Rootkit特征与检测.pdfVIP

网 络 安 全 Rootkit特征与检测 1,2 2 2 2 王全民 赵彤 韩红英 于佳耕 1 天津大学计算机学院 天津 300072 2 北京工业大学计算机学院 北京 100022 摘要：目前还没有对检测危害计算机系统安全的Rootkit形成一种标准化的方法。当前检测Rootkit的方法也很有限。本 文详细介绍了Rootkit的原理和现有检测Rootkit工具的工作机制。并且针对一些典型Rootkit给出了检测结果。 关键词：Rootkit检测；比对检测；执行路经分析 0引言 示，在安装了一个名为Knark的Rootkit之后，系统调用表中 当今的计算机容易受到各种入侵。其中Rootkit成为危害 的一些系统调用被重定向了。 计算机安全的重要因素之一。现有的检测技术，比如入侵检 1 Rootkit检测方法 测系统，文件完整性检测，很可能无法检测出内核级的 目前对检测Rootkit还没有形成标准化的方法，下面介绍 Rootkit。 几种不同的检测手段。 Rootkit，可以理解为一类修改操作系统的软件，它可以 1.1 cross-view方法 改变操作系统的表现行为。而这种改变，往往是操作系统设 Cross-View(比对)的核心思想是比对系统的底层和系统的 计时所期望的。比如，修改操作系统的进程列表，以便特定 高层不同层面。使用Cross-View方法的检测产品有Rootkit 的进程无法被显示。 Revealer, Black Light和微软公司的研究项目GhostBuster。 Rootkit这个术语来自于Unix系统。例如，用last就可以 Cross-View是基于行为的检测技术，它的思想是通过不 知道最近的login历史，那么如果有人非法登录了你的机器， 同的途径得到同一个问题的答案。在Cross-view方法中，检测 就可以轻易监测到。不过很快，就出现了工具可以隐藏login 软件调用普通API函数枚举系统关键元素，关于文件、进程、 历史，接下来，出现了一批可以修改ls，ps等等命令结果的 注册表键的信息；同时它还必须使用不依赖于普通API函数 工具。这些工具，当时被叫做特洛伊木马。后来，这些工具 的方法获得相似的数据集。比对这两个数据集以发现系统中 被绑定在一起成了一个工具包(kit)，就成为了Rootkit。最早 是否有被隐藏的元素。 的一个版本是出现在SunOS 4上。 基于Cross-View(比对)的检测器要保证其有效性需要获取 随着互联网的发展，操作系统上出现了越来越多的病毒， 系统底层信息。这带来的不利因素是为了支持所有的硬件而 间谍软件，蠕虫。而最新的趋势是这些软件和操作系统的 使得复杂度加大。实际上由于要复制一部分操作系统的代码， Rootkit绑定在一起。试想，如果一个间谍软件将自己的进程 检测器代码部分不会很短小。 和注册信息用Rootkit给隐藏起来，普通用户可能就无法发现 即便检测器有获取足够底层信息的方法，它仍然可能被 还有这么一个软件在运行。而且，各种反间谍软件恐怕也就 欺骗。比如，通过暂时地向检测器进程公开被隐藏的文件。 不那么有效了。 但是对于Rootkit而言，不隐藏信息是行不通的。因为类 似于高级病毒扫描器所使用的一些启发式的检测方法能够检 测到恶意可执行代码。 应用基于Cross-View的检测器通过读取磁盘扇区并根据 NTFS格式进行解