adobe reader x保护模式技术研究

《adobe reader x保护模式技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、AdobeReaderX保护模式技术研究　　摘要：介绍了AdobeReaderX保护模式所使用的相关技术，讨论了各技术手段能够达到的功能和所受的限制。关键词：AdobeReaderX；保护模式；技术分析中图分类号：TP309文献标识码：A文章编号：16727800（2012）011012502作者简介：宗波（1984-），男，硕士，宜春学院助教，研究方向为网络安全。1沙盒设计目标Windows系统提供的可用于沙盒的安全机制主要有以下4个方面：作业对象JobObject）、受限令牌（Restrict

2、edToken）、分离桌面、用户访问控制（UAC）。其中对UAC的支持需要WindowsVista或这之后的版本。出于安全性和实现复杂度的考虑，AdobeReaderX沙盒目前没有使用隔离桌面机制。2作业对象（JobObject）Windows2000开始提供了一个新的内核对象——作业对象。作业类似于UNIX里的ulimit，它能够对作业内的进程所使用的资源做限制，例如处理器时间、内存总量、UI对象的访问、作业内进程总数等。7作业中进程数量为1，不能创建或切换桌面；不能修改显示设置；不能调用Exi

3、tWindows来注销或重启系统；不能访问作业之外进程创USERHandle；不能通过SystemParametersInfo修改系统参数；禁止作业内进程使用包含管理员组的令牌。AdobeReaderX没有通过作业对象对沙盒进程做如下限制：剪贴板的读写、访问GlobalAtom、内存及处理器的使用。可以使用ProcessExplorer查看AdobeReaderX作业的限制：作业中进程数量为1直接导致了exec类的shellcode的执行失败。这有效地防止了恶意代码启动新的进程。3受限令牌Wind

4、ows使用令牌对象来标识一个进程的安全环境。令牌中包含了SID和特权等，其中SID代表了创建进程的用户的账户和工作组，特权说明了进程可以对系统进行的操作。当进程访问一个受保护的对象或进行一些系统操作的时候，Windows将通过一个算法来对比令牌和被访问对象的DACL，然后决定操作是否成功。受限令牌就是去除和限制了令牌中不必要的权限，避免恶意代码对系统的损害，主要体现在以下3个方面：将令牌中的SID标记为Deny；在RestrictSID列表中添加SID；去除令牌中的特权。7将SID标记为Deny主

5、要应对这种情况：令牌中的SID授予用户的访问权限是叠加的关系，如果令牌T中包含A、B两个工作组的SID，那么用户可以访问隶属于A工作组或隶属于B工作组的文件。由于对象DACL中的AccessDenyACE具有更高的优先级，如果文件F中包含针对A工作组的AccessDenyACE，则令牌T将无法访问文件F，如果简单去掉令牌T中A工作组的SID，将会导致用户有可能具备访问文件F的权限。将SID标记为Deny则不会出现这种情况。当令牌中存在受限SI列表的时候，Windows将会两次校验DACL以决定访问

6、权限，第一次根据普通SID和denySID遍历对象的DACL，第一次检查通过后再根据受限列表中的SID遍历对象的DACL，只有两次检查都成功才授予用户访问权限。4隔离桌面由于Windows自身设计的原因，在同一桌面下运行的程序存在如下安全问题：Shatter、Attack、SetWindowsHookEx、Keylog、截屏。由于Winodws允许同一桌面下无特权的程序向高特权的程序发送消息，这将存在安全隐患。shatterattacks是通过向其它进程发送消息来实现注入代码，一些Windows消

7、息允许携带回调函数参数，如果攻击者可以通过某些方式向高权限进程写入Shellcode，然后发送WM_TIMER消息就可以实现在高权限进程执行代码。7在同一桌面下还可以通过SetWindowsHookEx（）来向其它进程注入代码。Windows程序还可以通过GetKeyState（）获取同一桌面下其它进程的击键信息。通过隔离桌面可以防止此类的攻击。首先创建一个桌面，然后调用CreatePorcessAsUser（）并设置。5UACWindowsVista操作系统支持UAC、UIPI（UserInte

8、rfacePrivilegeIsolation，用户界面权限隔离）是UAC机制中的一部分。UIPI将进程分为不同的integrity级别，从而保证低integrity级别的进程无法影响高integrity级别的进程。进程的integrity级别由令牌中的SID声明，系统预置了几个integrity级别。此外，还可以通过在令牌中设置S-1-16-xxxx来自定义integrity级别。UIPI的基本原则是no-write-up。WindowsVista系统中每个受保护的对象都有一个i