RootKit攻防和检测技术.pdfVIP

E—mail：info@CCCC．net．en lSSN 1009—3044 Compu~rKnowledgeAndTechnology电脑知识与技术 http：／／www．dnzs．net．en Vo1．4No．4，November2008，PP．838—839 Tel：+86—551—5690963 5690964 RootKit攻防和检测技术 张贵强1，李兰兰! (1．兰州石化职业技术学 院，甘肃 兰州730060；2．兰州大学，甘肃 兰州 730030) 摘要 ：随着计算机 网络技术 发展 ，网络安全问题越来越多的受到人们的关注，同N-，也出现 了各种类型的计算机病毒和木马程序。 最近 ．出现 了一种特殊木马程序——Rootkit，该文详细的介绍 了P．ootkit的隐藏技术和检测方法。 关键词 ：P,．ootkit：木马程序；网络安全；隐藏 ；检测 中图分类号 ：TP393 文献标识码 ：A 文章编号 ：1009—3044(2008)31—0838—02 DefenceandDetectionTechnologyAgainstRootKit ZHANG Gni—qiang，LILan—lan fLanzhouPetrochemicalCollegeofVocationalTechnology，Lanzhou730060，China；2．LanzhouUniversity，Lanzhou730030，China) Abstract：W iththedevelopmentofcomputernetwork．security ofnetworkattractsmoreandmoreattention．M eanwhile，a1lkindsof computervirusesandTrojanprogramsarised，iMudingaspecialTr~anprogram：R．ootKit．Adetailedintroductionofhiddentechnology anddetectionmethodofRootKithasbeenputforwardinthispaper． Keywords：tootkit；trojanprorgam；networksecurity；hiddentechnoloyg；detection 众所周知，木马病毒是指寄生于用户计算机系统中，盗窃用户信息，并通过 网络发送给作者的一类病毒程序 。但是随着安全技 术的发展和计算机用户安全技术 的提高，普通的木马越来越难生存 ，于是一部分有能力的后 门作者把眼光投向了系统底层——ring O 利用系统驱动模块以驱动形式隐藏木马程序，这就是让人闻之色变的Rootkit。 1什么是 Rootkit ring0层 的是系统核心模块和各种驱动程序模块 ，因此 ，位于这一层 的木马也是以驱动形式生存的，而不是一般的exe。后 门作 者把后 门写成符合wdm规范(windowsdrivermode1)的驱动程序模块 ，把 自身添加进注册表的驱动程序加载入 口，便实现 了 “无启动 项”运行。一般 的进程查看器都只能枚举可执行文件 exe的信息，所以通过驱动模块和执行文件结合 的后门程序便得以生存下来 ，由 于它运行在 ring0级别，拥有与系统核心同等级的权 限，冈此它可以更轻易的把 自己隐藏起来 ，无论是进程信息还是文件体 ，甚至 通讯的端VI和流量也能被隐藏起来 ，存如此强大的隐藏技术面前 无论是任务管理器还是系统配置实用程序 ，甚至系统 自带的注册 表工具都失去了效果，这种木马就是 Rootkit。所以，Rootkit是通过加载特殊 的驱动 ，修改系统 内核，进而达到隐藏信息的 目的。 2rootkit的隐藏技术 2．1删除进程双项链表上 的进程对象。 现在所有人查看进程一般都是通过任务管理器(taskmgr．exe)来查看。任务管理器枚举进程信息是靠的NtQuerySystemlnfomaation 也就是zwOuervSvstemInf0rmati0n雨数。其中，NativeApi枚举进程是要通过进程活动链表的，如果我们将进程对象从进程双向链表 中移除，那么调用NtQuerySystemlnformation来枚举进