Windows RootKit进程隐藏与检测技术的研究
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
隐 藏 。Ｗ ｉ ｄ ｗｓ 统 将 所 有 的进 程 对 象Ｅ Ｒ ｎｏ 系 Ｐ ＯＣＥ Ｓ Ｓ
在 内核模式下， ｎ ｏ ｏＫｉ Ｗｉｄ ｗｓ Ｒｏ ｔ ｔ 进程隐藏方法主 要有通过挂钩系统服务描述表（Ｓ ）Ｂ Ｓ ＤＴ ￣ 直接修改操作 系统用于监控系统资源的数据（ Ｋ Ｍ技术１ Ｄ Ｏ 。 ２２１通过挂钩系统服务描述表（ Ｓ ） ．． Ｓ ＤＴ， 实现进程
操作 系统通 过创建相关 内核对象 来登记 和审计 系 统资源， ＯＭ则通过修改这些内核对象来隐藏特定资 ＤＫ 源， 即主要通过修改活动进程列表实现进程隐藏 。
＆ Ｅ ｒｃｓ ； ｐ ｐｏｅｓ ） Ｒ ｍｏ ｅ ｎｒ Ｉｓ（ Ｌ Ｓ ＮＴ Ｙ） Ｐ ＨＡＲ ｅ ｖ Ｅ ｔ ． ｔ Ｐ Ｉ ＴＥ Ｒ （ ＵＣ ｙｉ （ （ ）
ｐ ｐｏ ｅ ｓ ｘ ）； Ｅ ｒｃ ｓ ＋０ Ａ０）
Ｎ Ｑ ｅ Ｓ ｓ ｍｌｆｒ ｉｎ ｔ ｕ ｒ ｙｔ ｎｏｍａ 修改其返回数据， 除需要隐 ｙ ｅ ｏ 删 藏的进程 的信息。 ２２ ．２通过直接 内核对 象操作技术（ Ｏ ， ． ＤＫ Ｍ） 实现进
摘 要 ： 目前木马制造者趋于利用Ｒ ｏＫｔ ｏｔｉ 技术来 隐藏它们 的进程 ，危害信息与网络安全。重点从用户和 内核两种模式深入 剖析 Ｗｉｄ ｗｓ ｏ ｔ ｔ ｎ ｏ ｏＫｉ Ｒ 隐藏进程 技术 ，并提 出基于进程表 的综合检测机制。测试 证明：只有从用户和 内核两种模式下应用
多 种 进 程 表 检 测 技 术 ， 才 是 安全 检 测 隐藏 进 程 更 为 有 效 的方 法 。
收 稿 日期 ：２ １－１１ ０ １０ —１
ｈ ｅ ｔ ｈｅ＝ ｒａ Ｒ ｍ ｔ ｈｅｄｈ ｅ ｏｅ ｒｃ Ｒ ｍｏ Ｔ ｒｄ Ｃｅｔ ｅ ｏｅ ｒａ（Ｒ ｍ ｔ ｏｅ ｅ ｅ Ｔ Ｐ
ｓ， ｓ ＮＵＬ ，，ｆ ＳａＡｄ ｒ ｓＬ ｂ ｉ Ｒ ｍｏｅ ， Ｌ０ｐ ｎ ｔｒ ｄ， ｚ ｉＦｌ ｅ ｔ， ＮＵＬ ） ｐ ｅ ０ Ｌ； ２１年５ ０ １ 月
Ｃ ｅ ｔＲ ｍｏｅ ｈ ｅｄ ｒａｅ ｅ ｔＴ ｒａ 函数在远程进程中创建一个线程，
将其注入其他进程（ 地址ｐｎ ｔｒ ｄ） ｆＳａＡｄ ｒ 的内存空间， 最后 这个ｄ ｌ ｌ 里的代码就成为其他进程的一 部分来实现 了自
身 的 隐藏 。
值就是 当前进程 的Ｆ Ｉ Ｌ ＮＫ了（ 如图１ 所示） 。这个值 因系
ｐ ｚ ｂ ｉ Ｒｅ ｔ） ｓ ＬｉＦ ｌ ｍｏ ｅ通过Ｗｒ ｅ ｒ ｃ ｓＭｅ ｒ 函数 ｅ ｉ Ｐ ｏ ｅ ｓ ｍｏｙ ｔ 载 入 内 存 ， 后 通 过 “线 程 注 入 ”技 术 ， 使 用 然 即
一
①定位双向链表， 确定当前进程 。Ｗｉｄ ｗｓ ｎ ｏ 具有唯 的 内核处 理器控制块结构（ ＲＣ ） 总是位于 内 ＫＰ Ｂ ， 它 存地址０ ｆｄｆ２ 处， ｘｆｆｌ０ 这个地址偏移０ １４ ｘ ２ 就是指向当前 Ｅ ＨＥ Ｅ Ｄ的指针， Ｔ Ｒ Ａ 从这个Ｅ ＨＲ Ａ 再往下偏移一个 Ｔ Ｅ Ｄ
Ｋ ｙ ｏｄ ： ｎ ｏ ｓ ｏ ｔ ｉ ｒｍ ｔ ｈｅ ｄ ｎｅｔ ｎ Ｄ ｏ ｐｏ ｅｓ ｉ ｅ ｒ ｓＷｉ ｗ ｏＫ ｔ ｅ ｏｅ ｒａ ｊｃ ｏ ； ｋ ｍ； ｒｃ ｓ ｓ ｗ ｄ Ｒ ； ｔ ｉ ｉ Ｌ ｔ
随着 网络 的普及与发展 ， 网络安全 问题 日益突 出，
一
（） １ 用户模式下， 修改程序执行路径。 （） ２ 内核模式下 ， 制和修改操作 系统 内核 结构和 控
代码。
部 分 木 马制 造 者 已将触 角 深 入 系 统底 层 来 隐 藏 木 马，
通 过 修 改 操 作 系 统 内核 来 隐 藏 自己， 骗 用 户 ， 就 是 欺 这
Ｒ ｏＫｉ ｏｔ ｔ 。Ｒｏ ｔ ｔ ｏＫｉ 的隐藏特性严重影 响系统的安全性
和可靠性， 而Ｒｏ ｔ ｔ 程 隐藏 已成 为管 理 员和 安 全 检 ｏＫｉ 进 测 软件 所 面 临 的 最为 迫 切 的 安全 威胁 。
关键词 ：Ｗｉｄ ｗ ｏ ｔ ｔ ｎ ｏ ｓ ｏ ；远程线程注入 ；Ｄｋ ｍ：进程表 Ｒ Ｋｉ ｏ
Ｒｅ ｅ ｒｈ ｏ ｉｄ ｗｓ ｏＫｉｈｄ ｅ ｒ ｃ ｓ ｎ ｅｅ ｔ ｎｔｃ ｎ ｌｇ ｓ ａｃ ｎＷ ｎ ｏ Ｒｏ ｔ ｔ ｉｄ ｎｐ ｏ ｅ ｓ ｄｄ ｔｃｉ ｈ ｏｏ ｙ ａ ｏ ｅ
ａ ｔ ｏ ｋ． ｉ ｒｉｌ ｏ ｕ ｅ ｎ ｉ ｈｅｔ ｏ ｍ ｏ ｅ ｆｕｓ ｒａ ｄ ｋ ｒ ｅ， ｈｓｔ ｓｓａ ａｙｓ ｓｉ ｄｅａｌｔｅｈｉｄｅ ｐ ｏ ｅ ｓｔｃ ｎ ｏ ｙ ｉ ｎｄｎｅｗ ｒ Ｔｈ ｓａｔｃｅｆ ｃ ｓ ｓｏ ｕｓｎｇｔ ｄ ｓｏ ｅ ｅ ｌｔ ｉ ｗ ｎ ｎ ｈｅ ｉ ｎ ｌ ｅ ｎ ｔ ｉ ｈ ｄ ｎ ｒ ｃ ｓ ｅ ｈ ｏｌｇ ｎ Ｗ ｉｄ ｎ ｏｗｓＲｏ ｔ ｔ Ｉ ｌｏｐｏｎ ｕ ｅｄｅｅ ｔｏ ｃ ａ ｉｍ ｓｄ ｎｐｒ ｃ ｓ Ｌｉｔ Ｔｅ ｔ ｅ ｕｌ ｏ ｅ ｈ ｔ ｎｌ ｐ ｙｎｇｖ ｒｏ ｒ ｃ ｓ Ｌｉｔ ｏ Ｋｉ． ｔ ｓ ｉｔｏ ｔｔ ｔ ｃｉｎ ｍｅ ｈ ｓ ｂａ ｅ ｏ ｏ ｅ ｓ ｓ． ｓ ｓ ｔ ｐｒ ｖ ｄｔ ａ ｙａ ｐｌｉ ａ ｕｓｐ ｏ ｅ ｓ ｓ ａ ｈ ｎ ｒ ｓ ｏ ｉ ｄ ｔｃｉ ｅ ｈ ｌｇ ｆｏ ｔ ｏｍ ｏ ｅ ｆｕ ｅ ｎ ｒ ｅ ａ ｅｔ ｓ ｅｈｉｄｅ ｏ ｅ ｓｍ ｏ ｅｓ ｆｌ ｎ ｆｅ ｔｖ ｌ． ｅｅ ｔ ｔｃ ｎｏｏ ｙ ｒ ｍ ｄ ｓｏ ｓ ｒａ ｄＫｅ ｌ ｎｗ ｅ ｔ ｄ ｎｐｒ ｃ ｓ ｒ ａ ｅｙ ａ ｄｅ ｃｉ ｅｙ ｎｇ ｗ ｎ ｃ ｈ ｔ
Ｗｉｄ ｗｓ ｏＫｉ ｎｏ ｔ ｔ Ｒｏ 是一个程序 的集合， 用于实现 自 身及系统中特 定资源和活动 的隐藏， 破坏可信任计算机 的完整性 。攻击者通过在系统 中种植Ｒ ｏＫｉ维护一 ｏｔ ｔ ，
个 系 统 后 门， 以管 理 员 权 限控 制 系 统 ， 且 通 过 隐 藏 进 并
程 、文件 、端 口、句柄、注 册表项 、键值等来 隐藏攻
击行为。
程线程注入ｄｌ ｌ 是该技术中最佳方法， 为进程 隐藏提供了
２ Ｗ ｄ ｗ ｏ ｔ 进程隐藏技术分析 ｏ ｓ Ｒ ｏ Ｋ ｉ ｎ ｉ ｔ
从运行环境和隐藏手段看， 主要可归结为２ ： 类
更大的灵活性 。 ２１ ．２远程线程注入ｄｌ ． １隐藏进程 ， 远程线程注入ｄｌ ｌ 其意义是将ｄｌ ｌ 文件嵌入到正在运 行的系统进程当中。ｄ ｌ ｌ 文件是 由多个功能函数构成， 它 并不能独立运行， 所以在进程列表 中并不会出现ｄ 。 ｌ １
Ｌｉ ｅ ｈ ｎ ｕ Ｚｈ ｎｇ ｏ ｇ
Ｂ ｉｎ ｏ ａ ｏ ａｃ ｌ ｇ ｆ ｌｃ ｏ ｉ ｓｉｎｅ ｎ ｃｎ ｌｇ ， ｅ ｉｇ １０ ７ ， ｈｎ ｅ ｉｇｖ ｃｔ ｎ ｌｏｌ ｅｏ ｅｅｔ ｎｃ ｃｅｃ ｄ ｅｈ ｏｏ ｙＢ ｉｎ ，０ １６ Ｃ ｉａ ｊ ｉ ｅ ｒ ａ ｔ ｊ
程 隐藏
Ｒ ｍｏ ｅ ｎｒ Ｌ ｓ （ Ｌ Ｓ ＮＴ Ｙ （ ＵＣ ＡＲ ｅ ｖ Ｅ ｔ ｉｔ Ｐ Ｉ Ｔ Ｅ Ｒ ） Ｐ Ｈ ） ｙ （ （ ｐ ｐｏｅｓ ０ ８） Ｅ ｒｃｓ ｘ ８ ； ＋ ） 通 过 调用 Ｐ Ｌ ｏ ｕ Ｐｏ ｅｓ ｙ ｒｃ ｓＩ例 程 得 到 ｓ ｏ ｋ ｐ ｒ ｃｓＢ Ｐ ｏ ｅｓｄ 指 向指 定Ｐｏ ｅｓ 的Ｅ Ｒ Ｅ Ｓ 象 的指 针 ， 后 调 用 ｒｃ ｓｌ ｄ Ｐ ＯＣ Ｓ 对 然 Ｒ ｍ ｖ Ｅ ｔ Ｌｓ 其从 链 表 上摘 下 。 ｅ ｏ ｅ ｎｒ ｉ 将 ｙ ｔ
下 来 ，ｔ ｕｒＳ ｓ ｍｌｆｒ ｔ ｎ 数最 终 遍 历 该链 表 返 Ｎ Ｑ ｅ ｙｔ ｎｏｍａ ｏ ￣ ｙ ｅ ｉ
Ｓ ＤＴ 是 函 数 地 址 表 ， 中 存 放 了 所 有 系 统 服 Ｓ 表 其
Hale Waihona Puke Baidu
务 函 数 的 入 口地 址 。系 统服 务 调 度 程序 通 过 查 找 Ｓ ＤＴ Ｓ 来调用 相应的系统服 务。因此， ｏ Ｋｉ 以将 Ｒｏ ｔ ｔ 可 Ｓ ＤＴ中的系 统服 务地址 替换 为 自己代 码 的地址 ， Ｓ 由 Ｒｏ ｔ ｔ 码调 用 真正 的系 统服 务 并对 结果 作相 应 ｏ Ｋｉ 代
处 理， 过 Ｈｏ ｋ 再通 ｏ 劫持 Ｚ ｗＱｕ ｒ Ｓ ｓｅ ｎｏｍａｉｎ ｅｙ ｙ ｔｍｌｆｒ ｔ 或 ｏ
回进程相 关的信息， 将无法检测到从Ｐ Ａ ｔ ｅ ｉｋ ｓ ｃｉ Ｌ ｎ 链表 ｖ 中摘下的当前进程 。部分实现代码是 ：
ｎＳａｕ ｔｔｔｓ＝Ｐ Ｌ ｏ ｕ Ｐ ｏ ｅｓ ｙ ｒｃ ｓｌ（ ｒ ｃｓｌ， ｓ ｏ ｋ ｐ ｒｃ ｓＢ Ｐ ｏ ｅｓ Ｐｏ ｅｓｄ ｄ
隐 藏
链 接 到ＡＣ ｉ ｅ ｒ Ｃ ｓ Ｌｉ ｋ ， 链 表 由一个 未 导 ｔｖ Ｐ ｏ ｅ ｎ 上 但 ｓ 出 内核 全 局变 量Ｐ Ａｃ ｉ ｅ ｒ ｃ Ｓ Ｈｅ ｄ通 过遍 历 ｓ ｔｖ Ｐ ｏ ｅ ｓ ａ ， Ａｃ ｖ Ｐ ｏ ｅｓ ｉｋ ｔ ｅ ｒｃ ｓＬｎ 可以获得所有 的进程信 息， ｉ 如果将一 个 当前进程Ｅ Ｒ Ｃ Ｓ 对象从Ｐ Ａｃｉｅ ｉｋ Ｐ Ｏ Ｅ Ｓ ｓ ｔ Ｌ ｎ 链表上摘 ｖ
主要是通过远程线程注入技术 。 ２１ 远程线程注入技术 ．１ ． 是指通过在另一个进程 中创建远程线程的方法进 入进程 的内存地址空间。其 核心是产生一个特殊的线 程， 这个线程能够将一段执行代码连接到另一个进程所 处 的内存空间里， 作为另一个进程 的其中一个非核心线
程 来 运 行， 而达 到交 换 数 据 隐藏 自身 的 目的 。其 中远 从
Ａ ｓ ａ ｔＡ ｒ ｅ ｔ ｅ ｅｉ ｅｓ ｆ ｒ ａ ｒ ｎ ｓ ｅ ｏ ｔ ｉｔ ｈ ｉ ｅ ｏ ｉｅ ｈ ｉ ｐｏ ｅｓ ｎ ａ ｔｅ ａｅ ｆｎｏ ￣ ｏ ｂｔ ｃ： ｔ ｅ ｎ ｓ ｎ ｒ ｏ ｏ ｎ ｒ ｐ ｓ ｔ ｄ ｇ Ｔ ｊ Ｈｏｓ ｔ ｄｔ ｕｅ ｈ ｏ ｔｅ ｎｑ ｄ ｅ ｒｃ ｓ ａ ｄｈ ｒ ｈ ｆ ｙｏ ｆｒ ｉ ｈ ｅｅ ｏ ｔ Ｒ Ｋ ｃ ｕ ｔ ｈ ｔ ｒ ｍ ｓ ｔ ｉ ｍ ｎ
Ｓ ＳＮ１ ７ ． ４ ８ ６ ２１ ３
ＣＮ ＇ ４９ ４／ １ ． ９ Ｔ
中国 观代欺有 备 装
２ １９ 总 第期 ０年１ １２ 第 期 １
Ｗ ｏ ｓＲ Ｋ ｄ ｗ ｏ 进程隐藏与检测技术的研究 ｉ ｎ ｏ ｉ ｔ ｔ
刘 正宏
北京 电子科技职业学 院 北京 １ ０ ７ ０１６
作者简介：刘正宏，硕士，高级讲师 ，系主任 。
２ ４
２ １ 年第９ ０１ 期
总 １期 第２ １
中 观代 装 国 孝 备
（） ２进程 隐藏实现
Ｓ １ ２４ Ｃ １ —３ Ｓ １ １８ Ｎ６ ４／－ Ｎ ４９９ １ ７
－
首 先 把 一 个 实 际 为木 马 主 体 的ｄｌ文 件 （ 数 ｌ 参
这两种方式都可 以通过挂钩系统重要 函数模块、 修 改系统中重要数据结构等途径， 对系统进程的相关信 息进行劫持与修改， 以达隐藏进程 的 目的。 ２１ ． 修改程序执行路径， 实现进程隐藏
在 用 户 模 式 下 ， 改 程 序 执 行 路 径 ， 现 进 程 隐 藏 修 实
１ Ｗ ｄ ｗ ｏ ｔ ｉ介 绍 ｉ ｏｓＲｏＫｔ ｎ
统不 同而各不相同， ｎ ｏ ２ ０ 下是０ Ａ０ ｎ ｏ Ｗｉｄ ｗｓ０ ０ ｘ ， ｄ ｗｓ Ｗｉ
ｘ 下是 ０ ８ 。 ｐ ｘ ８
２ ． ２控制和修改操作系统 内核结构和代码， 实现进
程 隐藏
② 从Ｐ Ａｃ ｉ ｅ ｉ ｋ 表上 摘 下 当前进 程， ｔｖ Ｌ ｎ 链 ｓ 实现
在 内核模式下， ｎ ｏ ｏＫｉ Ｗｉｄ ｗｓ Ｒｏ ｔ ｔ 进程隐藏方法主 要有通过挂钩系统服务描述表（Ｓ ）Ｂ Ｓ ＤＴ ￣ 直接修改操作 系统用于监控系统资源的数据（ Ｋ Ｍ技术１ Ｄ Ｏ 。 ２２１通过挂钩系统服务描述表（ Ｓ ） ．． Ｓ ＤＴ， 实现进程
操作 系统通 过创建相关 内核对象 来登记 和审计 系 统资源， ＯＭ则通过修改这些内核对象来隐藏特定资 ＤＫ 源， 即主要通过修改活动进程列表实现进程隐藏 。
＆ Ｅ ｒｃｓ ； ｐ ｐｏｅｓ ） Ｒ ｍｏ ｅ ｎｒ Ｉｓ（ Ｌ Ｓ ＮＴ Ｙ） Ｐ ＨＡＲ ｅ ｖ Ｅ ｔ ． ｔ Ｐ Ｉ ＴＥ Ｒ （ ＵＣ ｙｉ （ （ ）
ｐ ｐｏ ｅ ｓ ｘ ）； Ｅ ｒｃ ｓ ＋０ Ａ０）
Ｎ Ｑ ｅ Ｓ ｓ ｍｌｆｒ ｉｎ ｔ ｕ ｒ ｙｔ ｎｏｍａ 修改其返回数据， 除需要隐 ｙ ｅ ｏ 删 藏的进程 的信息。 ２２ ．２通过直接 内核对 象操作技术（ Ｏ ， ． ＤＫ Ｍ） 实现进
摘 要 ： 目前木马制造者趋于利用Ｒ ｏＫｔ ｏｔｉ 技术来 隐藏它们 的进程 ，危害信息与网络安全。重点从用户和 内核两种模式深入 剖析 Ｗｉｄ ｗｓ ｏ ｔ ｔ ｎ ｏ ｏＫｉ Ｒ 隐藏进程 技术 ，并提 出基于进程表 的综合检测机制。测试 证明：只有从用户和 内核两种模式下应用
多 种 进 程 表 检 测 技 术 ， 才 是 安全 检 测 隐藏 进 程 更 为 有 效 的方 法 。
收 稿 日期 ：２ １－１１ ０ １０ —１
ｈ ｅ ｔ ｈｅ＝ ｒａ Ｒ ｍ ｔ ｈｅｄｈ ｅ ｏｅ ｒｃ Ｒ ｍｏ Ｔ ｒｄ Ｃｅｔ ｅ ｏｅ ｒａ（Ｒ ｍ ｔ ｏｅ ｅ ｅ Ｔ Ｐ
ｓ， ｓ ＮＵＬ ，，ｆ ＳａＡｄ ｒ ｓＬ ｂ ｉ Ｒ ｍｏｅ ， Ｌ０ｐ ｎ ｔｒ ｄ， ｚ ｉＦｌ ｅ ｔ， ＮＵＬ ） ｐ ｅ ０ Ｌ； ２１年５ ０ １ 月
Ｃ ｅ ｔＲ ｍｏｅ ｈ ｅｄ ｒａｅ ｅ ｔＴ ｒａ 函数在远程进程中创建一个线程，
将其注入其他进程（ 地址ｐｎ ｔｒ ｄ） ｆＳａＡｄ ｒ 的内存空间， 最后 这个ｄ ｌ ｌ 里的代码就成为其他进程的一 部分来实现 了自
身 的 隐藏 。
值就是 当前进程 的Ｆ Ｉ Ｌ ＮＫ了（ 如图１ 所示） 。这个值 因系
ｐ ｚ ｂ ｉ Ｒｅ ｔ） ｓ ＬｉＦ ｌ ｍｏ ｅ通过Ｗｒ ｅ ｒ ｃ ｓＭｅ ｒ 函数 ｅ ｉ Ｐ ｏ ｅ ｓ ｍｏｙ ｔ 载 入 内 存 ， 后 通 过 “线 程 注 入 ”技 术 ， 使 用 然 即
一
①定位双向链表， 确定当前进程 。Ｗｉｄ ｗｓ ｎ ｏ 具有唯 的 内核处 理器控制块结构（ ＲＣ ） 总是位于 内 ＫＰ Ｂ ， 它 存地址０ ｆｄｆ２ 处， ｘｆｆｌ０ 这个地址偏移０ １４ ｘ ２ 就是指向当前 Ｅ ＨＥ Ｅ Ｄ的指针， Ｔ Ｒ Ａ 从这个Ｅ ＨＲ Ａ 再往下偏移一个 Ｔ Ｅ Ｄ
Ｋ ｙ ｏｄ ： ｎ ｏ ｓ ｏ ｔ ｉ ｒｍ ｔ ｈｅ ｄ ｎｅｔ ｎ Ｄ ｏ ｐｏ ｅｓ ｉ ｅ ｒ ｓＷｉ ｗ ｏＫ ｔ ｅ ｏｅ ｒａ ｊｃ ｏ ； ｋ ｍ； ｒｃ ｓ ｓ ｗ ｄ Ｒ ； ｔ ｉ ｉ Ｌ ｔ
随着 网络 的普及与发展 ， 网络安全 问题 日益突 出，
一
（） １ 用户模式下， 修改程序执行路径。 （） ２ 内核模式下 ， 制和修改操作 系统 内核 结构和 控
代码。
部 分 木 马制 造 者 已将触 角 深 入 系 统底 层 来 隐 藏 木 马，
通 过 修 改 操 作 系 统 内核 来 隐 藏 自己， 骗 用 户 ， 就 是 欺 这
Ｒ ｏＫｉ ｏｔ ｔ 。Ｒｏ ｔ ｔ ｏＫｉ 的隐藏特性严重影 响系统的安全性
和可靠性， 而Ｒｏ ｔ ｔ 程 隐藏 已成 为管 理 员和 安 全 检 ｏＫｉ 进 测 软件 所 面 临 的 最为 迫 切 的 安全 威胁 。
关键词 ：Ｗｉｄ ｗ ｏ ｔ ｔ ｎ ｏ ｓ ｏ ；远程线程注入 ；Ｄｋ ｍ：进程表 Ｒ Ｋｉ ｏ
Ｒｅ ｅ ｒｈ ｏ ｉｄ ｗｓ ｏＫｉｈｄ ｅ ｒ ｃ ｓ ｎ ｅｅ ｔ ｎｔｃ ｎ ｌｇ ｓ ａｃ ｎＷ ｎ ｏ Ｒｏ ｔ ｔ ｉｄ ｎｐ ｏ ｅ ｓ ｄｄ ｔｃｉ ｈ ｏｏ ｙ ａ ｏ ｅ
ａ ｔ ｏ ｋ． ｉ ｒｉｌ ｏ ｕ ｅ ｎ ｉ ｈｅｔ ｏ ｍ ｏ ｅ ｆｕｓ ｒａ ｄ ｋ ｒ ｅ， ｈｓｔ ｓｓａ ａｙｓ ｓｉ ｄｅａｌｔｅｈｉｄｅ ｐ ｏ ｅ ｓｔｃ ｎ ｏ ｙ ｉ ｎｄｎｅｗ ｒ Ｔｈ ｓａｔｃｅｆ ｃ ｓ ｓｏ ｕｓｎｇｔ ｄ ｓｏ ｅ ｅ ｌｔ ｉ ｗ ｎ ｎ ｈｅ ｉ ｎ ｌ ｅ ｎ ｔ ｉ ｈ ｄ ｎ ｒ ｃ ｓ ｅ ｈ ｏｌｇ ｎ Ｗ ｉｄ ｎ ｏｗｓＲｏ ｔ ｔ Ｉ ｌｏｐｏｎ ｕ ｅｄｅｅ ｔｏ ｃ ａ ｉｍ ｓｄ ｎｐｒ ｃ ｓ Ｌｉｔ Ｔｅ ｔ ｅ ｕｌ ｏ ｅ ｈ ｔ ｎｌ ｐ ｙｎｇｖ ｒｏ ｒ ｃ ｓ Ｌｉｔ ｏ Ｋｉ． ｔ ｓ ｉｔｏ ｔｔ ｔ ｃｉｎ ｍｅ ｈ ｓ ｂａ ｅ ｏ ｏ ｅ ｓ ｓ． ｓ ｓ ｔ ｐｒ ｖ ｄｔ ａ ｙａ ｐｌｉ ａ ｕｓｐ ｏ ｅ ｓ ｓ ａ ｈ ｎ ｒ ｓ ｏ ｉ ｄ ｔｃｉ ｅ ｈ ｌｇ ｆｏ ｔ ｏｍ ｏ ｅ ｆｕ ｅ ｎ ｒ ｅ ａ ｅｔ ｓ ｅｈｉｄｅ ｏ ｅ ｓｍ ｏ ｅｓ ｆｌ ｎ ｆｅ ｔｖ ｌ． ｅｅ ｔ ｔｃ ｎｏｏ ｙ ｒ ｍ ｄ ｓｏ ｓ ｒａ ｄＫｅ ｌ ｎｗ ｅ ｔ ｄ ｎｐｒ ｃ ｓ ｒ ａ ｅｙ ａ ｄｅ ｃｉ ｅｙ ｎｇ ｗ ｎ ｃ ｈ ｔ
Ｗｉｄ ｗｓ ｏＫｉ ｎｏ ｔ ｔ Ｒｏ 是一个程序 的集合， 用于实现 自 身及系统中特 定资源和活动 的隐藏， 破坏可信任计算机 的完整性 。攻击者通过在系统 中种植Ｒ ｏＫｉ维护一 ｏｔ ｔ ，
个 系 统 后 门， 以管 理 员 权 限控 制 系 统 ， 且 通 过 隐 藏 进 并
程 、文件 、端 口、句柄、注 册表项 、键值等来 隐藏攻
击行为。
程线程注入ｄｌ ｌ 是该技术中最佳方法， 为进程 隐藏提供了
２ Ｗ ｄ ｗ ｏ ｔ 进程隐藏技术分析 ｏ ｓ Ｒ ｏ Ｋ ｉ ｎ ｉ ｔ
从运行环境和隐藏手段看， 主要可归结为２ ： 类
更大的灵活性 。 ２１ ．２远程线程注入ｄｌ ． １隐藏进程 ， 远程线程注入ｄｌ ｌ 其意义是将ｄｌ ｌ 文件嵌入到正在运 行的系统进程当中。ｄ ｌ ｌ 文件是 由多个功能函数构成， 它 并不能独立运行， 所以在进程列表 中并不会出现ｄ 。 ｌ １
Ｌｉ ｅ ｈ ｎ ｕ Ｚｈ ｎｇ ｏ ｇ
Ｂ ｉｎ ｏ ａ ｏ ａｃ ｌ ｇ ｆ ｌｃ ｏ ｉ ｓｉｎｅ ｎ ｃｎ ｌｇ ， ｅ ｉｇ １０ ７ ， ｈｎ ｅ ｉｇｖ ｃｔ ｎ ｌｏｌ ｅｏ ｅｅｔ ｎｃ ｃｅｃ ｄ ｅｈ ｏｏ ｙＢ ｉｎ ，０ １６ Ｃ ｉａ ｊ ｉ ｅ ｒ ａ ｔ ｊ
程 隐藏
Ｒ ｍｏ ｅ ｎｒ Ｌ ｓ （ Ｌ Ｓ ＮＴ Ｙ （ ＵＣ ＡＲ ｅ ｖ Ｅ ｔ ｉｔ Ｐ Ｉ Ｔ Ｅ Ｒ ） Ｐ Ｈ ） ｙ （ （ ｐ ｐｏｅｓ ０ ８） Ｅ ｒｃｓ ｘ ８ ； ＋ ） 通 过 调用 Ｐ Ｌ ｏ ｕ Ｐｏ ｅｓ ｙ ｒｃ ｓＩ例 程 得 到 ｓ ｏ ｋ ｐ ｒ ｃｓＢ Ｐ ｏ ｅｓｄ 指 向指 定Ｐｏ ｅｓ 的Ｅ Ｒ Ｅ Ｓ 象 的指 针 ， 后 调 用 ｒｃ ｓｌ ｄ Ｐ ＯＣ Ｓ 对 然 Ｒ ｍ ｖ Ｅ ｔ Ｌｓ 其从 链 表 上摘 下 。 ｅ ｏ ｅ ｎｒ ｉ 将 ｙ ｔ
下 来 ，ｔ ｕｒＳ ｓ ｍｌｆｒ ｔ ｎ 数最 终 遍 历 该链 表 返 Ｎ Ｑ ｅ ｙｔ ｎｏｍａ ｏ ￣ ｙ ｅ ｉ
Ｓ ＤＴ 是 函 数 地 址 表 ， 中 存 放 了 所 有 系 统 服 Ｓ 表 其
Hale Waihona Puke Baidu
务 函 数 的 入 口地 址 。系 统服 务 调 度 程序 通 过 查 找 Ｓ ＤＴ Ｓ 来调用 相应的系统服 务。因此， ｏ Ｋｉ 以将 Ｒｏ ｔ ｔ 可 Ｓ ＤＴ中的系 统服 务地址 替换 为 自己代 码 的地址 ， Ｓ 由 Ｒｏ ｔ ｔ 码调 用 真正 的系 统服 务 并对 结果 作相 应 ｏ Ｋｉ 代
处 理， 过 Ｈｏ ｋ 再通 ｏ 劫持 Ｚ ｗＱｕ ｒ Ｓ ｓｅ ｎｏｍａｉｎ ｅｙ ｙ ｔｍｌｆｒ ｔ 或 ｏ
回进程相 关的信息， 将无法检测到从Ｐ Ａ ｔ ｅ ｉｋ ｓ ｃｉ Ｌ ｎ 链表 ｖ 中摘下的当前进程 。部分实现代码是 ：
ｎＳａｕ ｔｔｔｓ＝Ｐ Ｌ ｏ ｕ Ｐ ｏ ｅｓ ｙ ｒｃ ｓｌ（ ｒ ｃｓｌ， ｓ ｏ ｋ ｐ ｒｃ ｓＢ Ｐ ｏ ｅｓ Ｐｏ ｅｓｄ ｄ
隐 藏
链 接 到ＡＣ ｉ ｅ ｒ Ｃ ｓ Ｌｉ ｋ ， 链 表 由一个 未 导 ｔｖ Ｐ ｏ ｅ ｎ 上 但 ｓ 出 内核 全 局变 量Ｐ Ａｃ ｉ ｅ ｒ ｃ Ｓ Ｈｅ ｄ通 过遍 历 ｓ ｔｖ Ｐ ｏ ｅ ｓ ａ ， Ａｃ ｖ Ｐ ｏ ｅｓ ｉｋ ｔ ｅ ｒｃ ｓＬｎ 可以获得所有 的进程信 息， ｉ 如果将一 个 当前进程Ｅ Ｒ Ｃ Ｓ 对象从Ｐ Ａｃｉｅ ｉｋ Ｐ Ｏ Ｅ Ｓ ｓ ｔ Ｌ ｎ 链表上摘 ｖ
主要是通过远程线程注入技术 。 ２１ 远程线程注入技术 ．１ ． 是指通过在另一个进程 中创建远程线程的方法进 入进程 的内存地址空间。其 核心是产生一个特殊的线 程， 这个线程能够将一段执行代码连接到另一个进程所 处 的内存空间里， 作为另一个进程 的其中一个非核心线
程 来 运 行， 而达 到交 换 数 据 隐藏 自身 的 目的 。其 中远 从
Ａ ｓ ａ ｔＡ ｒ ｅ ｔ ｅ ｅｉ ｅｓ ｆ ｒ ａ ｒ ｎ ｓ ｅ ｏ ｔ ｉｔ ｈ ｉ ｅ ｏ ｉｅ ｈ ｉ ｐｏ ｅｓ ｎ ａ ｔｅ ａｅ ｆｎｏ ￣ ｏ ｂｔ ｃ： ｔ ｅ ｎ ｓ ｎ ｒ ｏ ｏ ｎ ｒ ｐ ｓ ｔ ｄ ｇ Ｔ ｊ Ｈｏｓ ｔ ｄｔ ｕｅ ｈ ｏ ｔｅ ｎｑ ｄ ｅ ｒｃ ｓ ａ ｄｈ ｒ ｈ ｆ ｙｏ ｆｒ ｉ ｈ ｅｅ ｏ ｔ Ｒ Ｋ ｃ ｕ ｔ ｈ ｔ ｒ ｍ ｓ ｔ ｉ ｍ ｎ
Ｓ ＳＮ１ ７ ． ４ ８ ６ ２１ ３
ＣＮ ＇ ４９ ４／ １ ． ９ Ｔ
中国 观代欺有 备 装
２ １９ 总 第期 ０年１ １２ 第 期 １
Ｗ ｏ ｓＲ Ｋ ｄ ｗ ｏ 进程隐藏与检测技术的研究 ｉ ｎ ｏ ｉ ｔ ｔ
刘 正宏
北京 电子科技职业学 院 北京 １ ０ ７ ０１６
作者简介：刘正宏，硕士，高级讲师 ，系主任 。
２ ４
２ １ 年第９ ０１ 期
总 １期 第２ １
中 观代 装 国 孝 备
（） ２进程 隐藏实现
Ｓ １ ２４ Ｃ １ —３ Ｓ １ １８ Ｎ６ ４／－ Ｎ ４９９ １ ７
－
首 先 把 一 个 实 际 为木 马 主 体 的ｄｌ文 件 （ 数 ｌ 参
这两种方式都可 以通过挂钩系统重要 函数模块、 修 改系统中重要数据结构等途径， 对系统进程的相关信 息进行劫持与修改， 以达隐藏进程 的 目的。 ２１ ． 修改程序执行路径， 实现进程隐藏
在 用 户 模 式 下 ， 改 程 序 执 行 路 径 ， 现 进 程 隐 藏 修 实
１ Ｗ ｄ ｗ ｏ ｔ ｉ介 绍 ｉ ｏｓＲｏＫｔ ｎ
统不 同而各不相同， ｎ ｏ ２ ０ 下是０ Ａ０ ｎ ｏ Ｗｉｄ ｗｓ０ ０ ｘ ， ｄ ｗｓ Ｗｉ
ｘ 下是 ０ ８ 。 ｐ ｘ ８
２ ． ２控制和修改操作系统 内核结构和代码， 实现进
程 隐藏
② 从Ｐ Ａｃ ｉ ｅ ｉ ｋ 表上 摘 下 当前进 程， ｔｖ Ｌ ｎ 链 ｓ 实现