内核脱钩技术在检测rootkit木马信息隐藏中的应用-Read.PDFVIP

第29 卷 第14 期 计算机工程与设计 2008 年7 月 Vol . 2 9 N o . 14 Computer Engineering and Design July 2008 内核脱钩技术在检测rootkit 木马信息隐藏中的应用 吴坤鸿， 舒 辉， 董卫宇 (信息工程大学信息工程学院，河南郑州450002) 摘 要：简要讨论了Windows 内核系统服务调用机制，分析了基于rootkit 技术的木马通过内核态挂钩SystemServiceDispatch- Table 隐藏各种敏感信息的一般原理。在检测SystemServiceDispatchTable 挂钩隐藏注册表键值的基础上，提出两种内核检测脱 钩方法，实现了对rootkit 挂钩的有效检测与脱钩，确保了系统获取注册表等敏感信息的完整性。 关键词：系统调用; 内核挂钩; 信息隐藏; 内核检测; 内核脱钩 中图法分类号：TP31 文献标识码：A 文章编号：1000-7024 (2008) 14-3635-03 Application of kernel unhooking in detecting information hiding of rootkit troj an WU Kun-hong, SHU Hui, DONG Wei-yu (College of Information Engineering, Information Engineering University, Zhengzhou 450002, China) Abstract ：The mechanism of Windows kernel system services call is briefly discussed, and then made an analysis on universal principles of hiding various sensitive information by hooking System ServiceDispatchTable of troj an based on rootkit technology on the kernel level. On the foundation of detecting registry hiding by kernel hooking, two kernel detecting-unhooking methods which are able to detecte and unhook rootkit hooking is presented, and the query outcome integrity of sensitive information such as system registry is ensured. Key words ：kernel call; kernel hooking; information hiding; kernel detecting; kernel unhooking 核执行体实现各种功能。 0 引 言 从图1 可以看出，从用户模式调用本机系统服务是通过 目前各种杀毒软件检测技术不断提高，采用传统用户态 ntdll.dll 来实现的。表面上，Win32 函数为编程人员提供了大 技术的木马生存空间越来越小，因此，木马技术的研究已经开 量的API 接口来实现功能，但是这些Win32 函数只不过是一 始转向了操作系统的内核。Rootkit 是指具有