ＲｏｏｔＫｉｔ攻防和检测技术.docVIP

ＲｏｏｔＫｉｔ攻防和检测技术 　　摘要：随着计算机网络技术的发展，网络安全问题越来越多的受到人们的关注，同时，也出现了各种类型的计算机病毒和木马程序。最近，出现了一种特殊木马程序――Rootkit，该文详细的介绍了Rootkit的隐藏技术和检测方法。 　　关键词：Rootkit；木马程序；网络安全；隐藏；检测 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)31-0838-02 　　Defence and Detection Technology Against RootKit 　　ZHANG Gui-qiang1,LI Lan-lan2 　　(Lanzhou Petrochemical College of Vocational Technology, Lanzhou 730060, China; 2.Lanzhou University, Lanzhou 730030, China) 　　Abstract: With the development of computer network, security of network attracts more and more attention. Meanwhile, all kinds of computer viruses and Trojan programs arised, inluding a special Trojan program: RootKit. A detailed introduction of hidden technology and detection method of RootKit has been put forward in this paper. 　　Key words: rootkit; trojan program; network security; hidden technology; detection 　　众所周知，木马病毒是指寄生于用户计算机系统中，盗窃用户信息，并通过网络发送给作者的一类病毒程序。但是随着安全技术的发展和计算机用户安全技术的提高，普通的木马越来越难生存，于是一部分有能力的后门作者把眼光投向了系统底层――ring 0。利用系统驱动模块以驱动形式隐藏木马程序，这就是让人闻之色变的Rootkit。 　　1 什么是Rootkit 　　ring 0 层的是系统核心模块和各种驱动程序模块，因此，位于这一层的木马也是以驱动形式生存的，而不是一般的exe。后门作者把后门写成符合wdm规范（windows driver model）的驱动程序模块，把自身添加进注册表的驱动程序加载入口，便实现了“无启动项”运行。一般的进程查看器都只能枚举可执行文件exe的信息，所以通过驱动模块和执行文件结合的后门程序便得以生存下来，由于它运行在 ring 0 级别，拥有与系统核心同等级的权限，因此它可以更轻易的把自己隐藏起来，无论是进程信息还是文件体，甚至通讯的端口和流量也能被隐藏起来，在如此强大的隐藏技术面前，无论是任务管理器还是系统配置实用程序，甚至系统自带的注册表工具都失去了效果，这种木马就是Rootkit。所以，Rootkit是通过加载特殊的驱动，修改系统内核，进而达到隐藏信息的目的。 　　2 rootkit的隐藏技术 　　2.1 删除进程双项链表上的进程对象。 　　现在所有人查看进程一般都是通过任务管理器(taskmgr.exe)来查看。任务管理器枚举进程信息是靠的NtQuerySystemInformation 也就是ZwQuerySystemInformation 函数。其中，Native Api枚举进程是要通过进程活动链表的，如果我们将进程对象从进程双向链表中移除，那么调用NtQuerySystemInformation来枚举进程的任务管理器taskmgr.exe中就不会看到我们的进程了。那么就有人会担心了。如果进程从链表中删除，那还会被运行么？答案是，会。因为windows的ds,也就是线程分派器,也叫任务调度分配器(dispatcher scheduler)使用的是另一个数据结构,也就是说，进线程是否被调度处理与进程双向活动链表无关，不会被CPU忽略。所以，rootkit会将进程双向链表中的相关对象删除，这样使用任务管理器是看不到的。 　　2.2 修改系统调用表(sst) 　　系统调用，就是操作系统提供给用户程序调用的一组“特殊”接口。用户程序可以通过这组“特殊”接口来获得操作系统内核提供的服务，比如用户可以通过文件系统相关的调用请求系统打开文件、关闭文件或读写文件，可以通过时钟相关的系统调用获得系统时间或设置定时器等。在相应寄存器中储存着系统调用号，