针对Windows RootKit的安全监测系统的研究与实现

摘要

RootKit是攻击者在入侵系统后为了保持对系统的超级用户访问权限，创建后门和隐藏攻击痕迹而常采用的一种技术。RootKit存在于Linux，Solaris和Windows等各种操作系统上。由于Windows操作系统在我们生活中的广泛应用(个人、企业乃至于政府)，使得其变成了RootKit攻击的重要目标。 根据对操作系统入侵的实现层次的不同，RootKit分为用户模式RootKit和内核模式RootKit两种类型。用户模式RootKit在操作系统用户空间修改系统文件或二进制数据。内核模式RootKit攻击操作系统内核，与用户模式RootKit相比功能更强大，更难检测。 目前WindowsRootKit的形式与功能“多样性”的现实，使得现有的各种针对性强但功能相对单一的专用检测工具己经不能满足安全的实际需要。为了切实的消除WindowsRootKit可能存在的危害，本文从WindowsRootKit安全技术和安全策略方面出发，根据WindowsRootKit安全的实际，制定“多样性检测”，“监控防御”与“自我保护”相结合的针对Windows系统下RootKit的安全策略。本文按照制定的安全策略实现方案，设计了一个WindowsRootKit的监测系统。相对于常规的WindowsRootKit检测技术，监测系统的“多样性检测”解决了普通检测技术单一性的问题，能适应WindowsRootKit的多样性，比较全面的检测出各种现有的WindowsRootKit，具有通用性的一面。“监控防御”技术以监测系统的主动监控防御取代了常规WindowsRootKit安全策略中的被动检测防御，让系统安全处于更加主动的有利位置。“自我保护”措施的采用保证了整个监测系统的健壮性，能有效的保护自身、抵御RootKit的反攻击。 本文的研究工作对WindowsRootKit的安全研究提供了比较完整的基础知识，所提出的多样性检测方法，弥补了现有专项检测方法的不足，可以有效地检测出各种WindowsRootKit。同时提出的“多样性检测”、“监控防御”和“自我保护”三者结合的Anti-RootKit的安全策略，对Windows系统安全有着实用价值。

目录

文摘

英文文摘

论文说明：图表目录

声明

第一章引言

1.1. 研究背景

1.2. 论文研究内容

1.3. 论文组织

第二章Windows RootKit简介

2.1. 什么是Windows RootKit

2.2. Windows RootKit产生的原因

2.3. Windows RootKit的攻击原理

2.4. RootKit的发展和研究现状

2.5. Windovs RootKit的分类

第三章Windows RtootKit常用核心技术

3.1. Windows相关概念与原理

3.1.1. Windows系统的内存空间

3.1.2. 系统服务(System Service)

3.1.3. 系统服务的调用

3.1.4. 系统服务描述符表(ServiceDescriptorTable，SDT)

3.1.5. 进程与线程

3.1.6. 驱动程序

3.2. 挂钩技术

3.3. 内核修补技术

3.3.1. 内核代码补丁

3.3.2. 直接内核对象修改

3.4. 用户空间动态注入技术

3.5. 内核模块动态加载技术

3.5.1. 注册表加载

3.5.2. SystemLoadAndCallImage加载

3.5.3. ＼Device＼PhysicalMemory加载

第四章WindOWS RootKit现有检测技术和方法

4.1. 交叉观测检测

4.2. 静态表检测

4.3. 执行路径检测

4.3.1. 执行路径分析

4.3.2. 指令记数的实现

4.4. 完整性检测

4.4.1. 文件完整性检测

4.4.2. 内存完整性检测

4.5. 指令跳转分析检测

4.6. 隐藏进程检测

4.6.1. 检索调度程序(scheduler)中的线程列表

4.6.2. 挂钩SwapContext内核函数

第五章Windows RootKit实例和检测工具的分析

5.1. Windows RootKit实例

5.1.1.Hacker Defender

5.1.2. 灰鸽子

5.1.3. Agony RingO RootKit

5.1.4. Ntrootkit

5.1.5.FU

5.1.6. Windows RootKit总结

5.2. Windows RootKit检测工具

5.2.1. 基于签名的检测工具

5.2.2. 基于行为的检测工具

5.2.3. 基于交叉观察的检测

5.2.4. 基于完整性的检测

5.2.5. 关于检测方法的思考

第六章Windows RootKit安全监测系统的设计与实现

6.1. 总体设计方案

6.2. 采集校验码检查数据的完整性

6.3. 用户空间检测

6.3.1. 系统文件完整性检测

6.3.2. 代码区完整性检测

6.3.3. 输入地址表修改检测

6.4. 内核空间检测

6.4.1. 内核空间与用户空间的通信

6.4.2. 隐藏进程检测

6.4.3. 系统服务调度表挂钩检测

6.4.4. 内联挂钩检测

6.4.5. 特定驱动的IRP检测

6.5. 监控Windows RootKit

6.5.1. 监控文件系统

6.5.2. 监控用户空间的代码动态注入

6.5.3. 监控内核的动态加载

6.6. 保护Anti-RootKit

6.6.1. Anti-RootKit模块文件完整性保护

6.6.2. 隐藏Anti-RootKit模块

6.7. 综合试验

6.7.1. 测试实验

6.7.2. 总体评价

第七章结论

7.1. 本文工作总结

7.2. 进一步研究工作

致谢

参考文献

在学期间的研究成果