计算机病毒第十一章后门技术和踪迹隐藏.pptVIP

第11章后门技术和踪迹隐藏 11.1 系统隐蔽后门-Rootkit技术 11.2 web脚本后门 11.3 日志的清除和伪造 11.4小结 系统隐蔽后门的基础知识 操作系统是由内核（kernel）和外壳（shell）两部分组成的 内核负责的工作，包括cpu任务调度、内存分配管理、设备管理、文件操作等， 外壳是基于内核提供的交互功能而存在的界面，它负责指令传递和解释。 运行级别（ring），ring让程序指令能访问的计算机资源依次逐级递减。 内核运行于ring 0级别，拥有最完全最底层的管理功能 外壳部分只能拥有ring 3级别，这个级别能操作的功能极少，几乎所有指令都需要传递给内核来决定能否执行。 在内核中与Rootkit相关几项功能 1）进程管理。 2）文件访问。 3）安全控制。 4）内存管理。 Windows Rootkit进程隐藏技术 一个典型的Windows Rootkit通常包括以下几个部分： 1）隐藏程序，用于隐藏Rootkit的程序文件，进程信息，注册表信息，同时也可以为其他进程提供隐藏的帮助。 2）特洛伊木马程序，为攻击者提供下次进入的后门。 3）一个远程的Shell，为攻击者继续渗透和做其他工作进行支持。 系统服务和Rootkit 钩子（Hooking）是一种拦截/监听可执行代码在执行过程中相关信息的一种通用机制。 在任务管理器中查询进程信息是通过ZwQu