win的dows环境下隐蔽调试器的设计与实现.doc

电 子 科 技 大 学 UNIVERSITY OF ELECTRONIC SCIENCE AND TECHNOLOGY OF CHINA 硕士学位论文 MASTER DISSERTATION 论 文 题 目： windows环境下隐蔽调试器的设计与实现 学 科 专 业： 计算机应用技术 指 导 教 师： 刘丹 副教授 作 者 姓 名： 吴超 班 学 号： 200620603016 分类号 密级 UDC 学 位 论 文 windows环境下隐蔽调试器的设计与实现 （题名和副题名） 吴 超 （作者姓名） 指导教师姓名 刘 丹 副教授 电子科技大学 成 都 （职务、职称、学位、单位名称及地址） 申请专业学位级别 硕士 专业名称 计算机应用技术 论文提交日期 2009.3 论文答辩日期 2009.5 学位授予单位和日期 电子科技大学 答辩委员会主席 评阅人 2009年 月 日 注1：注明《国际十进分类法UDC》的类号。 独 创 性 声 明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。 签名： 日期： 年 月 日 关于论文使用授权的说明 本学位论文作者完全了解电子科技大学有关保留、使用学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。 （必威体育官网网址的学位论文在解密后应遵守此规定） 签名： 导师签名： 日期： 年 月 日 摘 要 在安全事件中，恶意代码造成的经济损失占有最大的比例。恶意代码的检测技术总是滞后于新恶意代码的出现。一方面是人们很难区别正常代码和恶意代码；另一方面，很多信息系统缺少必要的保护措施。因此，人们常常被恶意代码欺骗，而无意地执行恶意代码。可见恶意代码被引入系统并执行是不可避免的，监控、分析或检测二进制程序是否为恶意程序已经成为现阶段的研究热点。 恶意代码为了防止被分析，都有很强的自保护功能，现在主要的调试器很难对恶意代码进行分析。同时，软件保护技术的发展使大量的反调试工具出现，既有针对源代码的反调试工具，又有针对二进制程序的反调试工具。在反调试工具中，加壳工具功能比较突出，它综合使用多种技术对抗代码分析调试，而且加壳工具使用非常简单，越来越多的恶意代码使用加壳技术保护自己。 本文在分析了很多反调试技术后，包括检测断点技术、检测调试器技术和自动修改代码技术等，设计并实现了一种隐蔽性强的调试器。该隐蔽调试器利用windows分页管理机制，巧妙地对目标进程设置断点以获取控制，很好地实现了隐蔽调试的特性。 为获得对目标进程的控制权，本调试器利用了windows系统中进程的地址空间分为用户空间和系统空间，代码执行之前系统会进行权限检查的特点，通过修改了目标进程内存页面属性，使目标进程执行时出现异常，从而获得目标进程的控制权。为增强隐蔽性，本调试器还采用了多种设计技术，包括：通过向目标进程插入shellcode控制目标进程、不产生在w