基于线程调度的进程隐藏检测技术研究 .pdfVIP

四川师范大学本科毕业设计

基于线程调度的进程隐藏检测技术研究

学生姓名魏昌宏

院系名称物理与电子工程学院

专业名称通信工程

班级2005级5班

学号2005075080

指导教师唐彰国

完成时间2009年5月1日

基于线程调度的进程隐藏检测技术研究

学生：魏昌宏指导老师：唐彰国

内容摘要：

基于线程调度的进程隐藏检测技术，利用操作系统进程的资源分配和调度机

理，通过直接扫描系统内核中的活动线程来逆向检测实际存在的进程列表信息。

该方法可以检测出当前常规安全检测工具不能发现的系统恶意程序的入侵行为。

和现有的进程隐藏检测方法相比，该检测方式克服了各种缺陷，具有更加彻底可

靠的安全机制，可以检测出当前所有类型的进程隐藏。

关键词特洛伊木马Rootkit进程隐藏线程调度入侵检测

Abstract

Threaddispatchbasedhiddenprocessesdetectiontechniquemakesuseof

theprocess’sresourceassignmentanddispatchmechanisminoperating

systemtoscanactivethreadsinsystemkernelforreversedetectingactive

processeslist.ThismethodcandetectmoreTrojanhorse’sintrusionsthan

generalsecuritydetectionsoftware.Comparingwithnormalhiddenprocess

detectiontechniques.ithasgottenoverallofthelimitations.andfoundall

typesofcurrenthiddenprocessesbasedonmorereliablesecuremechanism.

KeywordsTrojanhorseRootkitProcesshidingThreaddispatch

Intrusiondetection

目录

1绪论1

1.1课题背景1

1.2线程调度简介1

1.3课题的提出1

2系统进程隐藏及其检测原理2

2.1用户态进程隐藏2

2.2内核态进程隐藏2

2.3用户态进程隐藏检测方法4

2.4内核态进程隐藏检测方法4

3基于线程调度的进程隐藏检测技术5

3.1WINDOWS进程的调度机制5

3.1.1Windows2000的调度机制6

3.1.2WindowsXP的调度机制6

3.2基于线程调度的进程检测7

4基于线程调度的进程隐藏检测的编码实现10

4.1系统架构10

4.2程序设计流程11

4.3关键模块及其代码实现13

4.3.1用户态检测模块13

4.3.2内核态检测模块13

5测试与总结18

5.1设计结果测试18

5.2总结22

结束语22

致谢22

参考文献23

1

基于线程调度的进程隐藏检测技术研究

1绪论

1.1课题背景

特洛伊木马作为一种危害性大、隐蔽性高的远程控制工具，通常被反病毒软

件作