Windows环境下Rootkit隐藏技术研究

Rootkit是攻击者用来隐藏踪迹和保留访问权限、窃取密码、留下后门等的一组工具的集合,是一种危害性极大的特洛伊木马程序。深入研究Rootkit隐藏技术,有助于提高发现、检测和跟踪它的能力。本文针对Windows环境下的Rootkit隐藏技术进行了深入的分析和研究,并对相应的技术原理做了比较,展望了Rootkit隐藏技术的未来发展趋势。     

Windows下内核级木马隐藏技术研究

木马技术是网络安全的重要方面,也是网络攻击中获取信息的重要途径.隐藏技术是木马的关键技术之一,其直接决定木马的生存能力.从Rootkit的原理分析出发,深入的研究Windows下内核级木马的隐藏技术,并在此基础上实现一个内核级木马原型,最后介绍内核级木马的检测和应对策略.     

特洛伊木马隐藏技术研究及实践

特洛伊木马作为一种计算机网络病毒,它对网络环境中计算机信息资源所构成的危害远大于其它病毒。深入地研究木马技术,对防范木马攻击,减少网络破坏有重要的意义。隐藏技术是木马的关键技术之一,其直接决定木马的生存能力。文章从本地隐藏、通信隐藏和协同隐藏等方面归纳研究木马的隐藏技术,并对协同隐藏思想作了进一步研究,提出两种基于协同隐藏思想的新型木马结构:多线程结构和多对多结构。通过实验结果分析,其木马原型体现了协同隐藏的思想,提高了木马整体反检测和反查杀能力。     

Windows Rootkit隐藏技术研究

Rootkit是黑客为了隐藏其入侵痕迹、保留入侵权限而采用的一种技术。由于具有隐藏性好、难以检测的特点,Rootkit在Windows操作系统中的应用越来越广泛,并逐渐与病毒、木马、间谍软件等应用软件相结合,给网络信息安全带了严重危害。深入研究Windows操作系统中Rootkit的工作原理,对于防范其对网络安全造成的破坏有着重要的意义。     

基于协同特征的BIOS Rootkit检测技术

对木马模型框架的理论及其协同隐藏模型进行研究和分析,给出BIOS Rootkit协同隐藏模型的具体形式化描述,提出一种在Windows环境下基于协同特征的BIOS Rootkit检测技术。针对现有BIOS Rootkit检测技术存在能查但不能正常恢复的问题,采用搜索特征码并动态恢复的技术解决。实验结果表明,该检测技术具有良好的可靠性、检测效率和完整性。     

Windows平台下Rootkit进程检测

Rootkit是能够持久或可靠地存在于计算机系统上的一组程序或代码.为了达到无法检测的目的,Rootkit必须使用进程隐藏技术.Rootkit进程隐藏技术是一种以秘密方式在系统后台运行并窃取用户信息的技术.通过分析Windows平台下Rootkit进程隐藏技术的原理,研究了应用层和内核层两种模式下的Rootkit进程隐藏技术.针对Rootkit进程隐藏技术的特点,开发了一个基于句柄表三位一体交叉映射的Rootkit隐藏进程检测平台.系统测试表明,本平台能够检测出当前绝大部分主流Rootkit技术实现的隐藏进程,在实际应用中达到了较好的效果.     

Windows下基于交叉视图的Rootkit进程隐藏检测技术

对现有的Windows Rootkit进程隐藏技术进行了研究,提出了基于交叉视图的Rootkit进程隐藏检测技术.该技术通过比较从操作系统的高层和底层获取到的进程列表来检测被Rootkit所隐藏的进程,其中,底层进程列表是通过搜索内存中的内核对象来获得的.实验表明,该技术具有较好的检测效果.     

Windows Rootkit隐藏技术与综合检测方法

针对Rootkit具有隐藏、通信、监听等功能但存在典型木马特征对计算机系统危害严重问题,分析近年来Windows操作系统下Rootkit中各种主流隐藏技术（包括DKOM和各种钩子）,指出当前单一检测方法的缺陷,提出综合性检测技术方案。实验结果表明,该方法达到较好的检测效果,可以对目前大多数Rootkit行为进行检测。     

Windows Rootkit进程隐藏与检测技术

进程隐藏是Rootkit技术的一种典型应用,隐藏运行的恶意代码威胁到计算机的安全。为此,通过分析Windows系统中利用Rootkit技术对进程进行隐藏的原理,针对用户模式和内核模式2种模式下进程隐藏技术的特点,提出几种不依赖于系统服务的隐藏进程检测技术。此类检测方法直接利用系统底层的数据结构,检测能力强。     

面向异构BIOS环境的Rootkit通用性检测方法

在传统木马模型框架的基础上,对Rootkit协同隐藏形式化模型进行分析和改进,实现了一个面向异构BIOS环境的Rootkit形式化检测模型。该模型根据协同隐藏思想,将整个检测流程分为三个模块。对多种异构BIOS环境下的Rootkit样本进行研究,并结合可信计算思想,提出基于可信计算的检测方法。该方法和Rootkit形式化检测模型相结合,根据多个异构BIOS环境的Rootkit样本分析结果建立三条可信链,对不同模块提出不同检测思想,如：基于可信计算的完整性检测方法、检测中断向量表入口地址等。实验结果表明,该检测方法对异构BIOS环境下不同系统环境的Rootkit可进行有效检测。     

木马隐藏技术与防范方法

为加固网络安全、防范木马攻击,结合实例研究了一种木马隐藏技术,实现了基于加载三级跳和线程守护的隐藏技术,增强了木马的隐蔽性与抗毁性,并提出了该技术相应的防范措施和清除方法。实验结果表明,融入该隐藏技术的木马程序完成了预期的隐藏功能并可以穿透最新的瑞星杀毒软件、瑞星防火墙及硬件防火墙,表明了该隐藏技术的可行性与有效性。     

特洛伊木马防范技术探析

特洛伊木马作为黑客常用的一种攻击工具,对计算机网络安全构成严重威胁。深入地研究木马技术,对防范木马攻击具有重要意义。本文介绍了木马的定义和功能及其工作原理,重点分析了木马的种植方式和隐藏技术,并对木马攻击提出了相应的清除方法和防范措施。     

Linux下木马技术研究

木马技术是网络安全的重要方面,也是网络攻防中获取信息的重要途径。从本质上讲,木马就是一个网络服务程序,由客户端进行控制,来执行某些特定的命令。但是由于其应用场合的特殊性,使得木马的设计实现在很多方面有别于普通的服务程序,其中最主要的是隐藏技术、控制手段和信息获取等三方面,本文将从这些方面着重讨论Linux环境下的木马技术。     

动态嵌入式DLL木马实现方法

进程的隐藏一直是木马程序设计者不断探求的重要技术,采用远程线程技术,通过动态链接库方法,可较好地解决了这一问题,通过远程线程将木马作为线程隐藏在其他进程中,从而达到隐藏的目的。     

自主式学习的木马检测预防系统的设计与实现

随着黑客攻击技术的不断进步,网络安全面临越来越严重的威胁。由于不能确保系统不被黑客攻击,也无法确定用户操作的文件或程序是否含有恶意的代码,因而,及时发现系统中存在的木马程序或者含有恶意代码的文件,是确保系统信息安全的重要途径。目前的许多木马检测软件仅能对已知的木马进行检测,对未知木马却无可奈何。文章在分析和综合当前木马检测技术的基础上,设计并实现了一个在Windows系统中行之有效的木马检测系统,不仅能有效检测已知的木马,还能对未知的木马进行有效的预防,通过对未知木马的特征进行自主式学习,并应用于检测,从而提高木马检测的功能。     

特洛伊木马隐藏技术研究

首先介绍了传统的木马隐藏方法,由于传统方法主要集中于本地进程的隐藏,对木马两端之间通信隐藏涉及甚少,而本文所采用的基于ICMP的连接技术能够穿越防火墙,实现通信连接的隐藏。     

特洛伊木马隐蔽性研究

从木马原理出发,分析了几种木马隐藏方法,并对各自优缺点做了简要评论.     

木马程序隐身技术剖析

随着互联网的普及,特洛伊木马作为一种新型的计算机网络病毒,它比其他病毒对网络环境中计算机信息资源所构成的危害都要大。针对Windows操作系统下＂木马＂程序的隐身行为及其技术方法进行了分析和归纳研究。