关于Windows平台的程序运行识别系统及其应用.pdf

基于Windows平台的程序运行识别系统及其应用 摘要 随着Windows操作系统的广泛应用，网络和系统安全已成为一个非常 重要的研究课题。Windows操作系统上已发现了不少的安全问题，例如很 多系统病毒能导致严重的信息漏洞或者破坏重要的文件。因此，在存在问 题的系统上运行软件将会对系统的安全保障提出挑战。识别程序运行的规 律将有助于这些问题的解决。 Executiorl 程序运行模型(Program Model，PEM)为程序运行的识别 建立了框架。在此模型中，程序调用文件处理或网络访问的功能将被认为 发生了程序运行事件。目前在Linux系统上做了分析程序运行事件的试验， Call 事件发生的可能方式被称作SCFs(SystemFootprints，系统调用序 列)，这种方式被应用于程序的识别和验证上。 本文提出并实现了一种在Windows平台上实现的程序运行识别系统。 Linked 本系统采用了DLL(DynamiCLibrary，动态链接库)替换技术来 ication 拦截并记录应用程序运行时的系统API(ApplProgramming 工nterface，应用程序接口)调用，实时地跟踪了应用程序的运行过程， 分析了API的调用规律。本系统在SCF方面做了一些改进工作，考虑了系 统调用API的频率，实验证明大幅度地增加了程序运行识别的准确性。 本文最后还给出了运用本系统的原理在USB安全接口上的应用，通过 拦截拷贝函数，软件实现了USB的防拷贝，和同类软件相比，本软件具有 安全性较高、占用系统资源较少等优点。 关键词：程序运行模型，频率特征，DLL替换，API拦截，系统 调用序列，程序运行识别 IDENTIFICATION EXCUTION PROGRAM ASYSTEMFOR ITS AND PLATFORMS WINDOWS ONTHEMICROSOFT APPLICATION ABSTRACT whlle a concern hasbecome and security ma30r system Networking usedin our Many arewi age· Windows dely Microsoft systems the W1ndows theMicrosoft on