ndows平台下Rootkit进程检测.PDFVIP

第21卷 第7期 计 算机 技术 与发展 V01．21 No．7 2011年7月 COMPUTER I．ECHNOLOGY AND DEVELOPMENT July 2011 Windows平台下Rootkit进程检测 张登银 ，陈召国 (南京邮电大学计算机学院，江苏 南京 210003) 摘 要：Rootkit是能够持久或可靠地存在于计算机系统上的一组程序或代码 为了达到无法检测的目的，Rootkit必须使 用进程隐藏技术。Rootkit进程隐藏技术是一种以秘密方式在系统后台运行并窃取用户信息的技术。通过分析Windows 平台下Rootkit进程隐藏技术的原理，研究了应用层和内核层两种模式下的Rootkit进程隐藏技术。针对Rootkit进程隐藏 技术的特点，开发了一个基于句柄表三位一体交叉映射的Rootkit隐藏进程检测平台。系统测试表明，本平台能够检测出 当前绝大部分主流Rootkit技术实现的隐藏进程，在实际应用中达到了较好的效果。 关键词：Rootkit；进程隐藏与检测；句柄表；内核 中图分类号：TP316．7 文献标识码 ：A 文章编号：1673-629X(2011)07-0141—04 RootkitProcessDetectionunderW indowsPlatform ZHANG Deng-yin。CHEN Zhao-guo (CollegeofCompu~r-NanjingUniversityofPostsT 。Nanjing210003。China) Abstract：Rootkitisasetofproceduresorcodethatisabletoexistinalastingorreliablecomputersystem．Inordernottodetectthehid- denprocess，RootkitmustUes thetechnologyofprocesshiding．TheRootkitprocesshidingisakindoftechnologytomsundersystem plaftorm andstealuserinformationasasecretway．ByanMy~nghteprincipleofRootldtprocesshidingunderWindowsplaftorm 。makes acomprehensivestudyabouthtetechnologyofRootkitprocesshiding．AccordingtOhtecharacteristicsoftheRootkitprocesshiding。de- velopsatrinityandcross-mappingplaftorm basde OilhandletablefordetcetingtheRootkithiddenprocess．Theexperimentindicateshtat theplaftorm Cna detectmostofhtecurrentRootldthiddenprocessnadtakesgoodeffectinpractice． Keywords：Rootldt；processhidinganddetection；hnadletable；kernelo~cet O 引 言 来隐藏进程信息。Rootkit进程隐藏技术可以使恶意 Rootkit是一种非法获取访 问能力并隐匿踪迹的 代码在 目标主机中长期潜伏，窃取数据、监视用户和持 后门技术。攻击者一旦突破计算机系统后，往往在 已 续控制主机而不被发觉，从而造成极大危害。因此 入侵的计算机系统中安装 Rootkit，使得攻击者能够保 Rootldt进程隐藏技术已经成为信息安全领域最大的 持访问计算机上具有最高权限的用户 “