64位windows操作系统内核监控研究

《64位windows操作系统内核监控研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、学校代码10530学号201330111823分类号TP391密级硕士学位论文64位Windows操作系统内核监控研究学位申请人吴建指导教师刘新副教授学院名称信息工程学院学科专业软件工程研究方向信息安全二○一六年四月二十七日Researchonkernelmonitoringof64bitwindowsoperatingsystemCandidateWuJianSupervisorProf．LiuXinCollegeCollegeofInformationEngineeringProgramsoftwareengin

2、eeringSpecializationinformationsecurityDegreeMasterofEngineeringUniversityXiangtanUniversityDateMay4h，2016湘巧大学学位论文原创性声明本人郑重声明：所呈交的论文是本人在导师的指导下独立进行研究所取得的究成果。除了文中特别加Ｗ标注引用的内容外，本论文不包含任何其他个人或！ｉ：巧已经发表或撰写的成果作品。巧本文的研究做出重要贡献的个人和集体，均Ｌｉ在文中Ｗ明确方式标明。本人完全意识到本声明的法律后果

3、由本人承担。。作者签名；曰期石Ｉ為如＾６月４曰学位论文版权使用授权书本学位论文作者完全了解学校有关保留、使用学位论文的规定，同意学校保留并向国家有关部口或机构送交论文的复印件和电子版，允许论文被查阅和借罚。本人授权湘潭大学可将本学位论文的全部或部分内容编入有关数据库进行栓索，可ｔＵ采用影印、缩印或扫描等复制手段保存和汇编本学位论文。涉密论文按学校规定处理。＾＞作者签名父，６：年：专受曰期月曰＾导师签名；曰期；＾：＾／＜年月ｆ曰摘要2015年网络军火商HackingTe

4、am被黑客入侵，泄露了415G的内部资料。这些资料包含大量的攻击代码和工具，黑客们利用这些数据和源代码可以快速开发出破坏力强大的网路武器。HackingTeam的泄露事件，提升了黑客们的攻击水平、同时也增加了安全厂商的反病毒难度。目前已经有大量的黑客组织借鉴了HackingTeam的代码来制作网络攻击工具。HackingTeam最著名的产品是RCS(RemoteControlSystem)系统，他们实现了全平台的RCS系统，其中的windows平台木马可以免杀市面上所有的在线沙箱系统，无论是国内的金山火眼、腾讯哈勃，

5、还是国外的anubis、hybrid、malwr等在线检测平台均无法有效检测出这些木马的恶意行为。HackingTeam采用了大量的沙箱逃逸技术，可以通用地绕过应用层的沙箱检测技术。为了解决高级木马的逃逸问题，需要采用内核级的监控技术来提升沙箱的检测效果。面对严峻的网络空间安全形势，传统的静态扫描技术已经不能满足要求。而基于行为的恶意软件检测系统，面对恶意软件的针对性免杀，其检测效果也越来越弱。本文为解决恶意软件行为分析系统被检测或者被绕过的可能性较高的问题，研究了64位windows操作系统的内核监控技术。本文实现

6、了多种行为监控技术（包括应用层的钩子技术、内核层的钩子技术、过滤驱动、基于硬件虚拟化的监控技术等），综合分析了这些技术的优缺点，形成了一个全方位的行为监控系统，降低了HackingTeam等黑客组织制作的高级木马逃逸恶意软件检测系统的可能性，大大提升了恶意软件检测系统的检测能力。同时，为了全面的释放恶意软件的行为，本文研究了windows下的痕迹隐藏和检测技术。并在恶意软件检测系统中加入了各种痕迹隐藏技术，让恶意软件察觉不到自身处于被分析的环境中，从而释放完整的恶意行为序列。从而为后续的软件恶意程度判断提供更全面的数

7、据，为安全分析人员提供更详细的线索。关键词：恶意软件；动态分析；沙箱逃逸；Windows内核；隐藏技术AbstractIn2015,HackingTeamwashacked,inadditiontodisclosureofinternalinformation415G.Thesematerialscontainalargenumberofattackingcodeandtoolsthathackersusethesedataandsourcecodecandevelopastrongnetworkdestructiv

8、eweaponsquickly.TheleakingofHackingTeam,enhancethelevelofhackers,butalsoincreasedthedifficultyofanti-virussecurityvendors.TherearealreadyalargenumberofhackersuseHackingTeam’