｇＺＨＵＪｕｎ－ｈｕＷＡＮＧＱｉｎｇ－ｘｉａｎ（ＩｎｓｔｉｔｕｔｅｏｆＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＰＬＡＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｚｈｅｎｇｚｈｏｕ４５０００２，Ｃｈｉｎａ）Ｌｅｖｅｒａｇｉｎｇｖｉｒｔｕａｌｉｚ

3、ａｔｉｏｎｔｅｃｈｎｏｌｏｇｙ，ｒｏｏｔｋｉｔｈａｓｉｍｐｒｏｖｅｄｉｔｓｓｔｅａｌｔｈｃａｐａｂｉｌｉｔｙｇｒｅａｔｌｙ．ＲｅｓｅａｒｃｈｏｎＶＭＭ－Ａｂｓｔｒａｃｔｂａｓｅｄｒｏｏｔｋｉｔｈａｓｂｅｃｏｍｅｔｈｅｆｏｃｕｓｉｎｃｏｍｐｕｔｅｒｓｅｃｕｒｉｔｙｆｉｅｌｄ．Ｔｈｉｓｐａｐｅｒｓｕｍｍａｒｉｚｅｄｔｈｅｔｒａｄｉｔｉｏｎａｌｈｉｄｄｅｎｍｅｔｈｏｄｓａｎｄｔｈｅｂｏｔｔｌｅｎｅｃｋｏｆｔｈｅｉｎ－ｂｏｘｔｅｃｈｎｏｌｏｇｙ，ｉｎｔｒｏｄｕｃｅｄｔｈｅａｄｖａｎｔａｇｅｏｆＶＭＭａｔａｒｃｈｉｔｅｃｔｕｒｅａｎｄｔｈｅｉｍｐｌｅｍｅｎｔ

4、ａｔｉｏｎｂａｓｅｄｏｎｓｏｆｔｗａｒｅａｎｄｈａｒｄｗａｒｅ，ａｎｄｔｈｅｎａｎａｌｙｚｅｄｔｈｅｄｅｓｉｇｎａｎｄｏｐｅｒａｔｉｏｎｍｅｃｈａｎｉｓｍｓｏｆｖａｒｉｏｕｓＶＭＭＲｏｏｔｋｉｔｓ．ＩｎｏｒｄｅｒｔｏｒｅｓｏｌｖｅｔｈｅｌｉｍｉｔａｔｉｏｎｏｆＶＭＭｅｘｉｓｔｅｎｃｅｄｅｔｅｃｔｉｏｎ，ｉｔｐｒｏｐｏｓｅｄａｎｅｗｍｅｔｈｏｄｄｅｔｅｃｔｉｎｇｍａｌｉｃｉｏｕｓＶＭＭ．Ｉｎａｄ－ｄｉｔｉｏｎ，ｔｈｉｓｐａｐｅｒｄｉｓｃｕｓｓｅｄｔｈｅｅｖｏｌｖｅｍｅｎｔｏｆＶＭＭＲｏｏｔｋｉｔ，ａｎｄｐｒｅｓｅｎｔｅｄｈｏｗｔｏａｐｐｌｙｖｉｒｔｕ

5、ａｌｉｚａｔｉｏｎｔｅｃｈｎｉｑｕｅｓｓａｆｅｌｙｔｏｄｅｆｅｎｄＶＭＭＲｏｏｔｋｉｔ．Ｒｏｏｔｋｉｔ，ＶＭＭ，Ｄｅｔｅｃｔｉｏｎ，ＤｅｆｅｎｃｅＫｅｙｗｏｒｄｓＲｏｏｔｋｉｔ技术可以帮助恶意代码隐藏程序属性和攻击行为，躲避反病毒软件的监控，Ｒｏｏｔｋｉｔ及其检测技术是业界关注的焦点。Ｒｏｏｔｋｉｔ一般通过挂钩程序执行路径（ＥｘｅｃｕｔｉｏｎＰａｔｈＨｏｏｋ）［１］、直接内核对象操纵（ＤｉｒｅｃｔＫｅｒｎｅｌＯｂｊｅｃｔＭａ－ｎｉｐｕｌａｔｉｏｎ，ＤＫＯＭ）［２］技术篡改操作系统信息，消除入侵痕迹。Ｒｏｏｔｋｉｔ检测根据被修改的系统对象或行为，判别

6、Ｒｏｏｔ－ｋｉｔ的存在。在操作系统内部，Ｒｏｏｔｋｉｔ技术受体系结构束缚，难以向深层发展。系统虚拟化技术改变了原有计算机的体系结构，虚拟机监控器（ＶｉｒｔｕａｌＭａｃｈｉｎｅＭｏｎｉｔｏｒ，ＶＭＭ）运行于主机硬件之上、操作系统之下，拥有最高特权级，操作系统无法感知自身真实的运行环境。将Ｒｏｏｔｋｉｔ嵌于ＶＭＭ层，可以利用底层的优势实现深度隐藏。随着虚拟化技术的快速发展，研究人员针对不同虚拟化技术分别提出了３种ＶＭＭＲｏｏｔｋｉｔ原型———Ｓｕｂｖｉｒｔ［３］，ＢｌｕｅＰｉｌｌ［４］和Ｖｉｔｒｉｏｌ［５］。这些虽然只是概念验证原型，不具备任何功能性，

7、却在业界引起极大关注。近年来已有ＶＭＭ检测技术研究，但同样存在相应的对抗方法。随着虚拟化技术的快速发展，虚拟化产品广泛普及，主机面临新型安全威胁，急需对ＶＭＭＲｏｏｔｋｉｔ进行研究和分析，提出新型的检测思路和防护方法。１Ｒｏｏｔｋｉｔ概述Ｒｏｏｔｋｉｔ技术使恶意代码隐藏得更深，更容易躲避安全检测。传统Ｒｏｏｔｋｉｔ种类繁多，技术复杂。从用户应用层深入到操作系统内核层，采用的技术主要有以下两种：一是挂钩程序执行路径（Ｈｏｏｋ），其主要思想是修改程序执行逻辑，在调用路径的不同层次上，挂钩原有系统函数或指令代码，将其替换为Ｒｏｏｔｋｉｔ自有函数或恶意代码

8、，过滤系统返回信息，为程序执行者提供错误或虚假的结果。二是直接内核对象操纵（ＤｉｒｅｃｔＫｅｒｎｅｌＯｂｊｅｃｔＭａｎｉｐ