基于NDIS中间层的木马防护机制研究及实现

合集下载

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ａ叶技２０１３年第２６卷第５期
ＥｌｅｃｔｒｏｎｉｃＳｃｉ．＆Ｔｅｃｈ．／Ｍａｙ．１５．２０１３
基于ＮＤＩＳ中间层的木马防护机制研究及实现
洪双喜，雷
摘要
涛
４５００１１）
随着社会信息化以及信息网络化的迅速发展，网络安全问题１３益突出且越来越复杂，已经成为亟待解
决的问题，并引起各方的关注。目前以木马病毒对网络系统信息进行的窃取、篡改行为最为突出，这对网络用户的信息安全构成了巨大威胁。与此同时，各种病毒程序，尤其是木马程序通过计算机网络渗透到ＰＣ机中，窃取秘密信息，给信息系统或个人带来严重威胁。比较有名的杀毒软件如３６０、瑞星等杀毒软件可以对计算机起到良好的保护作用，但对已经潜入计算
ＨＯＮＧＳｈｕａｎｇｘｉ，ＬＥＩＴａｏ
（ＳｃｈｏｏｌｏｆＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＮｏａｈＣｈｉｎａＵｎｉｖｅｒｓｉｔｙｏｆＷａｔｅｒＣｏｎｓｅｒｖａｎｃｙ
ｔｅｃｔｉｏｎｍｅｃｈａｎｉｓｍｉｎｋｅｒｎｅｌｌｅｖｅｌｂａｓｅｄｏｎＮＤＩＳｉｎｔｅｍｅｒｄｉａｔｅｄｉｖｒｅｒｔｅｃｈｎｉｑｕｅｏｎｔｈｅｗｉｎｄｏｗｓｐｌａｔｆｏｍｒｉｓｐｕｔｆｏｒｗａｒｄ．
ｎｉｃａｔｉｏｎｓ，ｉｔｉｓｏｂｖｉｏｕｓｌｙｓｕｐｅｉｒｏｒｔｏｔｈｅｓｉｍｉｌｒａｆｕｎｃｔｉｏｎｌａｎｔａｉ－Ｔｍｊａｎｓｏｆｔｗａｒｅｉｎｔｈｅｄａｔａｐａｃｋｅｔｐｒｏｃｅｓｓｉｎｇｓｐｅｅｄ．
ＩＰａｄｄｒｅｓｓａｎｄｐｏｒｔｎｕｍｂｅｒｎｄａｔｈｅｐｒｏｃｅｓｓｏｆｃａｐｔｕｒｅｄｄａｔａｐａｃｋｅｔｒａｅａｎａｌｙｚｅｄａｎｄｊｕｄｇｅｄｔｏｒｅｌａｉｚｅｉｎｔｅｒｃｅｐｔｉｏｎｏｆＴｒ￣ｎａｖｉｒｕｓｃｏｍｍｕｎｉｃａｔｉｏｎｓａｎｄｔｈｅｉｄｅｎｔｉｉｆｃａｔｉｏｎｏｆＴｒｏｊａｎｐｒｏｃｅｓｓ．ＷｉｔｈｔｈｅｓａｌＴｌｅｉｎｔｅｒｃｅｐｔｉｏｎｒａｔｅｏｆＴｒ￣ｎａｃｏｍｍｕ－
断，实现对木马通信的拦截和木马进程的识别。在对木马病毒通信拦截率相同的情况下，该机制在对数据包的处理
速度上，明显优于类似功能的防木马软件。
关键词
木马病毒；ＮＤＩＳ驱动；ＩＰ信息库；网络安全；合法进程表
ＴＰ３１１．５６３．２文献标识码Ａ文章编号１００７— ７８２０（２０１３）０５—１５６— ０４
中图分类号
ＲｅｓｅａｒｃｈｏｎａｎｄＩｍｐｌｅｍｅｎｔａｔｉｏｎｏｆＰｒｏｔｅｃｔｉｖｅＭｅｃｈａｎｉｓｍ
ｏｆＴｒｏｊａｎＢａｓｅｄｏｎＮＤＩＳＩｎｔｅｒｍｅｄｉａｔｅＬａｙｅｒ
ａｎｄＥｌｅｃｔｉｒｃＰｏｗｅｒ．Ｚｈｅｎｇｚｈｏｕ４５００１１，Ｃｈｉｎａ）ＡｂｓｔｒａｃｔＴｈｒｏｕｇｈａｎａｌｙｚｉｎｇｔｈｅｃｈａｒａｃｔｅｉｒｓｔｉｃｓ，ｔｙｐｅｓａｎｄｃｏｍｍｕｎｉｃａｔｉｏｎｍｏｄｅｏｆｔｈｅＴｒｏｊａｎｐｒｏｇｒａｍ，ａｐｒｏ —
（华北水利水电学院信息工程学院，河南郑州
通过对木马程序的特征、种类及通信方式的特点进行综合分析，在Ｗｉｎｄｏｗｓ平台下，提出了一种利用
ＮＤＩＳ中间层驱动技术，在内核层面上进行防护的机制。对捕获的数据包的ＩＰ地址、端口号及所属的进程进行分析判
Ｋｅｙｗｏｒｄｓｔｏｒｊｎａｖｉｒｕｓ，ＮＤＩＳｄｉｒｖｅｒ，ｉｐｉｎｆｏｍａｒｔｉｏｎ，ｎｅｔｗｏｒｋｓｅｃｕｉｒｔｙ，ｌｅｇａｌｐｒｏｃｅｓｓｔａｂｌｅ