一种通用的 Shadow SSDT 原始地址获取新方式-论文.pdf

《一种通用的 Shadow SSDT 原始地址获取新方式-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、第31卷第6期计算机应用与软件V0l_3lNo．62014年6月ComputerApplicationsandSoftwareJun．2014一种通用的ShadowSSDT原始地址获取新方式霍亮马恒太张楠(中国科学院软件研究所天基综合信息系统重点实验室北京100190)(中国科学院大学北京100190)摘要挂钩恢复是一项重要的安全技术。对Shadow系统服务描述表(SSDT)挂钩检测以及恢复方法进行分析，传统方法中的原始地址获取方式不仅存在Windows操作系统版本兼容性问题，而且代码逻辑复杂。针对该问题，提出一种通用算法，对ShadowSSDT原始地

2、址获取方法进行改进，并设计了基址重定位方法，减少了代码量，有效提高了稳定性和兼容性。关键词ShadowSSDTwin32k．sysShadowSSDT钩子ShadowSSDT恢复中图分类号TP316．86文献标识码ADOI：10．3969／j．issn．1000-386x．2014．06．019ANoVELANDGENERALMETHoDoNACQUIRINGoIUGINALADDRESSESoFSHADoWSSDTHuoLiangMaHengtaiZhangNan(ScienceandTechnologyonIntegratedInformation

3、SystemLaboratory，，凡smeofSoftware，ChineseAcademyof~iences，Beijing100190，China)。(UniversityofChineseAcademyofSciences，Beijing100190，China)AbstractHookrecoveryisoneoftheimportantsecuritytechnologies．WeanalysethedetectionofShadowsystemservicedescriptiontable(SSDT)hookanditsrecovery．

4、IntraditionalwayoforiginaladdressesacquisitiontherearetheproblemsofcompatibilityinregardtoWindowsoperatingsystemversionsandofthecomplexcodelogic．Inlightofthisissue，wepresentageneralalgorithm，whichimprovestheacquisitionmeansofShadowSSDToriginaladdresses，anddesignthebaseaddressrel

5、ocatingapproach，whichreducestheamountofcode．Theyeficientlyenhancethestabilityandcompatibility．KeywordsShadowSSDTwin32k．sysShadowSSDThookShadowSSDTrecovery求，通过中断向量表(IDT)找到系统服务分发函数KiSystemSer．0引言vice并将系统调用号以及调用者参数传人内核中。随后在系统调用描述表(SSDT)中找到系统调用号对应的处理例程进行当前很多软件需要对Shadow系统服务描述表(SSDT)进

6、行调用。挂钩。反病毒软件等通过修改ShadowSSDT进行主动防御，例基本系统调用的调用号范围是在0x0一OxlO00，但是KiSys．如挂钩拦截全局键盘钩子(NtSetWindowsHookEx)。反Root—temService在处理过程中会检查调用号是否超出0xl000。这是kits软件挂钩一些窗口函数进行窗体保护，例如NtUserShow—由于在NT：．0开始，微软为了提高图形操作的效率，把图形界Window、NtUserFindWindowEx等。网络游戏等软件挂钩按键面操作移人内核中，这些称为“扩充系统调用”的函数集成在相关函数防止按键模拟

7、，例如NtusersendInput。但为了绕过win32k．sys文件中。而ShadowSSDT不仅包含了基本系统调这些保护手段或者恢复恶意代码修改后的ShadowSSDT，需要用，也包含了win32k．sys中实现的“扩充系统调用”服务函数的对ShadowSSDT进行恢复。地址等信息。本文对ShadowSSDT恢复技术进行了研究，指出基址方式Windows内核存在一个数组表KeServieeDeseiptorTableShad．获取原始地址的不足，针对该问题提出了通用的解决方法，并且OW，该表包含一个指向ShadowSSDT的指针]。数组表定义如在

8、Windows32位系统流行版本中进行测试，提高了稳定性和兼下：容性。PKSERVICEBLE