基于多特征匹配的隐藏进程检测方法.pdfVIP

第3l卷第9期 计算机应用 VoI．3lNO．9 2011年 9月 JournalofComputerApplications Sep．2011 文章编号：1001—9081(2011)09—2362—05 doi：10．3724／SP．J．1087．2011．02362 基于多特征匹配的隐藏进程检测方法 周天阳，朱俊虎，王清贤 (信息工程大学 信息工程学院，郑州 450002) (zhoutianyang2010@gmail．corn) 摘 要 ：利用进程对象特征搜索内存能够检测到隐藏进程。但是，借助不断发展的Rootkit，恶意程序可以修改内 存地址映射关系绕过虚拟 内存扫描。或篡改进程信息使检测特征失效，从而增加 了搜索检测的难度。针对此 问题，提 出一种基于多特征匹配的隐藏进程检测方法：利用页表项循环补丁技术直接扫描物理 内存，得到完整可信的内存信 息；选取多个进程数据结构字段构建检测特征模板 ，提高特征 自身的可靠性 ；引入相似度进行匹配防止单特征失效而 导致的漏检。实验结果表明，该方法对隐藏进程具有较好的检测效果。 关键词：物理 内存搜索；隐藏进程；进程特征；多特征匹配 中图分类号：TP309．5；TP316．7 文献标志码 ：A Hidden processdetectionmethodbased on multi-characteristicsmatching ZHOUTian—yang，ZHUJun—hu，WANGQing—xian (InstituteofInformationEngineering,InformatoinEn~neeringUniversity，Zhengzhouftenan450002，China) Abstract：Based on certain detection characteristics ofprocess，hidden processcould be uncovered by memo~ searching．However，malware，withthehelpofdevelopingRootkit，could hardlybedetectedbecauseits~ature hasbeen manipulatedorvirtualmemory scancouldbeinvalid，thusincreasingthedifficultyofdetection．Inordertoaddressthisissue， anewmulti—characteristicsmatchingapproachwasproposed．Itwastoobtainthewholephysicalmemory imagebyPageTable Entry(P1)patching，toextractthekeyfieldsfromprocessdatastructureandconstructatemplatetoimpurvetherelibaility ofchraacteristics，andtointroducesimilarityforpreventingthedetectionleakage．Theresultsshowthatthenewdetectionis effectiveinthehiddenprocesssearching． Keywords：physical memory search；hiddenprocess；processcharacteristic；multi—characteristicsmatching Rootkit不断向系统底层渗透并获取更高特权级