永久型Windows Rootkit检测技术 .pdfVIP

维普资讯

第３４卷第１８期计算机工程２００８年９月

Ｖｏ１．３４Ｎｏ．Ｊ８ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇＳｅｐｔｅｍｂｅｒ２００８

软件技术与数据库・￣ｉｍｑ＂１ｏｏ０＿．３４２８２（ｏｏ８）１８－＿ｏ０７０＿＿＿０２文献标识码；Ａ中阻分类号：ＴＰ３１１．５

・

永久型ＷｉｎｄｏｗｓＲｏｏｔｋｉｔ检测技术

王全民，于佳辨２ｊ赵彤，韩红英

（Ｊ．天津大学计算机学院，天津３０００７２；２．北京工业大学计算机学院，北京１０００２２）

摘要：永久型Ｒｏｏｔｋｉｔ可以长期隐秘在系统中，并隐藏恶意代码，威胁计算机的安全。该文应用ｃｒｏｓｓ—ｖｉｅｗ方法构建监控系统，采用文件

系统过滤驱动与钩挂系统服务分析系统行为，判定系统是否已被装入永久型ＷｉｎｄｏｗｓＲｏｏｔｋｉｔ，并完成对经典Ｒｏｏｔｋｉｔ—ｈａｃｋｅｒｄｅｆｅｎｄｅｒ及它

所保护的恶意程序的检测。由于该检测技术使用底层驱动监测，不依赖特征码，因此对内核级和将来出现的Ｒｏｏｔｋｉｔ具有良好的检测

效果。

关健词：监控系统；永久型Ｒｏｏｔｋｉｔ；ｃｒｏｓｓ—ｖｉｅｗ方法

Ｄｅｔｅｃｔｌｏｎ‘Ｔｅｃｈｎｉｑｕｅ０ｆＰｅｒｓｉｓｔｅｎｔＷｉｎｄｏｗｓＲｏｏｔｋｉｔ

ＷＡＮＧＱｕａｎ．ａｒｉｎｌａ，ＹｕＪｉａ．ｇｅｎｇ２，ＺＨＡＯＴｂｎｇ２，ＨＡＮＨｏｎｇ－ｙｉｎｇ２

（１．ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒ，ＴｉａｎｊｉｎＵｎｉｖｅｒｓｉｔｙ，Ｔｉａｎｊｉｎ３０００７２；

２．ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒ，ＢｅｉｊｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ，Ｂｅｉｊｉｎｇ１０００２２）

［ＡｂｓｔｒａｃｔｌＢｅｃａｕｓｅｏｆｐｅｒｍａｎｅｎｔｌｙｓｔｏｒｉｎｇａｎｄｈｉｄｉｎｇｉｎｔｒｕｄｅｒ’Ｓｃｏｄｅｓ，ｐｅｒｓｉｓｔｅｎｔＲｏｏｔｋｉｂｅｃｏｍｅｓｔａｖｅｒｙｉｍｐｏｒｔａｎｔｉｓｓｕｅｏｆｃｏｍｐｕｔｅｒｓｅｃｕｒｉｔｙ．

Ｔｈｉｓｐａｐｅｒａｐｐｌｉｅｓｔｈｅｃｒｏｓｓ—ｖｉｅｗｍｅｔｈｏｄｔｏｃｏｎｓｔｒｕｃｔｔｈｅｍｏｎｉｔｏｒｓｙｓｔｅｍ．ＩｉｓｉｔｍｐｌｅｍｅｎｔｅｄｔＯｄｅｃｉｄｅｗｈｅｔｈｅｒｔｈｅｓｙｓｔｅｍｉｉｓｎｓｔａｌｌｅｄｐｅｒｓｉｓｔｅｎｔ

ｗｉｎｄｏｗｓＲｏｏｔｋｉｂｔｙａｎａｌｙｚｉｎｇｓｙｓｔｅｍ’Ｓｂｅｈａｖｉｏｒｓｕｓｉｎｇｆｉｌｅｓｙｓｔｅｍｆｉｌｔｅｒｄｒｉｖｅｒａｎｄｈｏｏｋｉｎｇｓｙｓｔｅｍｓｅｒｖｉｃｅｓ．ＴｈｅｓｙｓｔｅｍｄｅｔｅｃｔｅｓＲｏｏｔｋｉ—ｔｈａｃｋｅｒ

ｄｅｆｅｎｄｅｒｗｈｉｃｈｉｓｔｈｅｍｏｓｃｔｌａｓｓｉｃａｌＲｏｏｔｋｉｔｉｎｔｈｅｒｅａｌｗｏｒｌｄａｎｄｓｏｍｅｍａｌｗａｒｅｓｐｒｏｔｅｃｔｅｄｂｙｉｔ．ＤｕｅｔＯｔｈｅｕｓｅｏｆｌｏｗ—ｌｅｖｅｄｒｉｖｅｒｌａｎｄｎｏｔ

ｄｅｐｅｎｄｉｎｇｏｎｓｉｇｎａｔｕｒｅ，ｉｔａｌｓｏｈａｓｇｏｏｄｐｅｒｆｏｒｍａｎｃｅｉｎｄｅｔｅｃｔｉｎｇｋｅｒｎｅｌｌｅｖｅｌｎａｄｕｎｋｎｏｗｎＲｏｏｔｋｉｔ．

［Ｋｅｙｗｏｒｄｓ］ｍｏｎｉｔｏｒｓｙｓｔｅｍ；ｐｅｒｓｉｓｔｅｎｔＲｏｏｔｋｉｔ；ｃｒｏｓｓ—ｖｉｅｗ

ｌ概述们都是通过