基于PBD技术的Anti-Bootkit优先启动-计算机系统应用.PDF

计 算 机 系 统 应 用 2009 年 第 12 期 ① 基于PBD 技术的Anti-Bootkit 优先启动 Anti-Bootkit Boot Ahead Based on PBD 李月锋 周学海 (中国科学技术大学 计算机科学与技术系 安徽 合肥 230027; 中国科学技术大学 苏州研究院 江苏 苏州 215000) 摘 要： Bootkit 是继承自 Rootkit 内核权限获取和自我痕迹擦除技术的 Rootkit 高级发展形式，对系统启动 和内核准入安全提出了最新挑战。在 Bootkit 入侵和Anti-Bootkit 的检测的攻防对抗中，能做到优先 启动往往是制胜的关键；而目前主流的Anti-Bootkit/Rootkit 软件由于固守传统的启动方式，很容易 被 Bootkit 利用固有优势绕过、劫控、篡改、移除而形同虚设。通过反汇编并跟踪调试Windows 引 导执行流程，反利用 Bootkit 入侵思想，提出了新的利用 PBD(pre-bootable driver)技术来做到优先 启动的方案设计。利用该方案可以有效做到Anti-Bootkit 优先启动，为其实施布控提供了可信的内核 执行环境，从而为防范 Bootkit 提供了新的思路和技术参考。 关键词： PBD(pre-bootable driver) Bootkit 反汇编 优先启动 劫控 1 引言 本文在第 2节中分析了传统的Anti-Bootkit启动 Rootkit 作为程序的集合，用于实现自身及系统 方式和时机的弱点和不足，反利用 Bootkit 入侵思想， 中特定资源和活动的隐藏，破坏可信任计算机的完整 提出了新的利用 PBD(pre-bootable driver)技术来做 [1] 性 。Bootkit 是继承自 Rootkit 内核权限获取和自我 到优先启动的方案设计。在第 3 节中分析了面临的技 痕迹擦除技术的 Rootkit 高级发展形式。Bootkit 通过 术问题，并给出可行解决方案，在第 4 节描述了设计 感染可引导的外设固件和关键系统文件，驻留在整个 实现以及实例验证。 系统的启动过程，获取系统控制底层权限并且擦除自 我存在痕迹，从而为网络恶意代码的进一步攻击行为 2 传统的Anti-Bootkit启动方式和时机 提供隐蔽、可靠、持久的执行环境。 Bootkit 这个概念自 2005 年 eEye Digital 安全 公司的研究人员研究如何在系统启动时利用 BIOS 接 入 windows 内核的BootRoot项目中被第一次提出 以后，也越来越为黑客所钟爱，最近更被全球知名的