木马间谍软件基本原理及检测方法研究

摘要

近年来，随着全球互联网应用的发展和通信资费的降低，网络用户快速增加。但是，在用户享受宽带网络便利与快捷的同时，各种严重威胁计算机信息安全的病毒、木马等恶意程序给互联网络的发展带来了巨大挑战，网络信息安全已引起世界各国政府的高度关注。互联网面临的威胁根源在于其开放式的体系结构、不可靠的网络协议以及运行在各种网络设备上漏洞百出的操作系统。然而对于计算机用户而言，木马的危害是巨大的，它使用户的计算机时刻暴露于黑客的控制监视之下。黑客可以轻易地窃取自己感兴趣的数据并传送到指定的计算机中，这较之传统病毒纯粹破坏用户数据的危害更加严重。 木马间谍软件与传统病毒相比存在着很大差异，这种差异主要体现在技术与功能这两方面。传统病毒的设计主要侧重于隐蔽性和传播性的实现。而木马间谍软件除此之外，还更多地强调与外界通信的能力，以及反识别与反清除能力。不能清楚地认识木马间谍软件与传统病毒的主要区别，无疑将会给木马的有效防范造成消极的影响。现在有很多防病毒软件都将木马视为普通病毒，仍采用传统的反病毒技术来检测和清除木马，效果难以令人满意。 为了提高大规模网络的信息安全防护能力、隐患发现能力、应急反应能力以及信息对抗能力，本文针对windows操作系统平台，提出了较先进的进程隐藏技术实现方法，目的在于了解各种进程隐藏技术的原理，并进一步提出一种分布式木马协作检测与预警体系，为加强网络安全管理和有力打击利用网络木马程序进行的违法犯罪活动服务。研究过程中主要包括以下工作内容： 1、木马间谍软件基本原理研究分析木马间谍软件的危害及其常用伪装手段，介绍木马的识别方法及防范措施。 2、木马间谍软件特有技术研究研究木马的特有技术，探讨其共同表现及特征，为木马检测方法的研究提供坚实的技术积累和支持。针对网络环境下木马的特点，论文重点研究木马在植入、加载、隐藏、反清除、信息采集和网络通信等六方面所采用的特有技术及其实现方法。 3、在WINDOWS操作系统平台的发展和特点进行研究的基础上，总结分析了WINDOWS平台下的木马隐藏技术。 4、针对WINDOWS操作系统平台，提出了采用远程线程动态嵌入运行DLL文件和端口重用技术来隐藏进程的实现方法。 5、分布式木马协作检测体系及部分模块实现。

目录

文摘

英文文摘

声明

引言

1木马软件基本原理

1.1木马软件的定义

1.2木马软件的由来

1.3木马软件的概念

1.4木马软件的种类

1.5木马软件常用的伪装手段

1.6木马软件的端口定制与监听

1.7木马软件的自我销毁功能

1.8木马软件的识别方法

1.9木马软件的危害性

1.10感染木马后建议采取的紧急措施

1.11涉密网络木马程序等恶意软件的防范措施

2木马间谍软件特有技术分析

2.1木马间谍软件的植入技术

2.2木马间谍软件的加载启动技术

2.2.1自动加载技术

2.2.2文件关联技术

2.2.3文件劫持技术

2.2.4隐藏文件名后缀

2.3木马间谍软件的反清除技术

2.4木马间谍软件的信息获取技术

2.5木马间谍软件的通信技术

3木马间谍软件在Windows平台下隐藏技术分析研究

3.1Windows操作系统简介和发展回顾

3.2Windows操作系统的特点

3.3Windows程序设计的特点

3.4Windows操作系统的缺点

3.5Windows系统下木马程序隐藏技术研究

3.5.1进程隐藏技术

3.5.2文件隐藏技术

3.5.3端口隐藏技术

4一个windows环境下进程隐藏及CHM格式伪装的实例

4.1windows环境下进程隐藏的原理和实现方法

4.1.1进程隐藏的实现方法

4.1.2进程隐藏的实施步骤

4.1.3进程隐藏的一个具体实例

4.2CHM电子书格式木马伪装技术和实现

4.2.1CHM帮助文件介绍

4.2.2CHM格式木马间谍软件的特点

4.2.3CHM格式木马间谍软件的制作步骤

4.2.4CHM格式木马间谍软件的防范方法

5分布式木马协作检测体系及部分模块实现

5.1常用的木马检测技术

5.1.1特征码检测技术

5.1.2校验码检测法

5.1.3行为判定技术

5.1.4时监控技术

5.1.5目标一致比较法

5.2分布式网络安全体系的必要性

5.3分布式木马协作检测系统框架

5.4主机监控代理设计

5.5网络监控代理设计

5.6区域管理节点设计

5.7安全管理中心设计

5.8网络监控代理基于Windows NT/2000/XP的实现

5.8.1WinPcap体系结构的介绍

5.8.2网络监控代理的工作流程

5.9网络监控代理中包过滤的实现

5.9.1数据包截获模块

5.9.2数据包过滤模块

5.10系统测试

5.10.1测试工具的选取

5.10.2测试环境搭建

5.10.3测试步骤

5.10.4测试结果

结论

参考文献

致谢