hvm rootkit及其控制粒度的设计与实现 design and implementation of hvm rookit and its control of granularity.pdfVIP

HVMRootkit及其控制粒度的设计与实现 刘家宇1，张忠培1，凌冲L2，岳虹1 (1．解放军61716部队，安徽合肥；2．解放军电子工程学院，安徽合肥230037) VirtualMachine 并实现了基于硬件辅助虚拟化技术的E00tkit(Hardware—assistedgootkit，HVM MiniHVME。在此基础上，分析了MiniHVME的对于客户操作系统(GuestOS)的控制粒度，提出一种基于访问Fs寄存器信息的方法， 提高了MiniHVMR对GuestOS的控制柱度并给出了具体实现细节。 关键词：虚拟化；HVMEootkit；控制粒度 and ofHVMRookitanditsControlof DesignImplementation Granularity LIU Jja—yu‘，ZHANGZhong--peil，LINGChon91’2，YEUHong。 《i．61716PLA[?OOps,Fuzhou,fu)an550102,China；2．E／ectmn／cEng／heering／孵titut#．PLA．船fe／,A喃礤25003tQ帆) and ofHardware-a二ssistedVirtualMachine anewresearchdirectionto Abstract：T}Ieapoearancadevelopment provide Eootkit．Thispaperpresents the ofKootkitanditsdirectionof and of this techeology deveIopment．anddesignsimplementstheprototypeHVMgootkit——MiniHVMR．For the which can the analysesgranularityMiniHVMRcontro[theofGuest providesdetailofitsjmplementation． foundation，it behaver OS．and of Keywords：Virtualization；HVMEootkJt；ControlGranularity 1概述 目前，基于硬件辅助虚拟化技术在计算机的各 术，特点是修改操作系统的内核，包括内核函数和内核 个领域得到了广泛的应用…。研究表明12-4]Rootkit 也可以通过这种技术获得高于现有操作系统的优先 数据。用户态R00tkit技术理论上只能躲避基于用户态 权，从而提高其隐藏深度。基于硬件辅助虚拟化技术的 环境的检测方法，不能躲避基于内核态环境的检测方法。 VirtualMachine 内核态Rootkit技术理论上能够躲避某些基于内核态环 Rootkit(Hardware-assistedRootkit。 HVM 境的检测方法。这里提到了“理论上能够检测”。根据文 Rootkit)正逐渐成为Rootkit技术领域中的一个 新的发展方向。 的系统优先权——从而确保被R00tkit修改的系统资源 本文首先介绍了Rootkit技术，并以数学语言为描 述工具分析了其发展方向，之后完成了在WindOWS平 测者在确定被修改的资源时有足够的敏感性和计算理论 台下H