《基于内核下的进程隐藏和检索》.pdfVIP

中国科技论文在线 基于内核下的进程隐藏和检索 崔晶晶 中国矿业大学计算机科学与技术学院，江苏 徐州（221008 ） E-mail ：cs_cjj@163.com 摘 要：本文给出了一种基于内核下的进程隐藏和检索的实现方法，介绍了病毒的编写中采 用的有关内核级别的技术，系统中，可以通过Hook 挂钩技术，修改系统原生API 的检索行 为，以至达到进程隐藏的目的,通过RootKit 技术又可以显示出所有隐藏的进程。作者针对这 种隐藏进程的手法提出了一种更加底层的进程检索方式，可以借助内核进程的数据结构的串 联梳理获得所有的运行进程。文中作者从攻防两个方面详细的阐述了RootKit 中的进程隐藏 和查找技术。 关键词：内核；系统；进程；隐藏进程；进程检索 中图分类号：TP399 1 引言 在计算机技术飞速发展的今天，编程人员对系统内核的了解也越来越清楚，技术好的 IT 人员已经能通过一些逆向技术，还原出 Windows 内核的一些代码，于是 RootKit 和 Anti-Rootkit 的对抗也愈演愈烈。在病毒的编写技术中，越来越多的病毒作者采用了内核级 别的技术来隐藏自己的进程，实现极其隐蔽的保护自身不被杀毒软件检查到。我们对于这种 隐藏方法，可以使用更加底层的方法进行进程检索。 2 系统是如何列举进程的 拿我们最熟悉的“任务管理器”程序来做研究对象，网络上虽然流传着很多优秀的进程查 看软件，其实和我们系统中的“ 任务管理器” 列举进程的方法都是一样的，都是通过 ZwQuerySystemInformation 这个系统原生API 实现。 NTSTATUS WINAPI ZwQuerySystemInformation( __in SYSTEM_INFORMATION_CLASS SystemInformationClass, __inout PVOID SystemInformation, __in ULONG SystemInformationLength, __out_opt PULONG ReturnLength ); 那么，什么是原生API 呢？ 在 Windows NT 下，NT 的 Executive （NTOSKRNL.EXE 的一部分）提供了核心系统 服务。各种 Win32 、OS/2 和 POSIX 的 APIs 都是以 DLL 的形式提供的。这些 APIs 转 过来由调用了 NT executive 提供的服务。尽管调用了相同的系统服务，但由于子系统不同， API 函数的函数名也不同。例如，要用 Win32 API 打开一个文件，应用程序会调用 CreateFile()，而要用 POSIX API ，则应用程序调用 open() 函数。这两种应用程序最终都会 调用 NT Executive 中的 NtCreateFile() 系统服务。 - 1 - 中国科技论文在线 图一 Windows NT 系统核心服务调用过程 ZwQuerySystemInformation 同样是Executive 提供的系统服务API 中的一员，它在系统 中的很多，我们下面来看下它是如何工作的。它的第一个参数是一个枚举类型，当我们在其 中传入 SystemProcessAndThreadsInformation 后，它将会去检索进程信息，将得到一个串联 很多SYSTEM_PROCESS 结构体的链表 typedef struct _SYSTEM_PROCESSES{ ULONG NextEntryDelta; ULONG ThreadCount