基于xen的rootkit检测技术研究

《基于xen的rootkit检测技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、代号10701学号1101120120分类TP3密级公开题（中、英文）目基于Xen的Rootkit检测技术研究ResearchonRootkitDetectionTechnologyBasedonXen作者姓名张文静指导教师姓名、职称李晖教授学科门类工学学科、专业通信与信息系统提交论文日期二〇一四年一月万方数据万方数据西安电子科技大学学位论文独创性(或创新性)声明秉承学校严谨的学风和优良的科学道德，本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除了文中特别加以标注和致谢中所罗列的内容以外，论文中不包含其他人已经发表或撰写过的研

2、究成果；也不包含为获得西安电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中做了明确的说明并表示了谢意。申请学位论文与资料若有不实之处，本人承担一切的法律责任。本人签名：日期西安电子科技大学关于论文使用授权的说明本人完全了解西安电子科技大学有关保留和使用学位论文的规定，即：研究生在校攻读学位期间论文工作的知识产权单位属西安电子科技大学。学校有权保留送交论文的复印件，允许查阅和借阅论文；学校可以公布论文的全部或部分内容，可以允许采用影印、缩印或其它复制手段保存论文。同时本人保证，毕业后结合学位论文研究课题再撰

3、写的文章一律署名单位为西安电子科技大学。(保密的论文在解密后遵守此规定)本学位论文属于保密，在年解密后适用本授权书。本人签名：导师签名：日期：日期：万方数据万方数据摘要近年来，WindowsRootkit技术越发复杂、隐藏能力大大提高，多数恶意代码都采用Rootkit来隐藏自身，使其具有更大的危害性。随着WindowsRootkit反检测、反分析技术的快速发展，对Rootkit检测系统的设计与实现提出了更高的要求。很多Rootkit检测技术及工具已不能满足检测出当前多种复杂的内核级Rootkit的要求。自Xen系统支持硬件辅助虚拟化技术以来，其具有的高特权性以及

4、对客户机操作系统的高透明性，为检测Rootkit的实现提供了保证。因此，在理论上基于Xen的Rootkit检测技术可有效地检测出Rootkit的存在，同时能够获取更为底层、更加真实的Rootkit行为信息，本文也给出了相应的测试结果。为研究基于Xen的Rootkit检测技术以及设计和实现检测方案，本文的主要工作有：(1)研究了WindowsRootkit的主要原理与相关技术，以及Windows操作系统下遍历进程链表信息的基本原理。(2)研究了虚拟机Xen的工作机制，着重分析了Xen4.0.1源码中与硬件虚拟化技术相关部分代码，利用XenAPI编写可获取客户机操作

5、系统内存信息的程序。(3)研究了x86系统下内存保护与访问控制方法，通过为关键函数所在内存页面设置写保护，可在Xen层拦截内核数据访问行为。(4)基于以上工作，设计并实现了基于Xen的Rootkit检测系统。最后利用Windows系统下著名的Rootkit—Hackerdefender对检测系统进行了测试，并给出检测与验证结果。实验证明，本文提出的基于Xen的Rootkit检测方案在Rootkit检测技术中具有可行性。关键字：XenRootkit检测硬件虚拟化技术内存保护Windows操作系统万方数据万方数据AbstractTherootkittechnolog

6、yismorecomplexandtheabilitytohideisgreatlyimprovedinrecentyears,andlotsofmaliciouscodeuserootkittohidethemselveswhichmakethemmoredangerous.Therootkitanti-detectiontechnologyhasalsodevelopedrapidly,soitneedsahigherrequirementfordesigningandimplementingofarootkitdectectionsystem.Manyro

7、otkitdetectiontechniquesandtoolshavebeenunabletomeetthecurrentrequirementtodetectavarietyofcomplexkernelrootkit.SinceXensystemsupportshardware-assistedvirtualizationtechnology,itshighprivilegeandhightransparencyprovideaguaranteefortherootkitdetection.Thus,rootkitdetectiontechnologyba

8、sedonXencane