基于Intel VT硬件虚拟化的Rootkit技术

Intel VT硬件虚拟化技术使Rootkit可以利用底层优势实现深度隐藏。首先结合木马协同隐藏的思想,提出了基于Intel VT硬件虚拟化的Rootkit(HVRootkit)的协同隐藏模型,并给出形式化描述;然后根据该模型,在深入分析进程切换过程和操作系统内核数据结构的基础上,设计并实现了HVRootkit原型,该原型能够监控系统进程的切换过程,并通过修改与内核层进程视图和用户层进程视图相关的数据结构,隐藏系统进程。实验表明,HVRootkit原型符合协同隐藏的思想,能够实现对进程的深度隐藏,隐藏性能明显优于传统的内核级Rootkit。     

一种新型Linux内核级Rootkit设计与实现

传统的内核级Rootkit无法绕过当前主流的Rootkit检测方法。对传统的内核级Rootkit的实现机制和当前主流的Rootkit检测方法进行了分析,设计并实现了一种新型Linux内核级Rootkit。通过实验证明,该Rootkit能够实现后门提权、进程隐藏及文件隐藏等功能,并能绕过当前主流的Rootkit检测工具的检测,其抗检测能力明显好于传统的内核级Rootkit。     

一种检测BIOS Rootkit的技术

Rootkit所采用的大部分技术和技巧都用于在计算机上隐藏代码和数据,而隐藏的前提就是在第一时间取得对计算机的控制权.为了实现这个目的,在对BIOS Rootkit的检测技术进行研究的基础上,提出了一种新的检测方法.实验结果表明,该方法切实可行.     

利用反钩挂技术侦测隐藏进程的攻击

为躲避查杀,先进的木马病毒都采用了进程隐藏技术来运行。通过分析可知,为了实现进程隐藏,实现对API函数的钩挂必不可少,因此,实现反API函数钩挂技术就成为了监测使用了隐藏技术木马的关键。在讨论了在用户空间内侦测各种API函数钩挂技术的关键技术的基础上,提出了可靠的枚举进     

Rootkit研究综述

Rootkit是一种持久且难以察觉地存在于网络系统中的恶意代码,通过修改操作系统内核或更改指令执行路径,为攻击者提供隐匿自身、维持访问和软件窃听功能,已造成了严重的网络安全威胁。该文首先介绍了Rootkit的基本定义与演化过程,其次剖析了Windows系统中与Rootkit密切相关的内核组件和Rootkit的工作机制;然后讨论了Rootkit防御机制与检测方法;最后探讨了Rootkit的发展趋势和Rootkit防御的进一步研究方向。     

Linux中实现进程隐藏的一种新方法

针对Linux下实现进程隐藏的已有方法存在进程信息隐藏不彻底、不灵活、系统效率不高的缺点,通过对Linux的proc文件系统进行分析和对用户访问进程信息的途径以及proc文件系统向用户输出进程信息的机制进行研究,提出一种新的实现进程隐藏的方法。该方法能够彻底、灵活地隐藏进程的信息,不但可以隐藏所有进程的信息,也可以有选择地隐藏指定进程的信息和隐藏指定进程的某一部分信息。具有较高效率。     

针对改进型Rootkit的检测系统设计

为了有效的检测改进型Rootkit,设计了一种基于优先启动的行为分析检测系统.该系统采用了基于权值系数的智能化行为分析技术,并采用优先启动技术弥补了行为分析技术中探针部署容易受到影响的缺陷.另外,系统在执行路径和总线上阻止Rootkit的非常规加载;设计了报表生成模块以与其它检测软件共享检测信息;采用了文件与进程双重保...     

基于熵的信息隐藏算法研究

随着网络安全和数字技术的快速发展，信息隐藏越来越受到各个领域的重视。信息隐藏与信息加密不同，它着眼于隐藏信息本身的存在，通常被解释为把信息隐藏于其它信息当中。文中介绍了信息隐藏的有关概念，建立了基于熵的信息隐藏理论模型，提出了实现信息隐藏的一些新算法、并应用于某信息隐藏系统。     

一种密闭可重构网络安全测试床的设计与实现

网络安全技术的快速发展对相应的网络安全测评技术提出了新的需求。用于安全技术测试的网络安全测试床,可快速构建各类网络安全实验环境,以缩短网络安全研究周期、提高安全风险响应速度。而现有的网络测试床往往采用实物模拟和进程级虚拟方式构建测试网络,在逼真度、密闭性、可控性等方面难以满足高危险网络安全实验需求。因此,文章借助近年来出现的硬件辅助虚拟化技术,解决了实验环境中节点和连接的密闭构建问题,设计并实现了一种基于Xen的密闭可重构网络安全测试床,实现了密闭网络安全实验环境的灵活构建,并通过实验验证了技术方案的可行性。     

基于Linux2.6的进程隐藏机制的实现

阐述了Linux2.6内核工作原理。研究了进程在内核的运行方式。分析了基于Linux2.6内核下的进程隐藏机制,提出一种进程隐藏方法。即通过截获proc虚拟文件系统的读取访问,来达到进程隐藏的目的。最后编程验证了改方法的有效性。