Windows Rootkit进程隐藏与检测技术

合集下载

Ring0级Rootkit之进程隐藏与检测技术

Ring0级Rootkit之进程隐藏与检测技术近来自己主机上老是莫名其妙地感染病毒（即在文件夹后默然追加了一个后缀.exe），以前也碰到过这种情形，即只要你点击受感染的office文件，则分区下所有的office文件将全部感染，后来也好好分析过此病毒即“sola病毒”。

起初没有去管这事，后来实在受不了就打算手工清除此病毒。

打开任务管理器，尽然发现了一些诡异进程即由数字和字母构成。

显然其不是正常进程，就运行regedit.exe搜索注册表，尝试搜索此进程，并手工删除了其对应的所有键值。

然后重新查看受感染的分区，发现尽然清除成功。

这才顿悟，这不是sola 病毒，只是某些人写的一个再简单不过的病毒。

引用上面的话，只是想说尽管我们已经谈论并以各种方式实现了不同级别的进程隐藏技术，但很多人却并不知晓编写简单代码，既可躲过任务管理器的进程显示列表。

Jimhotkin 在《Detection of hidden Process》一文中曾指出--估计1000个木马中仅有1个是进程隐藏的。

可见，市面见到的那些简单木马绝大部分出自菜鸟级黑客。

黑客从事的攻击活动需要尽可能部署的尽善尽美，任何一个环节出现弱点，都将是致命的。

这其实等同于网络安全技术，尽管你在多个环节上部署了多层级安全防御措施，但任一环节出现漏洞，则全盘皆输。

言归正传，下面开始谈论进程隐藏与检测技术，尽管进程隐藏技术已经被众多人士讨论过，笔者的目的是想通过此文，尽可能综合当前出现的各种进程隐藏与检测技术。

谈论每种技术实现的特点，及其如何实现，通过代码分析，尽可能全面的讲解ring0下出现的各种进程隐藏与检测技术。

1．进程隐藏技术最早出现的进程隐藏技术，其实可追溯到ring3下的线程注入，即在目标进程上下文中创建一个远程线程，通过此线程注入恶意DLL文件到目标进程中，借助目标进程的运行而被加载。

基本步骤为：（1）用OpenProcess打开目标进程，访问权限Process_VM_Operation or Process_VM_Write；(2)获取kernel32.dll下LoadLibrary地址（3）在指定的目标进程中，调用VirtualAllocEx函数，在目标进程地址空间中开辟一块内存；（4）创建一个远程线程，将恶意DLL文件加载到已分配的内存空间中。

Windows内核级Rootkits隐藏技术的研究

第37卷　第4期2010年4月计算机科学Comp uter Science Vol.37No.4Apr 2010到稿日期:2009205205　返修日期:2009207217 本文受国家自然科学基金(60473057,90604007,90718017)和教育部博士点基金(20070006055)资助。

龚　广(1985-),男,硕士生,主要研究方向为网络与信息安全,E 2mail :higongguang @ ;李舟军(1963-),男,教授,主要研究方向为高可信软件技术、网络与信息安全技术、智能信息处理技术;忽朝俭(1982-),男,博士生,主要研究方向为网络与信息安全;邹蕴珂(1982-),女,硕士生,主要研究方向为网络与信息安全;李智鹏(1985-),男,硕士生,主要研究方向为网络与信息安全。

Windows 内核级Rootkits 隐藏技术的研究龚　广1　李舟军1　忽朝俭1　邹蕴珂1,2　李智鹏1(北京航空航天大学计算机学院　北京100191)1　(海军装备研究院　北京100161)2摘　要　随着Rootkits 技术在信息安全领域越来越受到重视,各种Anti 2rootkits 新技术不断出现。

在各种Anti 2root 2kits 工具的围剿下,常规的Rootkits 隐藏技术难以遁形。

在系统分析和深入研究传统内核级Rootkits 隐藏技术的基础上,提出了一个集驱动模块整体移位、内核线程注入、IRP 深度内联Hook 3种技术为一体的Rootkits 隐藏技术体系。

实验结果显示,基于该隐藏技术体系所实现的Rootkits 能够很好地躲避专业的Anti 2rootkits 工具(如Rootkit Unhooker 和冰刃)的检测,从而充分表明了这种三位一体的Rootkits 隐藏技术体系的有效性。

关键词　Rootkits ,Anti 2rootkits ,驱动模块整体移位,内核线程注入,IRP 深度内联Hook 中图法分类号　TP393 文献标识码　A R esearch on Stealth T echnology of Windows K ernel 2level R ootkitsGON G Guang 1　L I Zhou 2jun 1　HU Chao 2jian 1　ZOU Yun 2ke 1,2　L I Zhi 2peng 1(School of Computer ,Beihang University ,Beijing 100191,China )1(Navy Equipment Academe ,Bejing 100161,China )2Abstract With more and more attention being paid to the Rootkits technology in the fields of cyber 2security ,various new Anti 2rootkits technologies have emerged continually.Under the detection of various Anti 2rootkits tools ,the conven 2tional Rootkits stealth technology is difficulty to play its role.Based on systematic analysis and research of traditional kernel 2level Rootkits stealth technology ,this paper presented a three 2in 2one rootkits stealth technical architecture on the basis of driver module integral transposition ,kernel threads injection and IRP inline Hook in depth.Experimental results show that the Rootkits based on this stealth architecture can well bypass the detection of some well 2known Anti 2root 2kits tools (such as Rootkit Unhooker and IceSword ),which f ully demonstrates the effectiveness of this three 2in 2one Ro 2otkits stealth technical architecture.K eyw ords Rootkits ,Anti 2rootkits ,Driver module integral transposition ,Kernel threads injection ,IRP inline Hook in depth Rootkits 源自Unix 系统,最早出现在1994年2月的一篇安全咨询报告中[1]。

Windows Rootkit实现及其检测技术分析

Windows Rootkit实现及其检测技术分析【摘要】Rootkit是恶意软件用于隐藏自身及其它特定资源和活动的程序集合。

本文针对windows Rootkit的启动方式，将Rootkit归为先于操作系统启动和伴随操作系统启动两类，详细分析了这两类windows Rootkit的启动方式、实现原理及隐藏技术，并对现有的检测方法的原理进行了深入的分析。

【关键词】Rootkit；宿主进程；BIOS Rootkit；MBR Bootkit1.介绍Rootkit[1]最早出现于Unix系统中，随着计算机技术的发展，现在多种操作系统平台中都出现了Rootkit。

现在的研究表明恶意代码的Rootkit技术化趋势非常明显，Rootkit越来越多地出现在Windows操作系统中用于获取敏感信息、实现目标控制。

Rootkit使用的技术通常比较高深和复杂，常规检测工具和查杀软件一般难以将其检测出，鉴于其日益增强的危害性，有必要对Rootkit实现的原理进行分析，对现有的检测技术进行深入的分析。

本文依据windows Rootkit的启动方式，将windows Rootkit归为先于操作系统启动和伴随操作系统启动两类，详细分析了其启动方式、隐藏技术和实现原理，并对现有的检测技术的原理进行了深入的分析。

本文组织如下：第二部分介绍windows Rootkit的启动方式、实现原理及隐藏技术；第三部分介绍现有的windows Rootkit检测技术的原理；第四部分综合检测方法及总结。

2.windows Rootkit的实现原理依照windows Rootkit的启动实现方式，我们将windows Rootkit分为先于操作系统启动和伴随操作系统启动两类，在伴随操作系统启动的Rootkit中，深入分析内核劫持、svchost宿主启动、winlogon事件通知、系统文件感染、DLL劫持实现的原理和方法，在先于widnows操作系统启动的Rootkit中，详细分析基于BIOS（Basic Input/Output System）的Rootkit和基于MBR（Master Boot Record）的Rootkit。

基于Windows操作系统的Rootkit检测系统研究的开题报告

基于Windows操作系统的Rootkit检测系统研究的开题报告一、选题背景近年来，随着信息技术的迅猛发展，计算机安全问题也成为了一个严峻的挑战。

Rootkit作为一种最为隐蔽的恶意程序，常常会被黑客用来入侵运行Windows操作系统的计算机系统。

传统的杀毒软件无法完全检测和清除Rootkit，使得Rootkit在计算机系统中潜伏难以被发现。

因此，设计一种基于Windows操作系统的Rootkit检测系统势在必行。

二、选题意义1.提高Windows操作系统的安全性能，保护计算机系统安全Rootkit是目前最为隐蔽的恶意程序之一，可以将计算机系统变得不稳定，威胁到用户的隐私安全和财产安全。

建立Windows操作系统的Rootkit检测系统，可以及时发现并清除Rootkit，提高计算机系统的安全性能。

2.扩大普通用户对计算机系统安全的认识随着互联网的普及，普通用户已经成为计算机系统最常见的使用人群。

但是，普通用户对计算机系统中的恶意程序往往缺乏认识，不知道该如何保护计算机系统的安全。

基于Windows操作系统的Rootkit检测系统的研究，可以扩大普通用户对计算机系统安全的认识，提高用户的安全意识。

三、研究内容1.研究Windows操作系统下Rootkit的检测技术在现有技术的基础上，深入研究Windows操作系统下Rootkit的检测技术，分析各种检测技术的优缺点，寻找较为有效的检测方式。

2.设计基于Windows操作系统的Rootkit检测系统原型根据研究结果，设计基于Windows操作系统的Rootkit检测系统原型，实现对Rootkit的检测和清除功能。

3.评估和改进检测系统对检测系统进行评估，测试检测率和误报率，并根据评估结果进行改进和优化。

四、研究方法1.文献调研法搜集和查阅相关文献，了解Rootkit的检测技术研究现状和最新成果。

2.仿真实验法基于Windows操作系统，建立仿真实验环境，验证检测系统的效果和可行性。

Windows Rootkit实现及其检测技术分析

随操作系统启动的Ｒｏｏｔｋｉｔ中，深入分析该条目的前５个字符（ｗｉｎｄｏｗｓ支持ｍｕｔｉｌ，内核劫持、ｓｖｃｈｏｓｔ宿主启动、ｗｉｎｌｏｇｏｎ事ＳＣＳｉ，Ｓｉｇｎａｔｕｒｅ），如果是ＳｃＳｉ，就会
Ｒｏｏｔｋｉｔ１最早出现于Ｕｎｉｘ系统中，随着
计算机技术的发展，现在多种操作系统平台中都出现了Ｒｏｏｔｋｉｔ。现在的研究表明恶意代码的Ｒｏｏｔｋｉｔ技术化趋势非常明显，Ｒｏｏｔｋｉｔ
依照ｗｉｎｄｏｗｓＲｏｏｔｋｉｔ的启动实现方来实现内核的劫持，当ｗｉｎｄｏｗｓ通过ＮＲＬＤＲ
Ｋｅｙｗｏｒｄ：Ｒｏｏｔｌｄｔ；ｖｓｈｏｓｔ．ｅｘｅ；ＢＩＯＳＲｏｏｄ＆；ＭＢＲＢｏｏｔｉｔｋ
１．介绍
２．ＷｉｎｄｏｗｓＲｏｏ｛ｋｉｔ的实现原理
利用Ｂｏｏｔ．ｉｎｉ文件中的特殊选项ＳＣＳｉ
ＲｅｓｅａｒｃｈｏｎｄｅｓｉｇｎｉｎｇａｎｄｄｅｔｅｃｔｉｎｇｔｅｃｈｎｏｌｏｇｙｏｆＲｏｏｔｋｉｔ
Ａｂｓｔｒａｃｔ：ＲｏｏｄｄｔｉｓｕｓｅｄｔｏｈｉｄｅｉｔｓｍａｌｉｃｉｏｕｓｓｏｆｔｗａｒｅａｎｄｏｔｈｅｒｓｐｅｃｉａｌｒｅｓｏｕｒｃｅｓａｎｄａｃｔｉｖｉｔｉｅｓｏｆｔｈｅｐｒｏｃｅｄｕｒｅｓｓｅｔＩｎｔｈｉｓｐａｐｅｒ，ｓｔａｒｉｔｎｇｗｉｈｔｗｉｎｄｏｗｓＲｏｏｔｌｄｔ，Ｒｏｏｄｄｔｉｓｐｉｒｏｒｔｏｈｅｔｏｐｅｒａｔｉｎｇｓｙｓｔｅｍｂｏｏｔａｎｄｗｉｈｔｈｅｔｏｐｅｒａｉｔｎｇｓｙｓｔｅｍｔｏｓｔｒｔａｈｅｔｔｗｏｃｌａｓｓ，ｔｈｅｓｔａｒｔｏｆｈｅｔｔｗｏｋｉｎｄｓｏｆｗｉｎｄｏｗｓＲｏｏｔｋｉｔ，ｔｈｅｒｅａｌｉｚａｔｉｏｎｐｒｉｎｃｉｐｌｅｎｄａｈｉｄｉｎｇｔｅｃｈｎｏｌｏｇｙｉｓａｎａｌｙｚｅｄｉｎｄｅｔａｉｌ，ａｎｄｔｈｅｐｒｉｎｃｉｐｌｅｏｆｈｅｔｅｘｉｓｔｉｎｇｄｅｔｅｃｔｉｏｎｍｅｔｈｏｄｓａｒｅｎａａｌｙｚｅｄ

Windows下基于交叉视图的Rootkit进程隐藏检测技术

ｋｒｅｂｅｔｎｍｅｒ．Ｅｘｅｉｎｓｓｏｔａｈｓｔｃｎｑｅｏｓｓｔｆｄｄｔｃｉｎｅｆｃ．ｅｎｌｏｊｃｓｉｍｏｙｐｒｍｅｔｈｗｈｔｔｉｅｈｉｕｗｎａｉｉｅｅｔｆｅｔｓｅｏ
ＫＥＹＷＯＲＤＳｒｏｋｔｐｏｅｓｈｄｎ，ｍｅｒｅｒｈｏｔｉ，ｒｃｓｉｉｇｍｏｙｓａｃ
到目标程序的地址空间，析内存中目标程序的Ｐ分Ｅ格式，到ＩＴ中目标ＡＩ找ＡＰ函数的地址，后替换为然
展。ｏｋｔＲｏｔｉ是能够持久且难于检测地存在于计算机之中的一组程序和代码［。用Ｗｉｄｗｏｔｉ，以１利］ｎｏｓＲｏｋｔ可
Ｒｏｔｉ初出现于Ｕｎｘ系统，１９ｏｋｔ最ｉ在９９年的时
ＦｎｔｎＨｏｋｎ）ｕｃｉｏｉｇ。导入地址表（ｏＩＡＴ）子通过进入钩
候，ｅｇｕｄ开发出了针对Ｗｉｄｗｓ系统的ＧｒｇＨｏｌｎｎｏＲｏｋｔ此后，ｎｏｏｋｔ术得到了快速发ｏｔｉ，ＷｉｄｗｓＲｏｔｉ技
１２内核级Ｒｏｋｔ．ｏｔｉ的进程隐藏技术
行隐藏，而使入侵者进入被攻占的系统后所引起的从
变化（启动了新进程、如增加了新文Ｒｏｋｔｏｔｉ技术中的一
种典型应用。将进程隐藏起来，意味着程序可以在不被
Ｗｉｄｗｓ基于交叉视图的Ｒｏｔｉ进程隐藏检测技术ｎｏ下ｏｋｔ

Windows Rootkit分析与检测的开题报告

Windows Rootkit分析与检测的开题报告一、选题背景随着计算机技术的日益发展，计算机系统的安全问题越来越引人关注，而Windows系统的安全性一直是使用者关注的重点。

其中，Rootkit 是一种类型最为隐蔽的恶意程序，它通过技术手段将自己隐藏在操作系统内部，从而导致黑客获取系统的最高权限，从而对系统进行操纵，具有非常高的危害性。

传统的杀毒软件难以发现和清除 Rootkit，因此针对Windows 系统 Rootkit 的分析与检测，是当前计算机安全领域中的一个关键研究方向。

二、选题意义Windows Rootkit 的研究对于加强电脑系统的安全性，防止黑客攻击和信息泄露起着至关重要的作用。

本文着重研究了Rootkit的分析与检测技术，从而为加强电脑系统的安全性提供一种有效途径。

三、研究目的本文旨在：1. 探索 Windows Rootkit 的工作原理，并深入了解其所具有的危害性。

2. 研究 Windows 系统 Rootkit 的分析技术，了解其隐藏和操纵的方法。

3. 研究 Windows 系统 Rootkit 的检测技术，探索其检测的目标和方法。

4. 采用 Windows Rootkit ，研究其分析与检测过程，探讨其特征及情况。

5. 基于研究结果，提出准确高效的 Windows Rootkit 检测方法。

四、研究内容1. Windows Rootkit的基本概念和工作模式介绍 Windows Rootkit 的基本概念，分析其工作模式以及其所具有的危害性。

2. Windows Rootkit 的分析技术探索Windows 系统Rootkit 的分析技术，了解其隐藏和操纵的方法。

阐述 Rootkit 的原理以及它所涉及的技术，包括 Rootkit 的内核钩子技术和文件过滤器技术，分析 Rootkit 的行为、设置，并分析 Rootkit 与操作系统交互的方式。

3. Windows Rootkit 的检测技术探讨 Windows 系统 Rootkit 的检测技术，探索其检测目标和方法。

Windows系统下Rootkit的隐藏与检测

来替换系统中原有的ＤＬ并将原ＤＬ改名．写Ｌ，Ｌ重的ＤＬ的ＩＴ和原ＤＬ的ＥＴＥｐ￣ＡｄｅｓａＬＡＬＡ（ｘｏｄｒｓＴ－
Ｒｔｔｏｋ的攻击过程主要包括：ｉ ①收集目标系统信息．攻击者在攻击某个系统之前，需要知道目标系统有哪些漏洞，使用什么操作系统，哪些帐号等．有 ②获得管理员等级的用户的访问权限．在得到目标系统足够的信息后，攻击者便开始利用其漏洞发起进攻．比较常见的是先获得普通用户访问权限，然后再利用目标系统的本地漏洞提高到超级用户访问权限．还有一种方式是直接利用ｆｔｔｎｔ网络服ｐ和ｅｅ等ｌ务的漏洞获得超级用户访问权限． ③在目标操作系统上安装Ｒｏｉ获得超级用户访问权限后，ｏｔｔｋ．攻击者就可以在目标系统上安装Ｒｏｉ来隐藏攻击行为，ｏｔｔｋ，创建各种后门． ④控制目标系统．目标系统上安装在Ｒｏｉ，ｏｔｔ就可以持久的控制目标系统，ｋ后对其进行各
些服务等等．
２Ｗｉｏｓｏｔｉ隐藏技术ｎｗｏｔｄＲｋ
Ｒｔｉ隐藏的实现过程主要有：１用户态下ｏｋｔ（）
的ＡＩｏｋ在用户态，ＰＨ．一种常用的隐藏方法就是修改ＰＥ文件的ＩＴＩｏｄｒｓＴｂ）实现．ＡＡ（ｍｐ￣Ａｄｅｓａｌ来ｅＩＴ中记录了该文件运行时需要调用的所有函数链接库．Ｅ文件运行时会将自己和ＩＴ中记录的链接库ＰＡ
种攻击，而且不被目标系统的管理员察觉．如：例利用目标系统攻击其它系统，目标系统拒绝提供某使

Windows平台下Rootkit进程检测

ＺＨＡＮｕ
（ｏｌｅｏｏｕｒＮｎｉｇＵｉｅｓｙｏｏｔＣｌｇｆｍｐ￣－ａｊｎｖｒｉｆｓｅＣｎｔＰｓ＆Ｔ
。ｎｉｇ２００。ｈｎ）Ｎａｊ１０３Ｃｉａｎ
ｔｅｐａｏｍａｅｅｔｍｏｔｏｅｃｒｅｔＲｏｔｔｈｄｅｒｃｓｄｔｋｓｇｏｆｅｔｉｒｃｃｈｌｔｒＣｄｔｃｓｆｔｕｒｎｏｌｉｄｎｐｏｅｓａａｅｏｄｅｃｎｐａｔｅ．ｆｎｈｄｎｉ
ｖｌｐｒｎｔｎｒｓ－ｍａｐｎｌｔｒｂｓｉａｄｅｔｂｅｆｒｄｔｔｅｏｓａｔｉｉａｄｃｏｓｙｐｉｇｐａｏｍａｅＯｌｈｎｌａｌｏｅｅｉｆｄｃｎｇｔｅＲｏｔｉｈｄｅｒｃｓ．Ｔｈｘｅｉｎｎｃｔｓｔａｈｏｋｔｄｎｐｏｅｓｉｅｅｐｒｍｅｔｉｄａｅｈｔｉ
中图分类号：Ｐ１．Ｔ３６７文献标识码：Ａ文章编号：７－２Ｘ（０１０－１１０１３６９２１）７０４ —４６
ＲｏｔｉＰｒｃｓｔｃｉｎｕｄｒＷｉｄｗｓＰａｆｒｏｋｔｏｅｓＤｅｅｔｎｅｎｏｌｔｏｍｏ
Ａｂｓｒｃ：ｏｋｔｉｅｆｒｃｄｒｓｏｏａｂｅｔｘｓｓｉｇｏｅｉｂｅｃｍｐｔｒｓｓｅｔａｔＲｏｔｉｓａｓｔｏｐｏｅｕｅｒｃｄｅｔｔｓａｌｏｅｉｔｉａｌｔｒｒｌｌｏｕｅｙｔｍ．Ｉｒｅｏｏｄｔｃｅｈｄｈｉｎａｎａｎｏｒｎｔｅｅｔｈｉ－ｄｔｔｄｎｐｏｅｓｅｒｃｓ，ＲｏｋｔｍｕｔＵｅｔｃｎｌｇｆｐｏｅｓｈｄｎ．ＴｈｏｋｔｐｏｅｓｈｄｎｓａｋｎｆｔｃｎｌｇｏｍｓｕｄｒｓｔｍｏｔｉｓｓｔｈｏｏｙｏｒｃｓｉｉｇｅｈｅｅＲｏｔｒｃｓｉｉｇｉｉｄｏｈｏｏｙｔｎｅｙｓｉｅｅ

Rootkit技术可以隐藏系统进程

Rootkit技术可以隐藏系统进程、系统文件、注册表、网络通信。

虽然Rootkit技术从1994年就开始迅速发展，但是直到2007年，国外的研究人员才开始把基于Windows启动过程的Rootkit检测技术与可信计算结合起来，从根源去解决这种攻击，但是这种检测思想实现难度大、成本高、通用性差，只能达到一个检测的目的，而不能真正的阻止这类Rootkit的运行。

2008年以后国内掀起了研究Rootkit技术的热潮，相继出现了Rootkit技术方面的成功实例。

其中包括：奇虎360公司的首席安全研究员李文彬于2008年6月提出了一种基于Boot．ini 的Rootkit-Tophet，并在其Blog中发表的一篇名为《 A new invisible Bootkit is on the way》的文章中进行了详细的描述，该Bootkit 技术能够绕过当前所有的防御软件。

在BIOS Rootkit的研究方面，国内起步较晚，相对成型的实例没有国外多。

国内目前在基于Windows 启动过程的Rootkit检测技术研究方面处于很初级的探索阶段，暂时还没有成型且可靠性高的检测技术出现，尤其在BIOS Rootkit的检测技术方面处于一个相对进展缓慢的状态。

国内还出现了通过TPM芯片去实现基于Windows启动过程的Rootkit的检测，这种检测方法的思想主要利用了可信计算的相关理论，能够检测出系统是否存在这类Rootkit，并且可以有效阻止Bootkit的运行，但是在BIOS Rootkit 的查杀方面可靠性不高，不能恢复操作系统的正常运行。

因此研究有效的并且可靠的检测和防御方法，对信启、安全技术的发展会起到很大的促进作用。

目前大部分的Anti Rootkit技术的实现都是使用了下列几种方法：Cross View(交叉检测技术）、基于行为的Rootkit检测技术和完整性校验技术。

而如今，Rootkit越来越向硬件层次渗透，试图在Windows系统启动之前就获得对系统的控制权，这样Rootkit 技术就不会检测到了。

WindowsRootkit进程隐藏与检测技术

EPROCESS 结构中的域 Active process link 域是一个 LIST_ENTRY 结构，它将所有进程的 EPROCESS 结构连接成了一个双向链表。ZwQuerySystemImformation 函数通过遍历这个链表来获取需要查询的信息。只要把需要隐藏进程的 EPROCESS 结构从链表中剥离出去，该进程就会从系统的视线中消失。
无论在用户模式还是内核模式，仅依靠一种技术已经不足以将进程完美隐藏。高效的进程隐藏方案往往将 2 种模式下的技术结合在一起，配合内核中多种数据结构，甚至利用一些非 Rootkit 范畴的技术。例如 hook 内核 Shadow SSDT 结构以及抹掉窗口标题等辅助隐藏手段，防止通过枚举窗口探测进程。归根结底，进程隐藏就是要让进程隐匿在系统之中，并在最大程度上给检测制造技术障碍。
由于线程的上下文切换都要用到 SwapContext 函数，因此只要把守住该函数就能得到真实的进程列表，找出被隐藏的进程。 3.2 另类检测方法
进程 Csrss.exe 是 Windows 子系统进程[4]。由于每个进程在创建初期都会通知 Windows 子系统进程以便能够进一步完成创建工作，因此 Csrss.exe 中包含了除 Idle, System, Smss.exe 和 Csrss.exe 之外所有进程的信息(前 2 个属于内核，SMSS 是 CSRSS 的父进程)。
利用 PsGetCurrentProcess 函数定位到 System 进程 EPROCESS 构成。然后，沿着 LIST_ENTRY 结构指向遍历整个链表，通过 PID 等信息定位到需要隐藏的进程，将它的 EPROCESS 脱链。脱链之后，该进程的正常运行不会受到本质的影响。但直接使用系统提供的服务已经不能够发现该进程了。

系统服务Rootkits隐藏行为分析

ｏｙｔｍｅｖｃｓｓｉｅｍｏｅｒｕｌＷｅｄｖｌｐａｍｅｈｄｔｅｅｌｈ￣ｅｔｉｅｙｔｅｒｔｉｅｅｎｓｓｅｓｒｉ，ｉｈｄｄｌａｅｂｉ．ｅｅｏｔｏｏｒｖａｔｅｏｃｄｄｂｋｔｗｈｎｔｅｘｓｔｈｈｏｓｈ
维普资讯
计算机科学２０Ｖ１３ №．０８ｏ．５６
பைடு நூலகம்
系统服务Ｒｏｔｉ隐藏行为分析＊ｏｋｔｓ）
龙海郝东白黄皓（南京大学计算机科学与技术系软件新技术国家重点实验室南京２０９）１０３
建立了６种模型。在检测出系统服务ｒｔｉ的基础上，出了一种分析其二进制执行代码，ｏｋｔｓ提匹配模型，出隐藏对找
象的方法，实现了一个隐藏行为分析原型。实验结果证明这种隐藏行为分析方法能有效分析出隐藏对象。
关键词ｒｏｋｔ，ｏｔｉ系统服务，为，制流图，据流图，ｓ行控数函数调用图
摘要用挂钩系统服务来实现进程、文件、注册表、口等对象的隐藏是最常见的ｒｏｋｔ端ｏｔｉｓ实现方式。然而大量的
检测方法并不能将ｒｔｉ和其所隐藏的对象对应起来。本文分析了用户层和内核层系统服务ｒｏｋｔｏｋｔｓｏｔｉｓ的隐藏行为，
ＡｓａｔＨｏｋｎｈｙｔｍｅｖｃｓｔｉｅｔｅｐｅｅｃｆｂｅｔｓｃｓｐｏｅｓｓｆｅ，ｅｉｒｅｓａｄｏｅｂｔｃｒｏｉｇｔｅｓｓｅｓｒｉｏｈｄｒｓｎｅｏｊｃｓｕｈａｒｃｓｅ，ｉｓｒｇｓｙｋｙ，ｎｐｎｅｈｏｌｔ

Windows系统Rootkit隐藏技术研究与实践

ｒａ．ｍｅｄｔｃｉｎｅ１ｉｅｅｔ．ｔｏ
Ｋｙｏｄ：ｔｊｒ；ｃｎｅｌｇｅｏｇ；ｃｏｅｔｅｏｃａｅｔｏａｍｄｌｅｏｃｒｙｅｒｓｒａｈｓｏｃａｎｃｌｙｏｐｒｉｎｅｌｎ；ｆｒｌｏｅｗｏｎｏｅｉｔｈｏｎａｖｃｍｍ；ｎｔｒｓｕｉｗｋｅｔ
维普资讯
第２卷第ｌ期８４
Ｖ０１２８．ＮＯ．４１
计算机工程与设计
ＣｏｕｅｎｉｅｒｎｎｓｇｍｐｔｒＥｇｎｅｉｇａｄＤｅｉｎ
２０年７０７月
Ｊｌ０７ｕｙ２０
Ｗｉｏｓｎｗ系统Ｒｏｉ隐藏技术研究与实践ｄｏｔｔｋ
Ｒｏｋｔ术，到网络攻防知己知彼，防范木马攻击，少网络破坏，护重要信息系统有重要意义。过研究Ｗｉｄｗｓｏｔ技ｉ做对减保通ｎｏ环
境中Ｒｏｉ的隐藏技术，ｏｔｔｋ结合协同隐藏思想，出了Ｒｏｉ的形式化模型，提ｏｔｔｋ并在此基础上开发了一个Ｗｉｏｓｎｗ系统下的Ｒｏ．ｄｏｔｋｔ型。实验结果表明，ｉ原该原型达到了较好的隐藏效果，以避开目前大多数检测工具的检测可
关键词：特洛伊木马；隐藏技术；协同隐藏；形式化模型；网络安全中图法分类号：Ｐ９．Ｔ３３０８文献标识码：Ａ文章编号：００７２（０７４３３．４１０．０４２０）１．３７０

Rootkit隐形技术入门教程(含图片)

Rootkit隐形技术入门(图)[导读]Rootkit隐形技术入门(图)一、综述本文将引领读者打造一个初级的内核级Rootkit，然后为其引入两种简单的隐形技术：进程隐形技术和文件隐形技术。

同时，为了让读者获得rootkit编程的相关经验，我们顺便介绍了rootkit的装载、卸载方法，以及必不可少的测试技术。

本文介绍的Rootkit的主要构件是一个设备驱动程序，所以我们首先了解一下我们的第一个rootkit。

二、rootkit主体本节引入一个简单的rootkit实例，它实际上只给出了rootkit的主体框架，换句话说，就是一个设备驱动程序。

那么为什么要用设备驱动程序作为主体呢?很明显，因为在系统中，设备驱动程序和操作系统一样，都是程序中的特权阶级——它们运行于Ring0，有权访问系统中的所有代码和数据。

还有一点需要说明的是，因为本例主要目的在于介绍rootkit是如何隐形的，所以并没有实现后门之类的具体功能，。

我们将以源代码的形式说明rootkit，对着重介绍一些重要的数据结构和函数。

下面，先给出我们用到的第一个文件，它是一个头文件，名为Invisible.h，具体如下所示：//Invisible.h：我们rootkit的头文件#ifndef _INVISIBLE_H_#define _INVISIBLE_H_typedef BOOLEAN BOOL;typedef unsigned long DWORD;typedef DWORD* PDWORD;typedef unsigned long ULONG;typedef unsigned short WORD;typedef unsigned char BYTE;typedef struct _DRIVER_DA TA{LIST_ENTRY listEntry;DWORD unknown1;DWORD unknown2;DWORD unknown3;DWORD unknown4;DWORD unknown5;DWORD unknown6;DWORD unknown7;UNICODE_STRING path;UNICODE_STRING name;} DRIVER_DA TA;#endif我们知道，应用软件只要简单引用几个文件如stdio.h和windows.h，就能囊括大量的定义。

WindowsRootkit隐藏技术研究

经验与交流计算机与信息技术 ·73·Windows Rootkit隐藏技术研究杨平罗红乔向东（空军工程大学电讯工程学院，陕西西安，710077）摘要Rootkit是黑客为了隐藏其入侵痕迹、保留入侵权限而采用的一种技术。

由于具有隐藏性好、难以检测的特点，Rootkit在Windows操作系统中的应用越来越广泛，并逐渐与病毒、木马、间谍软件等应用软件相结合，给网络信息安全带了严重危害。

深入研究Windows操作系统中Rootkit的工作原理，对于防范其对网络安全造成的破坏有着重要的意义。

关键词 Rootkit；隐藏；挂钩1 引言Rootkit原本是UNIX系统上非法入侵者为了隐藏其活动痕迹而使用的一组工具。

随着Windows操作系统的广泛应用，Rootkit在该系列操作系统中应用也越来越广泛，危害也越来越大。

和其它的恶意软件不同，Rootkit的主要功能和目的是隐藏，即隐藏其在系统中的各种表现，如进程、文件、注册表项和键值、端口以及服务等。

正因为其在隐藏技术上的突出表现，Rootkit与木马等恶意软件有逐渐结合的趋势，随着影响范围不断扩大，对网络信息安全可能带来的危害也逐步增强。

2 Rootkit的分类操作系统是由内核（Kernel）和外壳（Shell）两部分组成的。

内核负责一切实际的工作，包括CPU任务调度、内存分配管理、设备管理、文件操作等；外壳是基于内核提供的交互功能而存在的界面，它负责指令传递和解释。

根据内核和外壳处理任务的不同，系统为它们设定了不同的工作环境，称为运行级别（Ring）。

虽然Intel和AMD的CPU都支持4种特权模式，但在实际应用中，Windows只实现了两个运行模式，即用户模式（Ring3）和内核模式（Ring0）。

同样，Windows Rootkit也分为两类，分别对应处理器的用户模式和内核模式。

用户模式Rootkit可以作为一个单独的程序运行，也可以改动某个现有程序、运行在一个已经存在的程序里。

Windows环境下Rootkit隐藏技术研究

Windows环境下Rootkit隐藏技术研究
王东利;栾国森;朱堃
【期刊名称】《电脑知识与技术》
【年(卷),期】2008(004)0z2
【摘要】Rootkit:是攻击者用采隐藏踪迹和保留访问权限.窃取密码、留下后门等的一组工具的集合,是一种危害性极大的特洛伊木马程序.深入研究Rootkit隐藏技术,有助于提高发现、检测和跟踪它的能力.本文针对windows环境下的Rootkit 隐藏技术进行了深入的分析和研究,并对相应的技术原理做了比较,展望了Rootkit 隐藏技术的未来发展趋势.
【总页数】2页(P141-142)
【作者】王东利;栾国森;朱堃
【作者单位】三峡大学,电气信息学院,湖北宜昌,443002;三峡大学,电气信息学院,湖北宜昌,443002;三峡大学,电气信息学院,湖北宜昌,443002
【正文语种】中文
【中图分类】TP3
【相关文献】
1.Windows环境木马进程隐藏技术研究 [J], 卢立蕾;文伟平
2.Windows Rootkit隐藏技术研究 [J], 杨彦;黄皓
3.Windows系统Rootkit隐藏技术研究与实践 [J], 康治平;向宏;胡海波
4.Rootkit进程隐藏与检测技术研究 [J], 孟晨宇;阮阳;王佳伟;周洁;康晓凤
5.Rootkit进程隐藏与检测技术研究 [J], 孟晨宇;阮阳;王佳伟;周洁;康晓凤
因版权原因，仅展示原文概要，查看原文内容请购买。