基于计算机物理内存分析的rootkit查找方法分析与实现-analysis and implementation of rootkit lookup method based on computer physical memory analysis.docx

mastered the methods that through the process handle table to list the current system processes list.The main contents in this paper are as follows:The concepts of computer forensics, background and current development at home and abroad are described in detail.The format of log file in Windows XP system has been analyzed in detail.This paper described in detail several common methods to obtain physical memory mirroring in Windows System, and also introduced the method of physical memory mirroring analysis.This paper summarized the physical memory management mechanism in windows kernel, and described in detail the translation from virtual address to physical address with examples.Several technologies principles used by the rootkit (such as Hook system service descriptor table hooks, direct kernel object manipulation) were described in detail.This paper presented the test methods of traditional rootkit, and presented a detection method with more obvious effect, on the basis of detection based the cross-view, and showed the main code.Keywords: Computer Forensics; Rootkit Detection; Information Security; Process Hiding; Physical Memory Image学位论文独创性声明本人声明，所呈交的学位论文系在导师指导下本人独立完成的研究成果。文中引用 他人的成果，均已做出明确标注或得到许可。论文内容未包含法律意义上已属于他人的 任何形式的研究成果，也不包含本人已用于其他学位申请的论文或成果，与我一同工作 的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。论文作者签名：日期：年月日学位论文知识产权权属声明本人在导师指导下所完成的论文及相关的职务作品，知识产权归属山东轻工业学 院。山东轻工业学院享有以任何方式发表、复制、公开阅览、借阅以及申请专利等权利， 同意学校保留并向国家有关部门或机构送交论文的复印件和电子版，本人离校后发表 或使用学位论文或与该论文直接相关的学术论文或成果时，署名单位仍然为山东轻工业学院。论文作者签名：日期：年月日 导 师 签 名：日期：年月日第 1 章 绪论1.1 研究背景当前，人类进入了以微电子技术、计算机和网络技术、通信技术为代表的信 息社会，随着信息技术的不断进步和发展，人类社会已经迈进了知识经济和信息 经济时代。在这样的一个大背景下信息资源成为了最重要的社会资源之一。随着 科技的进步和互联网的普及和发展，计算机网络已经深入到人们工作和生活的方 方面。目前，无论个人还是团体，政府还是军队对互联网的依赖程度都在日益增 加。然而，计算机和互联网技术在带给人们极大便利，推动社会进步生产力发展 的同时，计算机犯罪【1】也随之出现。计算机犯罪自从二十世纪六十年代出现以来，侵害的广度日益扩大，深度日 益深远，从最初的入侵计算机系统，破坏系统软硬件设备，盗取个人隐私，发展 到盗窃金融机构，传播反动言论，煽动民族分裂危害国家安全。1988 年莫里斯 用自己设计的病毒入侵了美国军事基地和美国国家航空航天局的网络，导致 8500台计算机瘫痪，造成了高达 1 亿美元的经济损失。据美国联邦调查局(FBI)公布的 2005 年度电脑犯罪调查报告称，87％的被调查机构曾遭受过不同程度的某种攻击，19.2