浅谈内核态rootkit隐藏性研究与改进

《浅谈内核态rootkit隐藏性研究与改进》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、华中科技大学硕士学位论文内核态Rootkit隐藏性研究与改进姓名：周桉申请学位级别：硕士专业：计算机系统结构指导教师：余胜生20070129摘要随着信息安全的重要性日益提高,网络攻防技术得到迅速的发展,远程控制技术的研究也成为网络攻防研究中的热点之一。Rootkit作为一种长期隐蔽控制计算机系统的有效工具,其相关技术研究是远程控制技术研究的重要组成部分。在WINDOWS系统中,内核态Rootkit相对于用户态的Rootkit在隐蔽性方面更加完善,功能也更加强大。基于内核态的Rootkit将成为WINDOWS系统

2、远程控制技术研究的主要方向。目前内核态Rootkit在内存隐藏性方面主要采用内核API挂接、直接内核对象操作等方式,在隐蔽通道方面采用注入信任进程的方式建立通道。改进的内核态Rootkit针对这些方式的优缺点，在三个方面给出适当的改进方案。在自启动隐藏方面，利用逆向分析得出一种有效躲避系统检测软件的加载形式；在内存隐藏方面，现存的内核态Rootkit虽能改变系统调用执行路径，但破坏操作系统的内存子系统。改进后的Rootkit利用X86的内存分页机制和破坏TLB同步的方式，分离内存访问请求，从而实现在内存中Roo

3、tkit代码页面的隐藏；在数据远程通讯方面，现有的Rootkit中多采用端口复用和反向连接技术来欺骗防火墙信任连接，改进的Rootkit则结合WINDOWS系统网络体系结构中底层网络驱动接口的结构,提出了一种基于底层网络驱动接口内核函数挂接的隐蔽的底层网络通讯机制.这种通讯方式无需开启端口进行监听和建立连接，能够有效的穿透过滤型网络防火墙，并能绕过本机防火墙进行远程通讯。通过Rootkit检测工具对改进设计测试效果分析，改进的内核态Rootkit在隐藏性方面有一定增强，能躲避针对内存特征值的扫描，能有效的穿透过

4、滤型网络防火墙。总结而言，Rootkit系统的隐藏性是内核态Rootkit系统设计和实现的最重要问题，是决定整个系统性能优劣的关键。关键词：内核后门，隐藏，内存分页机制，挂接网络驱动接口IAbstractRespondingtotherapidincreaseofinformationsecurity,thenetworkattackandsecuritytechniquesprogressandperfectcontinuously.Andtheresearchofremotecontroltechnique

5、shasbecomeahotfocus.Rootkitisakindoftoolusedtocontroltarget’scomputersystempermanentlyandsecretlyaftersuccessfullybreakingintothetarget.ThetechniqueofRootkitplaysanimportantroleinremotecontrolresearch.ThekernelRootkitismuchmorepowerfulthantheuserlandRootkit,

6、soRootkitbasedonthekernelisthefutureoftheremotecontroltechniqueinWINDOWSsystem.IntheexistingkernelRootkits,kernelAPIhookinganddirectkernelobjectmanipulationareusedtohidetheRootkitinthesystemmemory,andthecodeinjectintotrustedprocessisusedtobypassthefirewallst

7、ealthily.TherearethreedefiniteimprovementsonouradvancedkernelRootkit,comparedtotheexistingkernelRootkits.Inthelaunchhidingarea,anewloadingpatternswhichcanevadethedetectionsystemeffectivelyhasbeenchosenthroughthereverseanalysisaboutthesystemkernel.Inthememory

8、hiding,currentRootkitsubvertessentiallytheoperatingsystem'smemorymanagementsubsystemalthoughtheycaneasycontroltheexecutionpathofsystemcall,ouradvancedkernelRootkitisabletofilterthememoryaccessby