基于Linux26的进程隐藏机制的实现-重庆理工大学学报.PDF

第２４卷 第５期 重 庆 理 工 大 学 学报（自然科学） ２０１０年５月 　 Ｖｏｌ．２４ Ｎｏ．５ ＪｏｕｒｎａｌｏｆＣｈｏｎｇｑｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ（ＮａｔｕｒａｌＳｃｉｅｎｃｅ） Ｍａｙ．２０１０  基于Ｌｉｎｕｘ２．６的进程隐藏机制的实现 邹秋艳，徐红云 （华南理工大学 计算机科学与工程学院 ，广州　５１００１６） 摘　　　要：阐述了Ｌｉｎｕｘ２．６内核工作原理。研究了进程在内核的运行方式。分析了基于 Ｌｉｎｕｘ２．６内核下的进程隐藏机制，提出一种进程隐藏方法。即通过截获ｐｒｏｃ虚拟文件系统的读 取访问，来达到进程隐藏的目的。最后编程验证了改方法的有效性。 关 键 词：进程；进程隐藏；虚拟文件系统；截获系统调用 中图分类号：ＴＰ３０９．５　　　　文献标识码：Ａ 文章编号：１６７４－８４２５（２０１０）０５－００９６－０４ ＲｅｓｅａｒｃｈａｎｄＲｅａｌｉｚａｔｉｏｎｏｎＴｅｃｈｎｉｑｕｅｏｆＰｒｏｃｅｓｓＣｏｎｃｅａｌｍｅｎｔ ＢａｓｅｄｏｎＬｉｎｕｘ ２．６ ＺＯＵＱｉｕｙａｎ，ＸＵＨｏｎｇｙｕｎ （ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＥｎｇｉｎｅｅｒｉｎｇ，ＳｏｕｔｈＣｈｉｎａＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ，Ｇｕａｎｇｚｈｏｕ５１００１６，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｉｓｐａｐｅｒｇｉｖｅｓａｄｅｔａｉｌｅｘｐｌａｎａｔｉｏｎｏｆｈｏｗｔｈｅｋｅｒｎｅｌｗｏｒｋｓｉｎｌｉｎｕｘ２．６，ｓｔｕｄｙｓｔｈｅｍｏｄｅ ｏｆｐｒｏｃｅｓｓｒｕｎｎｉｎｇｉｎｋｅｒｎｅｌ ，ａｎａｌｙｓｅｓｔｈｅｍｅｃｈａｎｉｓｍｏｆｐｒｏｃｅｓｓｃｏｎｃｅａｌｍｅｎｔｉｎｌｉｎｕｘ２．６，ａｎｄｐｒｏｐｏ ｓｅｓａｍｅｔｈｏｄｆｏｒｐｒｏｃｅｓｓｃｏｎｃｅａｌｍｅｎｔｂｙｉｎｔｅｒｃｅｐｔｉｎｇｔｈｅｒｅａｄａｃｃｅｓｓｏｐｅｒａｔｉｏｎｏｆｐｒｏｃｖｉｒｔｕａｌｆｉｌｅｓｙｓ ｔｅｍ．Ｃｏｄｅｓａｒｅｗｒｉｔｔｅｎｔｏｒｅａｌｉｚｅｔｈｅｍｅｔｈｏｄａｎｄｖｅｒｉｆｙｉｔｓｅｆｆｅｃｔｉｖｅｎｅｓｓ． Ｋｅｙｗｏｒｄｓ：ｐｒｏｃｅｓｓ；ｐｒｏｃｅｓｓｃｏｎｃｅａｌｍｅｎｔ；ｖｉｒｔｕａｌｆｉｌｅｓｙｓｔｅｍ（ＶＦＳ）；ｈｏｏｋｓｙｓｔｅｍｃａｌｌ（ＨＳＣ） 　　Ｌｉｎｕｘ操作系统由于其稳定、高效等特点在如 Ｌｉｎｕｘ系统安全造成极大的威胁。最新的Ｌｉｎｕｘ２．６ 今的服务器市场上占据一定份额。它提供的可装 内核相比以前的版本，在系统的各个方面都得到 载内核模块 ＬＫＭ（ｌｏａｄａｂｌｅｋｅｒｎｅｌｍｏｄｕｌｅｓ）机制， 了改进，但也存在不足之处。本文分析了基于 使程序员可以编写在内核级别运行的代码，而不 Ｌｉｎｕｘ２．６内核下的进程隐藏机制，提出一种进程 必重新编译整个内核。当ＬＫＭ被载入内核后，就 隐藏方法，即通过截获ｐｒｏｃ虚拟文件系统的读取 能修改内核变量，重载内核函数，轻易地实现扩充 访问来达到进程隐藏的目的［３－１３］。 或裁减操作系统内核的某些功能，非常有利于设 备驱动程序的开发测试［１－２］。然而，这也为黑客 １　相关知识 提供了可趁之机，导致众多基于ＬＫＭ机制的后门 工具的出现。这些后门运行在内核层，比传统意 １．１　ｐｒｏｃ文件系统 义的后门更复杂，更强大，更不容易被发现，给 ｐｒｏｃ文件系统是一个虚拟文件系统，它只存 　　收稿日期：２００９－１２－１５ 基金项目：教育部博士