Windows2003 内核级进程隐藏、侦测技术.docVIP

Windows2003 内核级进程隐藏、侦测技术 论文关键字：内核 拦截 活动进程链表 系统服务派遣表 线程调度链驱动程序简介 论文信息对抗是计算机发展的的方向，的防御，去的敌人进攻的招式。信息对抗信息技术飞速的发展。下面我选取了信息对抗技术的中很… 论文关键字： 内核 拦截 活动进程链表 系统服务派遣表 线程调度链 驱动程序简介 论文信息对抗是计算机发展的的方向，的防御，去的敌人进攻的招式。信息对抗信息技术飞速的发展。下面我选取了信息对抗技术的中很小一角关于inds内核级病毒隐藏技术和反病毒侦测技术议题详细。 1.为选驱动程序 驱动程序是运行在系统信任的Ring0环境下在代码，她拥有对系统任何软件和硬件的访问权限。这意味着内核驱动可以访问所系统资源，可以读取所内存空间，而且也被允许PU的特权指令，如，读取PU控制寄存器的当前值等。而用户模式下的程序试图从内核空间中读取字节或者试图像V EAX,R3的汇编指令都会被立即终止掉。不过，强大的底线是驱动程序的很小的错误就会让整个系统崩溃。对隐藏和反隐藏技术来说都了极好的环境。又对攻击者和反查杀者了更高的技术要求。 2.入口例程DriverEntry DriverEntry是内核模式驱动程序主入口点常用的名字，她的作用和ain，inain，是一样的。 extern NTSTATUS DriverEntry(IN PDRIVER_BJET Driverbjet, IN PUNIDE_STRING RegistryPath) {} DriverEntry的个参数是指针，指向刚被初始化的驱动程序，该就代表你的驱动程序，DriverEntry的个参数是设备服务键的键名。DriverEntry函数返回NTSTATUS值。NTSTATUS长整型，但你应该使用NTSTATUS定义该函数的返回值而LNG，代码的可读性会。大内核模式支持例程都返回NTSTATUS状态代码，你可以在DDK头文件NTSTATUS.H中找到NTSTATUS的代码列表。 DriverEntry的作用主要创建设备，设备的符号链接，设置好各个类型的回调函数等。 例如： extern NTSTATUS DriverEntry(IN PDRIVER_BJET Driverbjet, IN PUNIDE_STRING RegistryPath) { Driverbjet- DriverUnlad = DriverUnlad; --1 Driverbjet- DriverExtensin- AddDevie = AddDevie; Driverbjet- DriverStartI = StartI; Driverbjet- ajrFuntin[IRP_J_PNP] = DispathPnp; --2 Driverbjet- ajrFuntin[IRP_J_PER] = DispathPer; Driverbjet- ajrFuntin[IRP_J_SYSTE_NTRL] = Dispathi; } 在D中设置AddDevie回调函数来创建设备。在NT驱动中在DriverEntry例程中创建设备和符号链接。 例如： RtlInitUnideString ( devieNaeUnideString, devieNaeBuffer); //初始化设备名字//创建设备 ntStatus = IreateDevie (Driverbjet, 0, devieNaeUnideString, ##DevieId, 0, FALSE, deviebjet ); if ( NT_SUESS ( ntStatus ) ) { RtlInitUnideString ( devieLinkUnideString, devieLinkBuffer); //初始化符号链接名字 //创建符号链接 ntStatus = IreateSybliLink ( devieLinkUnideString, devieNaeUnideString); if ( !NT_SUESS ( ntStatus ) ) { IDeleteDevie (deviebjet); //创建符号链接失败,删除设备 return ntStatus; } } 符号链接的作用暴露给应用程序的接口，应用程序可以reateFile API打开链接符号，语柄，和的驱动程序交互操作。 3.Unlad例程 各个驱动程序的Unlad例程不尽相同，它大致下列工作： 释放属于驱动程序的任何硬件。 从in32的名字空间