windows环境下隐蔽调试器的设计与实现 硕士论文

《windows环境下隐蔽调试器的设计与实现 硕士论文》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、电子科技大学UNIVERSITYOFELECTRONICSCIENCEANDTECHNOLOGYOFCHINA硕士学位论文MASTERDISSERTATION论文题目：windows环境下隐蔽调试器的设计与实现学科专业：计算机应用技术指导教师：作者姓名：班学号：200620603016分类号密级UDC学位论文windows环境下隐蔽调试器的设计与实现（题名和副题名）指导教师姓名副教授电子科技大学成都（职务、职称、学位、单位名称及地址）申请专业学位级别硕士专业名称计算机应用技术论文提交日期2009.3论文答辩日期2009.5学位授予单位和日期电子科技大学答辩委员

2、会主席评阅人2009年月日注1：注明《国际十进分类法UDC》的类号。独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。签名：日期：年月日关于论文使用授权的说明本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借

3、阅。本人授权电子科技大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。（保密的学位论文在解密后应遵守此规定）签名：导师签名：日期：年月日摘要摘要在安全事件中，恶意代码造成的经济损失占有最大的比例。恶意代码的检测技术总是滞后于新恶意代码的出现。一方面是人们很难区别正常代码和恶意代码；另一方面，很多信息系统缺少必要的保护措施。因此，人们常常被恶意代码欺骗，而无意地执行恶意代码。可见恶意代码被引入系统并执行是不可避免的，监控、分析或检测二进制程序是否为恶意程序已经成为现阶段的研究热点。恶意代码为了防止被分

4、析，都有很强的自保护功能，现在主要的调试器很难对恶意代码进行分析。同时，软件保护技术的发展使大量的反调试工具出现，既有针对源代码的反调试工具，又有针对二进制程序的反调试工具。在反调试工具中，加壳工具功能比较突出，它综合使用多种技术对抗代码分析调试，而且加壳工具使用非常简单，越来越多的恶意代码使用加壳技术保护自己。本文在分析了很多反调试技术后，包括检测断点技术、检测调试器技术和自动修改代码技术等，设计并实现了一种隐蔽性强的调试器。该隐蔽调试器利用windows分页管理机制，巧妙地对目标进程设置断点以获取控制，很好地实现了隐蔽调试的特性。为获得对目标进程的控制权，

5、本调试器利用了windows系统中进程的地址空间分为用户空间和系统空间，代码执行之前系统会进行权限检查的特点，通过修改了目标进程内存页面属性，使目标进程执行时出现异常，从而获得目标进程的控制权。为增强隐蔽性，本调试器还采用了多种设计技术，包括：通过向目标进程插入shellcode控制目标进程、不产生在windows系统中的注册信息等等。在功能使用性方面，本隐蔽调试器为系统增加了一些新的系统调用，以方便实现调试功能设置和用户交互。实验和测试证明，本文提出的调试方法可以作为现行调试技术的一种有效的补充。关键词：调试器，反调试，恶意代码，进程63ABSTRACTAB

6、STRACTTheeconomiclosswhichthemaliciouscodecreatesholdsthemaximumproportioninthesecurityincident.Atpresent,thedetectiontechnologyofmaliciouscodecouldnotmeettheexpectationsofnetworksecurityforagreatdiversityofmaliciouscode.Itisverydifficulttodistinguishthenormalcodeandthemaliciouscode

7、,andmanyinformationsystemslacktheessentialprotectivemeasures.Analyzingofthemaliciouscodeindetailismeaningfulinresistingtheattackofmaliciouscodeandalsoahotresearchspot.Themaliciouscodehastheinnerselfprotectionfunctiontopreventtobeanalyzed.Mostdebuggersareverydifficulttoanalyzethemali

8、ciouscode.Softwarep