Windows下基于交叉视图的Rootkit进程隐藏检测技术
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Ｈ ｉ ｅ ｏ ｅ ｓ Ｄｅ ｅ ｔｏ ｃ ｉ ｅ ｏ ｏ ｋｉ ｓ ｄ ｏ ｏ ｓ Ｖｉ ｗ ｎ Ｗ ｉ ｏ ｄｄ ｎ Ｐｒ ｃ ｓ ｔ ｃ ｉ ｎ Ｔｅ ｈｎ ｑｕ ｆ Ｒｏ ｔ ｔ Ｂａ ｅ ｎ Ｃｒ ｓ — ｅ ｉ ｎｄ ｗｓ
李 建军 王庆 生
（ 太原理 工大 学计 算机科 学与技 术 学院 太原 ０ ０ ２ ） ３ ０ ４ 【 摘 要】对 现有 的 Ｗｉｄ ｗｓ ｏ ｔｉ进 程 隐藏技 术进行 了研 究 ，提 出 了基于 交叉视 图的 Ｒｏ ｔ ｉ进 程 隐藏检 测 ｎ ｏ ｏｋｔ Ｒ ｏｋｔ
内核 级 Ｒｏ ｔｉ 工 作 在 权 限最 高 的 环 ０级 上 ， ｏｋｔ 能
够 直接 操作 内核 代码 ， 这为 进程 的隐藏 提供 了便 利 。 在 内核 模式 下 ， 隐藏进 程 的技 术 主要 有 挂 钩 系统 服务 调 度 表 （ ｙ ｔｍ ｅｖｃ ｉｐ ｔｈ Ｔ ｂｅ Ｓ Ｄ 和直 接 Ｓ ｓｅ Ｓ ｒ ｉ Ｄ ｓ ａｃ ａ ｌ ， Ｓ Ｔ） ｅ 内 核 对 象 操 作 （ ｉ ｃ ｅｎ ｌＯｂｅｔＭａ ｉｕａｉ ， Ｄ ｒ ｔＫ ｒ ｅ ｅ ｊｃ ｎｐ ｌｔ ｎ ｏ
中 圈 分 类 号 ：ＴＰ １ ． ３６７ 文 献 标 识 码 ：Ａ
ＡＢ ＴＲＡＣＴ Ｔｈ ｓ ｐ ｐ ｒｓ ｕ ｉｄ ｔ ｅｅ ｉｔｎ ｉ ｄ ｎ ｐ ｏ ｅ ｓｔ ｃ ｎ ｑ ｅ ｆｒ ｏ ｋ ｔ ｎ Ｗ ｉ ｄ ｗｓ ｎ ｈ ｎ ｐ ｏ ｏ ｅ ｉ ｄ ｎ ｐ ｏ ｅ ｓ Ｓ ｉ ａ ｅ ｔ ｄ ｅ ｈ ｘｓ ｉ ｇ ｈ ｄ ｅ ｒ ｃ ｓ ｅ ｈ ｉ ｕ ｓｏ ｏ ｔ ｉ ｉ ｎ ｏ ，ａ ｄ ｔ ｅ ｒ ｐ ｓ ｄ ａ ｈ ｄ ｅ ｒ ｃ ｓ ｄ ｔ ｃ ｉ ｎ ｔ ｃ ｎ ｑ ｅ ｏ ｏ ｔ ｉ ｂ ｓ ｄ ｏ ｒ ｓ － ｉｗ． Ｔｈ ｓ ｔ ｃ ｎ ｑ ｅ ｄ ｔ ｃ ｓ ｈ ｄ ｅ ｒ ｃ ｓ ｙ ｃ ｍｐ ｒｎ ｈ ｒ ｃ ｓ ｉｔ ｔ ｉ ｅ ｅ ｅ ｔ ｅ ｈ ｉ ｕ ｆｒ ｏ ｋ ｔ ａ ｅ ｎ ｃ ｏ ｓ ｖ ｅ ｏ ｉ ｅ ｈ ｉ ｕ ｅ ｅ ｔ ｉ ｄ ｎ ｐ ｏ ｅ ｓ ｂ ｏ ａ ｉ ｇ ｔ ｅ ｐ ｏ ｅ ｓ ｌ ｓ ａ ｔ ｎ ｄ ｓ ａ ｆ ｏ ｏ ｅ ａ ｉ ｇ ｓ ｓｅ ｈ ｇ －ｅ ｅ ｎ ｏ ｌ ｖ ｌｒ ｓ ｅ ｔｖ ｌ ． Ｉ ａ ｔｃ ｌ ｒ ｈ ｏ ｌ ｖ ｌｐ ｏ ｅ ｓ ｌ ｔ ｉ ｔ ｉ ｅ ｙ ｓ ａ ｃ ｉ ｇ ｔ ｅ ｒ ｍ ｐ ｒ ｔｎ ｙ ｔ ｍ ｉｈ ｌ ｖ ｌａ ｄ ｌ ｗ— ｅ ｅ ｐ ｃ ｉｅ ｙ ｎ ｐ ｒ ｉｕ ａ ，ｔ ｅ ｌ ｗ—ｅ ｅ ｒ ｃ ｓ ｉ ｓ ａ ｔ ｎ ｄ ｂ ｅ ｒ ｈ ｎ ｈ ｅ ｓ ａ
技术 。 技术 通过 比较从操作 系统 的高层和底 层获取 到 的进 程 列表来 检测 被 Ｒ ｏｋｔ 隐藏 的进程 ， 中， 该 ｏ ｔｉ 所 其 底层 进 程 列表 是 通过搜 索 内存 中的 内核对 象来获 得 的。实验表 明 ，该 技 术具 有较 好 的检 测效果 。
【 键 词 】 Ｒｏ ｔｉ， 进 程 隐藏 ， 内存 搜 索 关 ｏｋｔ
１ ２ 内核 级 Ｒ ｏｋｔ ． ｏ ｔｉ 的进 程 隐藏技术
行 隐 藏 ， 而使入 侵者 进入 被攻 占的系统 后 所 引起 的 从
变化 （ 启 动 了新进 程 、 如 增加 了新 文 件等 ） 被受 害者 不
察觉 。 中 ， 其 对特定进 程的隐藏是 Ｒ ｏｋｔ ｏ ｔｉ技术 中的一
种 典型 应用 。 将进 程隐藏起来 ， 意味着程 序可 以在不被
Ｗｉｄ ｗｓ 基 于交 叉视 图 的 Ｒｏ ｔｉ进 程 隐 藏 检 测 技 术 ｎｏ 下 ｏｋｔ
文章 Hale Waihona Puke Baidu 号 ； ０ ３ ５ ５ （ ０ １ Ｏ — ０ ６ ０ １ ０ —８ ０ ２ １ ） ５ ０ ５ — ２
Ｗｉｄ ｗ ｎ ｏ ｓ下基 于交叉视 图的 Ｒｏ ｔｉ 进 程 隐藏 检 测技 术 ｏｋｔ
Ｒｏ ｔ ｉ 初 出现 于 Ｕｎｘ系统 ， １ ９ ｏｋｔ最 ｉ 在 ９ ９年 的 时
Ｆ ｎ ｔ ｎＨｏ ｋｎ ） ｕ ｃｉ ｏ ｉｇ 。导入地址 表 （ ｏ Ｉ ＡＴ） 子通过 进入 钩
候 ， ｅ ｇｕ ｄ开 发 出 了 针 对 Ｗｉｄ ｗｓ系 统 的 Ｇｒｇ Ｈｏ ｌｎ ｎｏ Ｒ ｏ ｋｔ 此 后 ， ｎ ｏ ｏｋｔ 术 得 到 了快 速发 ｏ ｔｉ， Ｗｉｄ ｗｓＲｏ ｔｉ 技
ｋ ｒ ｅ ｂ ｅｔ ｎｍｅ ｒ ．Ｅｘ ｅ ｉ ｎ ｓｓ ｏ ｔ ａ ｈｓｔｃ ｎｑ ｅｏ ｓｓ ｔ ｆ ｄ ｄ ｔｃｉｎｅｆｃ． ｅ ｎ ｌｏ ｊｃｓｉ ｍｏ ｙ ｐ ｒｍｅ ｔ ｈ ｗ ｈ ｔｔ ｉ ｅ ｈ ｉｕ ｗｎ ａｉ ｉ ｅｅ ｔ ｆｅ ｔ ｓｅ ｏ
ＫＥＹＷ ＯＲＤＳ ｒ ｏ ｋ ｔ ｐ ｏ ｅ ｓｈ ｄ ｎ ， ｍｅ ｒ ｅ ｒ ｈ ｏ ｔ ｉ， ｒ ｃ ｓ ｉ ｉ ｇ ｍｏ ｙ ｓ ａ ｃ
对 Ｗｉｄ ｗｓ系统 中的进程 、 ｎｏ 文件 、 口、 端 驱动程 序等进
钩子 函数 的地址 。这样 ， 当调用 目标 函数 时 ， 就会 执行 钩子 函数 而不是 原始 的 ＡＰ 函数 。 内联 函数 钩子常 Ｉ 而 常直接 把 目标 函数 的前 ５ 字节 修改 为一个 无条 件跳 个
转 指令 Ｊ ＭＰ， 跳转 指 向 Ｒ ｏｋｔ 该 ｏ ｔｉ 钩子 。
到 目标 程 序 的地 址 空 间 ， 析 内存 中 目标 程 序 的 Ｐ 分 Ｅ 格 式 ， 到 Ｉ Ｔ 中 目标 Ａ Ｉ 找 Ａ Ｐ 函数 的地址 ， 后 替换 为 然
展 。 ｏｋｔ Ｒｏ ｔｉ 是能够 持久且难 于检测地存 在 于计 算机 之 中的一 组程 序和代码 ［ 。 用 Ｗｉｄ ｗ ｏ ｔｉ， 以 １ 利 ］ ｎ ｏ ｓＲ ｏｋｔ可
李 建军 王庆 生
（ 太原理 工大 学计 算机科 学与技 术 学院 太原 ０ ０ ２ ） ３ ０ ４ 【 摘 要】对 现有 的 Ｗｉｄ ｗｓ ｏ ｔｉ进 程 隐藏技 术进行 了研 究 ，提 出 了基于 交叉视 图的 Ｒｏ ｔ ｉ进 程 隐藏检 测 ｎ ｏ ｏｋｔ Ｒ ｏｋｔ
内核 级 Ｒｏ ｔｉ 工 作 在 权 限最 高 的 环 ０级 上 ， ｏｋｔ 能
够 直接 操作 内核 代码 ， 这为 进程 的隐藏 提供 了便 利 。 在 内核 模式 下 ， 隐藏进 程 的技 术 主要 有 挂 钩 系统 服务 调 度 表 （ ｙ ｔｍ ｅｖｃ ｉｐ ｔｈ Ｔ ｂｅ Ｓ Ｄ 和直 接 Ｓ ｓｅ Ｓ ｒ ｉ Ｄ ｓ ａｃ ａ ｌ ， Ｓ Ｔ） ｅ 内 核 对 象 操 作 （ ｉ ｃ ｅｎ ｌＯｂｅｔＭａ ｉｕａｉ ， Ｄ ｒ ｔＫ ｒ ｅ ｅ ｊｃ ｎｐ ｌｔ ｎ ｏ
中 圈 分 类 号 ：ＴＰ １ ． ３６７ 文 献 标 识 码 ：Ａ
ＡＢ ＴＲＡＣＴ Ｔｈ ｓ ｐ ｐ ｒｓ ｕ ｉｄ ｔ ｅｅ ｉｔｎ ｉ ｄ ｎ ｐ ｏ ｅ ｓｔ ｃ ｎ ｑ ｅ ｆｒ ｏ ｋ ｔ ｎ Ｗ ｉ ｄ ｗｓ ｎ ｈ ｎ ｐ ｏ ｏ ｅ ｉ ｄ ｎ ｐ ｏ ｅ ｓ Ｓ ｉ ａ ｅ ｔ ｄ ｅ ｈ ｘｓ ｉ ｇ ｈ ｄ ｅ ｒ ｃ ｓ ｅ ｈ ｉ ｕ ｓｏ ｏ ｔ ｉ ｉ ｎ ｏ ，ａ ｄ ｔ ｅ ｒ ｐ ｓ ｄ ａ ｈ ｄ ｅ ｒ ｃ ｓ ｄ ｔ ｃ ｉ ｎ ｔ ｃ ｎ ｑ ｅ ｏ ｏ ｔ ｉ ｂ ｓ ｄ ｏ ｒ ｓ － ｉｗ． Ｔｈ ｓ ｔ ｃ ｎ ｑ ｅ ｄ ｔ ｃ ｓ ｈ ｄ ｅ ｒ ｃ ｓ ｙ ｃ ｍｐ ｒｎ ｈ ｒ ｃ ｓ ｉｔ ｔ ｉ ｅ ｅ ｅ ｔ ｅ ｈ ｉ ｕ ｆｒ ｏ ｋ ｔ ａ ｅ ｎ ｃ ｏ ｓ ｖ ｅ ｏ ｉ ｅ ｈ ｉ ｕ ｅ ｅ ｔ ｉ ｄ ｎ ｐ ｏ ｅ ｓ ｂ ｏ ａ ｉ ｇ ｔ ｅ ｐ ｏ ｅ ｓ ｌ ｓ ａ ｔ ｎ ｄ ｓ ａ ｆ ｏ ｏ ｅ ａ ｉ ｇ ｓ ｓｅ ｈ ｇ －ｅ ｅ ｎ ｏ ｌ ｖ ｌｒ ｓ ｅ ｔｖ ｌ ． Ｉ ａ ｔｃ ｌ ｒ ｈ ｏ ｌ ｖ ｌｐ ｏ ｅ ｓ ｌ ｔ ｉ ｔ ｉ ｅ ｙ ｓ ａ ｃ ｉ ｇ ｔ ｅ ｒ ｍ ｐ ｒ ｔｎ ｙ ｔ ｍ ｉｈ ｌ ｖ ｌａ ｄ ｌ ｗ— ｅ ｅ ｐ ｃ ｉｅ ｙ ｎ ｐ ｒ ｉｕ ａ ，ｔ ｅ ｌ ｗ—ｅ ｅ ｒ ｃ ｓ ｉ ｓ ａ ｔ ｎ ｄ ｂ ｅ ｒ ｈ ｎ ｈ ｅ ｓ ａ
技术 。 技术 通过 比较从操作 系统 的高层和底 层获取 到 的进 程 列表来 检测 被 Ｒ ｏｋｔ 隐藏 的进程 ， 中， 该 ｏ ｔｉ 所 其 底层 进 程 列表 是 通过搜 索 内存 中的 内核对 象来获 得 的。实验表 明 ，该 技 术具 有较 好 的检 测效果 。
【 键 词 】 Ｒｏ ｔｉ， 进 程 隐藏 ， 内存 搜 索 关 ｏｋｔ
１ ２ 内核 级 Ｒ ｏｋｔ ． ｏ ｔｉ 的进 程 隐藏技术
行 隐 藏 ， 而使入 侵者 进入 被攻 占的系统 后 所 引起 的 从
变化 （ 启 动 了新进 程 、 如 增加 了新 文 件等 ） 被受 害者 不
察觉 。 中 ， 其 对特定进 程的隐藏是 Ｒ ｏｋｔ ｏ ｔｉ技术 中的一
种 典型 应用 。 将进 程隐藏起来 ， 意味着程 序可 以在不被
Ｗｉｄ ｗｓ 基 于交 叉视 图 的 Ｒｏ ｔｉ进 程 隐 藏 检 测 技 术 ｎｏ 下 ｏｋｔ
文章 Hale Waihona Puke Baidu 号 ； ０ ３ ５ ５ （ ０ １ Ｏ — ０ ６ ０ １ ０ —８ ０ ２ １ ） ５ ０ ５ — ２
Ｗｉｄ ｗ ｎ ｏ ｓ下基 于交叉视 图的 Ｒｏ ｔｉ 进 程 隐藏 检 测技 术 ｏｋｔ
Ｒｏ ｔ ｉ 初 出现 于 Ｕｎｘ系统 ， １ ９ ｏｋｔ最 ｉ 在 ９ ９年 的 时
Ｆ ｎ ｔ ｎＨｏ ｋｎ ） ｕ ｃｉ ｏ ｉｇ 。导入地址 表 （ ｏ Ｉ ＡＴ） 子通过 进入 钩
候 ， ｅ ｇｕ ｄ开 发 出 了 针 对 Ｗｉｄ ｗｓ系 统 的 Ｇｒｇ Ｈｏ ｌｎ ｎｏ Ｒ ｏ ｋｔ 此 后 ， ｎ ｏ ｏｋｔ 术 得 到 了快 速发 ｏ ｔｉ， Ｗｉｄ ｗｓＲｏ ｔｉ 技
ｋ ｒ ｅ ｂ ｅｔ ｎｍｅ ｒ ．Ｅｘ ｅ ｉ ｎ ｓｓ ｏ ｔ ａ ｈｓｔｃ ｎｑ ｅｏ ｓｓ ｔ ｆ ｄ ｄ ｔｃｉｎｅｆｃ． ｅ ｎ ｌｏ ｊｃｓｉ ｍｏ ｙ ｐ ｒｍｅ ｔ ｈ ｗ ｈ ｔｔ ｉ ｅ ｈ ｉｕ ｗｎ ａｉ ｉ ｅｅ ｔ ｆｅ ｔ ｓｅ ｏ
ＫＥＹＷ ＯＲＤＳ ｒ ｏ ｋ ｔ ｐ ｏ ｅ ｓｈ ｄ ｎ ， ｍｅ ｒ ｅ ｒ ｈ ｏ ｔ ｉ， ｒ ｃ ｓ ｉ ｉ ｇ ｍｏ ｙ ｓ ａ ｃ
对 Ｗｉｄ ｗｓ系统 中的进程 、 ｎｏ 文件 、 口、 端 驱动程 序等进
钩子 函数 的地址 。这样 ， 当调用 目标 函数 时 ， 就会 执行 钩子 函数 而不是 原始 的 ＡＰ 函数 。 内联 函数 钩子常 Ｉ 而 常直接 把 目标 函数 的前 ５ 字节 修改 为一个 无条 件跳 个
转 指令 Ｊ ＭＰ， 跳转 指 向 Ｒ ｏｋｔ 该 ｏ ｔｉ 钩子 。
到 目标 程 序 的地 址 空 间 ， 析 内存 中 目标 程 序 的 Ｐ 分 Ｅ 格 式 ， 到 Ｉ Ｔ 中 目标 Ａ Ｉ 找 Ａ Ｐ 函数 的地址 ， 后 替换 为 然
展 。 ｏｋｔ Ｒｏ ｔｉ 是能够 持久且难 于检测地存 在 于计 算机 之 中的一 组程 序和代码 ［ 。 用 Ｗｉｄ ｗ ｏ ｔｉ， 以 １ 利 ］ ｎ ｏ ｓＲ ｏｋｔ可