Win32Rootkit的进程隐藏检测技术

A c a d e m i c R e s e a r c h

学术研究

62

收稿日期：2008-09-17

作者简介：林卫亮，1982年生，硕士研究生，研究方向：网络攻击与防御；王轶骏，1980年生，讲师，研究方向：网络主动防御技术与操作系统安全机制；薛质，1971年生，教授，研究方向：计算机通信网、信息安全、网络安全攻防与评测。

林卫亮，王轶骏，薛质

(上海交通大学信息安全工程学院，上海 200240)

【摘 要】Ｒｏｏｔｋｉｔ是现今一种越来越流行的系统底层隐蔽机制及其相应的实现程序，能够让攻击者长期保持对系统的最高控制权限，其中，实现进程的隐藏是Ｒｏｏｔｋｉｔ的最常见功能之一。论文针对Ｗｉｎ３２　Ｒｏｏｔｋｉｔ的进程隐藏检测的若干技术方法进行了深入研究和实现，分析比较了各自的优缺点，并最终提出了这项技术在未来的展望。【关键词】Ｒｏｏｔｋｉｔ　Ｗｉｎ３２；进程隐藏；检测

【中图分类号】ＴＰ３０９ 【文献标识码】Ａ 【文章编号】１００９－８０５４（２００９）　０３－００６２－０２

Technology of Hidden Process Rootkit on Win32

LIN Wei-liang, WANG Yi-jun, XUE Zhi

(Information Security Engeneering School of Shanghai Jiaotong University, Shanghai 200240, China)

【Abstract 】Rootkit is a system layer hidden mechanism and implementation program and is becoming more and more popular. It is designed to take fundamental control of a computer system, without authorization by the system owners and legitimate managers. Concealing running processes is one of the Win32 Rootkit 's standard functions. In this paper, the techniques for detecting this kind of Win32 Rootkit, are studiues and implemented their advantages and disadvantages analyzed and compaired, Finally, some prospects for this technique are proposed.【Keywords 】Rootkit Win32; Concealing running processes; detection

Win32 Rootkit 的

进程隐藏检测技术

0 引言

现今，Ｒｏｏｔｋｉｔ是入侵者在侵入目标系统后用以长期隐蔽的重要技术，并能够使其保持目标系统上的最高权限，即传统意义上的“ｒｏｏｔ”用户。Ｒｏｏｔｋｉｔ分为用户层Ｒｏｏｔｋｉｔ和内核层Ｒｏｏｔｋｉｔ，其中，基于内核层Ｒｏｏｔｋｉｔ技术的恶意代码凭借深入的底层隐蔽技术，能够躲避绝大多数防火墙的拦截以及杀毒软件的查杀，对计算机安全构成极大的威胁［１］。

本文针对目前流行的Ｗｉｎ３２　Ｒｏｏｔｋｉｔ的进程隐藏检测技术进行了深入研究和实现，并比较了各自的优缺点。

1 隐藏进程的检测技术

进程隐藏是Ｗｉｎ３２平台下Ｒｏｏｔｋｉｔ的标准功能，只要能检测出隐藏的进程，就很有可能会发现Ｗｉｎ３２　Ｒｏｏｔｋｉｔ。下面我们深入分析隐藏进程检测的几种方法。１．１　Ｋｌｉｓｔｅｒ技术

Ｋｌｉｓｔｅｒ技术基本的原理是通过线程分配器找到所有的线程结构ＥＴＨＲＥＡＤ，然后依次找到ＥＴＨＲＥＡＤ所对应的进程结构ＥＰＲＯＣＥＳＳ，最后合并结果，就可以得到系统中所有真实运行的进程的列表。经过实验，在Ｗｉｎｄｏｗｓ　２０００系统中，我们可以检测到ＦＵ隐藏的进程，ｙｙｔ＿ｈａｃ｀ｓｎｔＲｏｏｔｋｉｔ１．２．２隐藏的进程ＲｔＫｉｔ．ｅｘｅ和ｈａｃｋｅｒｄｅｆｅｎｄｅｒ１．０．０隐藏的进程ｈｘｄｅｆ１００．ｅｘｅ。缺点是Ｋｌｉｓｔｅｒ

只能在Ｗｉｎｄｏｗｓ　２０００系统中使用。如果自己实现了内核的线程调度，就可以躲过Ｋｌｉｓｔｅｒ的检测。ＰＨＩＤＥ２　ｅｎｇｉｎｅ实现了这个调度方法躲过了Ｋｌｉｓｔｅｒ４．０的检测。１．２　挂钩ＳｗａｐＣｏｎｔｅｘｔ技术

由于Ｋｌｉｓｔｅｒ技术的局限性，Ｋｋａｓｌｉｎ提出了一种新的

信息安全与通信保密・2009.3

学术研究

A c a d e m i c R e s e a r c h

63

技术——挂钩ＳｗａｐＣｏｎｔｅｘｔ技术［２］。ＳｗａｐＣｏｎｔｅｘｔ函数位于Ｎｔｏｓｋｎｌ．ｅｘｅ中，在每次线程切换的时候执行，只要挂钩这个函数，就可以得到每次线程调度时换进换出的线程的信息。通过在内存中搜索２０个字节长的特征值来获取ＳｗａｐＣｏｎｔｅｘｔ函数的地址，在获得地址后，再利用Ｄｅｔｏｕｒ技术挂钩ＳｗａｐＣｏｎｔｅｘｔ函数。

经过实验，在Ｗｉｎｄｏｗｓ系统中能发现被Ｗｉｎ３２Ｒｏｏｔｋｉｔ隐藏的大部分进程。但缺点同Ｋｌｉｓｔｅｒ一样，如果Ｒｏｏｔｋｉｔ实现了内核的线程调度，也可以躲过ｓｗａｐ＿ｈｏｏｋ．ｓｙｓ的检测。１．３　遍历句柄表技术

Ｗｉｎｄｏｗｓ系统为了方便枚举进程，所有进程的句柄表之间通过ＬＩＳＴ＿ＥＮＴＲＹ链接起来。通过寻找任意进程的句柄表，然后遍历句柄表的链表就可以标识出系统上的所有进程。另外一个可以获得几乎全部进程句柄的方式就是遍历ＣＳＲＳＳ．ＥＸＥ进程的句柄表［１］，它拥有除Ｉｄｌｅ、Ｓｙｓｔｅｍ、ＳＭＳＳ．ＥＸＥ、ＣＳＲＳＳ．ＥＸＥ　４个进程之外的所有进程的句柄。通过遍历ＣＳＲＳＳ．ＥＸＥ中的句柄并标志出它们所指代的进程，可以得到一个数据集合。这种方式的缺点是如果Ｒｏｏｔｋｉｔ把要隐藏的进程的句柄从ＨＡＮＤＬＥ＿ＴＡＢＬＥ中删除，将检测不到隐藏的进程。１．４　ｐｓｐＣｉｄＴａｂｌｅ扫描技术

ｐｓｐＣｉｄＴａｂｌｅ是内核未导出的ＨＡＮＤＬＥ＿ＴＡＬＢＥ结构，它也保存着所有进程和线程对象的句柄，只要能遍历ｐｓｐＣｉｄＴａｂｌｅ句柄表，就可以遍历到系统的所有进程［３］。获得ｐｓｐＣｉｄＴａｂｌｅ有２种方法，分别为：在ＰｓＬｏｏｋｕｐＰｒｏｃｅｓｓＢｙＰｒｏｃｅｓｓＩｄ函数中搜索特征串定位ｐｓｐＣｉｄＴａｌｂｅ；利用ＫＤＤＥＢＵＧＧＥＲ＿ＤＡＴＡ３２结构得到ｐｓｐＣｉｄＴａｂｌｅ。在得到ｐｓｐＣｉｄＴａｂｌｅ后，就可以通过ＥｘＥｎｕｍＨａｎｄｌｅＴａｂｌｅ或ＰｓＬｏｏｋｕｐＰｒｏｃｅｓｓＢｙＰｒｏｃｅｓｓＩｄ来枚举进程。为了防止这些函数被ｈｏｏｋ，可以自己实现这些操作。

经过实验，在Ｗｉｎｄｏｗｓ　ＸＰ和Ｓｅｒｖｅｒ　２００３系统下能够发现系统中所有的进程。著名的Ｒｏｏｔｋｉｔ检测软件Ｂｌａｃｋｌｉｇｈｔ就是采用这种方法。这种技术方法的缺点与遍历句柄表一样，一旦Ｒｏｏｔｋｉｔ抹掉了ｐｓｐＣｉｄＴａｂｌｅ，这种技术也就无效了。１．５　内存暴力搜索

在３２位ｘ８６系统中，总的虚拟地址空间最大值为４ＧＢ，在默认情况下，Ｗｉｎｄｏｗｓ将从ｘ８０００００００到ｘＦＦＦＦＦＦＦＦ用作受保护的操作系统内存。内存的暴力搜索就是从系统内存ｘ８０００００００开始搜索每个进程的ＥＰＲＯＣＥＳＳ结构，Ｗｉｎｄｏｗｓ创建一个进程，内核中就有一个ＥＰＲＯＣＥＳＳ对

象与之对应，每个Ｗｉｎｄｏｗｓ内核对象都由２部分组成：对象头和对象体。在对象头中存储着这个对象的类型信息，通过比较这个信息就可以判断当前的对象是否为进程类型［４］：

＃ｄｅｆｉｎｅ　ＯＢＪＥＣＴ＿ＨＥＡＤＥＲ＿ＳＩＺＥ　０ｘ０１８＃ｄｅｆｉｎｅ　ＯＢＪＥＣＴ＿ＴＹＰＥ＿ＯＦＦＳＥＴ　０ｘ００８

ＯｂｊｅｃｔＴｙｐｅＡｄｄｒｅｓｓ＝ｐＥＰｒｏｃｅｓｓ－ＯＢＪＥＣＴ＿ＨＥＡＤＥＲ＿ＳＩＺＥ＋ＯＢＪＥＣＴ＿ＴＹＰＥ＿ＯＦＦＳＥＴ

通过ＯｂｊｅｃｔＴｙｐｅＡｄｄｒｅｓｓ判断当前对象是否为进程对象，如果是，则输出该进程信息，包括ＥＰＲＯＣＥＳＳ地址、进程ＩＤ和进程名。经过实验，内存暴力搜索具有强大的功能。通过比较其输出和任务管理器查询到的进程，可以发现所有Ｗｉｎ３２　Ｒｏｏｔｋｉｔ隐藏的进程。目前还没有发现可以躲过内存暴力搜索的Ｗｉｎ３２　Ｒｏｏｔｋｉｔ。也就是说，内存暴力搜索可以检测出其他检测方法所不能检测出的Ｒｏｏｔｋｉｔ。

2 结语

通过对检测方法的研究和实现，我们发现目前在内核中利用Ｒｏｏｔｋｉｔ来隐藏进程越来越难。而且现行的很多Ｒｏｏｔｋｉｔ检测软件也在不断升级并采用多种检测方法，这样就会得出比较正确稳定的结果。

Ｒｏｏｔｋｉｔ和Ａｎｔｉ　Ｒｏｏｔｋｉｔ的发展是不断促进的过程。有人提出抹掉进程全部句柄和修改进程内核对象来躲避检测，这种方法实现起来有比较大的技术难度。针对这种方法，我们觉得基于资源申请的检测是一种比较好的检测方法，因为任何进程在系统中运行，总要申请资源，这些资源不仅包括ＣＰＵ，还有内存申请、硬盘读写、网络端口等等，通过监控这些资源就会得到隐藏进程的信息。

参考文献

［１］　Ｇｒｅｇ　Ｈｏｇｌｕｎｄ，Ｊａｍｅｓ　Ｂｕｔｌｅｒ．　Ｒｏｏｔｋｉｔ：Ｓｕｂｖｅｒｔｉｎｇ

Ｔｈｅ　Ｗｉｎｄｏｗｓ　Ｋｅｒｎｅｌ［Ｍ］．　Ａｄｄｉｓｏｎ　ＷｅｓｌｅｙＰｒｏｆｅｓｓｉｏｎａｌ，２００６．

［２］　Ｋｉｍｍｏ．　Ｄｅｔｅｃｔｉｎｇ　Ｈｉｄｄｅｎ　Ｐｒｏｃｅｓｓ　ｂｙ　Ｈｏｏｋｉｎｇ　ｔｈｅ

ＳｗａｐＣｏｎｔｅｘｔ　Ｆｕｎｃｔｉｏｎ［ＤＢ／ＯＬ］．　ｈｔｔｐｓ：／／ｗｗｗ．Ｒｏｏｔｋｉｔ．ｃｏｍ／ｎｅｗｓｒｅａｄ．ｐｈｐ？ｎｅｗｓｉｄ＝１７０，ＡＵＧ．２００４．

［３］　Ｊｉｍｈｏｋｉｎ．Ｄｅｔｅｃｔｉｏｎ　ｏｆ　Ｈｉｄｄｅｎ　Ｐｒｏｃｅｓｓ［ＤＢ／ＯＬ］．

ｈｔｔｐｓ：／／ｗｗｗ．Ｒｏｏｔｋｉｔ．ｃｏｍ／ｎｅｗｓｒｅａｄ．ｐｈｐ？ｎｅｗｓｉｄ＝４３４，ＪＡＮ　２００６．

［４］　Ｒｕｓｓｉｎｏｖｉｃｈ　Ｅ　Ｍａｒｋ，Ｓｏｌｏｍｏｎ　Ａ　Ｄ．　深入解析

Ｗｉｎｄｏｗｓ操作系统［Ｍ］．　４版．北京：电子工业出版社，２００７．