Windows内核态钩子在软件安全技术中的应用.pdfVIP

· 理论探索 · Windows内核态钩子在软件安全技术中的应用 张立人 魏正曦 万 新 (四川理工学院计算机学院 四川 自贡 643000) 摘 要 ：阐述 了Windows内棱的特点，通过驱动程序进入 内核态的方法，剖析 了Windows内核中几种数据结构，在此基础上讨论 了在 内棱不 同位置安装钩子从 而实现安全保护的技术 ，指 出了内核态钩子在软件安全技术 中的必要性和发展趋 势。 关键词：Windows内核 钩子 软件安全 中图分类号 ：0245 文献标识码 ：A 文章编号 ：1007—9416(2010)10—0134—02 1引言 管理 、即插即用、10操 作等 内容都可 以省 一 个 内核 函数 的入 口地址 了。例 如 ，SSDT 随 着计 算机 应用的普及 ，各种 安全威 掉 了。 中序号为N的内核 函数 的人 口地址 为： 胁也越来越多 ，对安全软件产 品的要求也 (ULONG)KeServiceDescriptorTable- 空前 高涨 。当前的病毒、木马和各种rootk 3 内核数据结构 ntoskrn1．ServiceTable + N 十 4。 it等恶 意程序 已经 深入到 系统 核心 中，运 3．1 系统服务描述符表 SSDT Shadow中序号为N的内核函数 行在 内核态 ，具有系 统的最 高权限 ，可 以 系统服 务 描述 符 表对 应 着 用户 态 的 的入 口地址 为 ： 任意绕 过或 拒绝传 统 的处于 应用 层的安 Win32 API，它表示当w in32 API被调 (ULONG)(KeServiceDescriptorTable-6 全软件 的防范和监控 ，软 件安全技术的升 用时内核 中有哪个 函数 被相应调用 。有两 4)-win32k．ServiceTable+ N +4。 级 已经是 大势 所趋 ，并且 只有一种 途径 ， 个系统 服务描述符表 ：SSDT和SSDT Sh 3．2 中断描述符表 (IDT) 那就 是像恶意程序一样 向系统核心进军 ， adoW。前者对应kernel32．dll中的w in32 IDT也是 一个一维数组 ，可用sidt指令 力求 运行在尽可能底 层的级别上 ，从而抢 API，后者对应user32．dll和gdi32．dll中的 得到这个一 维数 组的起始地址和长度 ： 在恶意程序控制 系统 核心之前进行拦截 。 Win32 API。系统服务描述符表是个一维 sidtidtr 在这 个方案 中，必然要利 用早在应用层时 数组 ，其 中按照 固定的顺序存放着 内核 函 其 中idtr是一个IDTR结构体 ： 代就 大量使用 的钩子技 术 ，只不过现在这 数的入 口地址 。例如，Windows XP中内核 typedefstructtagIDTR 些钩子 必须 安装在 系统 内核 的某 些位 置 函数NtUserSendlnput()的地址放在SSDT { 了 。 Shadow的第502项 。内核 中用一个 结构体 unsigned short IDTLimitt 来封 装系统 服务描 述符 表 ： unsigned int IDTBase， 2如何进入内核