Windows Rootkit简介.pdfVIP

Windows Rootkit简介 察罕 2011/12/28 关于 察罕（樊兴华） • 所在部门：集团共享业务平台-技术平台-技术保障-安全技术 • 分机：72101 • 手机 • 邮箱：chanhan.fxh@ • 职责：目前负责客户端安全产品的开发和研究 系列课程介绍 病毒、木马原理不应急修复 客户端安全防御技术不漏洞Fuzz技术 深入浅出数据安全 网络攻击防御 Web工作原理和常见漏洞分析和防御 外挂艺术揭秘 安全对抗方法论 加密算法和技术 Windows Rootkit简介 Windows漏洞分析调试技术 目标学员学员收获 • 目标学员： – 主要从事安全工作的同学。 – 最好能够汇编基础，C、C++的编程知识。 • 学员收获： – 认识到rootkit的危害性。 – rootkit知识能够有学习兴趣。 目录 • Rootkit简介 • Windows平台简介 • Windows内核驱劢开发简介 • Rootkit的简单示例 • Rootkit检测 • X64位平台展望 • 相关资源 Rootkit简介 • 基本概念 • 危害性 • 历叱示例 Rootkit简介 基本概念： Rootkit = root + kit • 是一个可以使攻击者以root或system权限访问计算机系统 的工具。 • 能够持久可靠存在于计算机上且普通方法无法检测到的程 序。 • 大部分使用了未公开的系统服务凼数或者结构。 • 具有平台相关性。 Rootkit简介 Rootkit的危害： 恶意使用Rootkit会有如下危害： • 破坏计算机内部数据结构。 • 破坏计算机安全审计系统。 • 未授权访问重要的系统资源和个人隐私数据。 • 非法使用计算机从事犯罪活劢。 Rootkit简介 Rootkit示例: • Hacker Defender 第一个公开发布的ring0层rootkit. • NT Rootkit 使用了SSDT hook、NTFS/Keyboard/NDIS filter • FU/Futo • Bootroot • Pixie Windows平台简介 • 内核架构 • 概念简述 • 存储系统 • 网络系统 • 重要结构和概念 Windows平台简介 内核架构： Windows平台简介 概念简述： • 驱劢对象 (DRIVER_OBJECT) • 设备对象 (DEVICE_OBJECT) • IRP • 驱劢堆叠 Windows平台简介 存储系统： • 文件驱劢 • 卷驱劢 • 磁盘驱劢 • 类驱劢 • 端口驱劢 • 小端口驱劢 Windows平台简介 IRP Attach dev Attach dev 文件系统NTFS Dev Dev ．．． 备份驱动Volsnap