一种基于交叉视图的Windows Rootkit检测方法.pdfVIP

2011年第6期 中图分类号：TF309．5 文献标识码：A 文章编号：1009—2552(2011)06—0026—04 一 种基于交叉视图的WindowsRootkit检测方法 傅德胜，曹成龙 (南京信息工程大学计算机与软件学院，南京 210044) 摘 要：针对rootkit采用隐藏注册表达到隐藏 自身的目的，从rootkit的自启动行为入手，提出 了依据注册表隐藏信息检测rootkit的机制 ，并设计了一种基于交叉视图的Windowsrootkit检测 方法。这种方法通过比较从内核态和用户态枚举的注册表信息 ，从中检测出被 rootkit隐藏的注 册表项 目，继而检测出rootkit。最后 ，通过一个代表性的实例验证 了这种方法具有较好的检测 效果。 关键词：rootkit检测；交叉视图；注册表；用户态；内核态 A W indowsRootkitdetectionmethodbasedon cross．view FU De—sheng，CAO Cheng-long (SchoolofComputerandSoftware，NanjingUniversityofInforraationScienceand Technology，Nanjing210044，China) Abstract：Aimedattheproblem ofrootkithidingitselfbyhidingregistryinformation，from hteauto—start behaviorofrootkit，htispaperpresented arootkitdetectionmechanism based onhtehidden registry information，and designedaWindowsrootkitdetectionmehtodbasedon cross—view．Thismethodby comparingfrom htekernelmodeandusermodeenumerationofhteregistryinfomr ationfoundhteregistry hiddenitemsbyrootkit，andhten detectedhterootkit．Finally，arepresentativeexample showsthis methodhasgooddetection． Keywords：rootkitdetection；Cross—view；registry；usermode；kernelmode 0 引言 otkit非常困难。 Rootkit是由小型程序组成的工具包，使得攻击 1 Rootkit技术 者能够保持访 问计算机上具有最高权限的用户 1．1 Rootkit技术 “ root”。 换句话说，rootkit是能够持久或可靠地、无 HOOK技术又称钩子技术，本来是微软作为扩 法检测地存在于计算上的一组程序和代码L1J。root— 展性的技术使用，使得可以定制用户所查询的信息。 kit的主要功能是隐藏其他进程的软件，可能是一个 Rookit利用这种技术的 目的，在于当用户查询某个 或一个以上的软件组合；广义而言，rootkit也可视为 信息，比如注册表的一个子键时，在系统返回的信息 一 项技术。最早 rootkit用于善意用途，但后来 root— 中，可以过滤关于隐藏 自身的注册表信息，达到隐藏 kit被黑客用在入侵和攻击他人的电脑系统上，电脑 自己的目的。按照 Hook技术实现特征 ，可将其分 病毒、间谍软件等也常使用rootkit来隐藏踪迹，因此 为函数HOOK