Windows Rootkit进程隐藏与检测技术

进程隐藏是Rootkit技术的一种典型应用,隐藏运行的恶意代码威胁到计算机的安全。为此,通过分析Windows系统中利用Rootkit技术对进程进行隐藏的原理,针对用户模式和内核模式2种模式下进程隐藏技术的特点,提出几种不依赖于系统服务的隐藏进程检测技术。此类检测方法直接利用系统底层的数据结构,检测能力强。     

基于驱动的进程创建监控的实现

介绍了驱动开发技术背景及应用,讲述SSDTHOOK方法,实现监控NtCreateProcessEx系统服务。RING3应用程序和驱动程序的交互,RING3应用程序和驱动程序的同步实现基于驱动的进程创建监控。     

Windows7遍历PspCidTable表检测隐藏进程

PspCidTable表保存着所有进程和线程对象的指针,遍历PspCidTable表可以枚举所有进程包括隐藏进程.分析了windows 7的PspCidTable表的结构,论述了windows 7的PspCidTable表的内存地址获取方法,遍历PspCidTable表的算法,最后给出自动检测的实现步骤及方法.在win...     

基于Petri网的工作流合法性验证综述

对传统的工作流合理性验证方法进行了阐述,并分析了这些方法的优缺点,着重针对国内外学者用Pe-tri网对工作流合理性验证方法进行综述,分析其特点,并指出了工作流的合理性验证的发展方向。     

Windows平台下Rootkit进程检测

Rootkit是能够持久或可靠地存在于计算机系统上的一组程序或代码.为了达到无法检测的目的,Rootkit必须使用进程隐藏技术.Rootkit进程隐藏技术是一种以秘密方式在系统后台运行并窃取用户信息的技术.通过分析Windows平台下Rootkit进程隐藏技术的原理,研究了应用层和内核层两种模式下的Rootkit进程隐藏技术.针对Rootkit进程隐藏技术的特点,开发了一个基于句柄表三位一体交叉映射的Rootkit隐藏进程检测平台.系统测试表明,本平台能够检测出当前绝大部分主流Rootkit技术实现的隐藏进程,在实际应用中达到了较好的效果.     

试谈C#的Windows应用程序合法性输入验证

简要阐述了输入验证的必要性,介绍了C#的Windows应用程序的按键域、控件域、表单域等3类合法性输入验证,并通过简单案例说明了其使用方法.     

Windows(2000/XP)下隐藏进程的检测机制

随着计算机技术的不断发展,近期出现了利用Windows(2000/XP)内核设计上的漏洞隐藏自身进程的入侵技术。针对这种隐藏技术提出了利用内核进程环境控制块(KPEB)、内核线程环境控制块(KTEB)以及Windows操作系统的调度机制来检测这些隐藏进程的新方法,并给出了代码示例。     

一种基于进程验证的Petri网可达性判定方法

为了解决Petri网的可达性判定问题,提出了一种基于进程验证的可达性判定方法.通过分析Petri网基本进程段子段间偏序关系,该方法提出原子进程段概念,求得原子进程段集及其偏序关系集作为可达性判定的验证对象.基于原网状态方程解向量、原子进程段T-向量的线性纯整数规划问题解,选取该解中非零分量对应的原子进程段子集作为待验进程段集,选取待验进程段间的偏序关系子集作为待验推理规则集,通过验证是否存在这两个集合上的以初始标识M0为推导初态、目的标识Md为推导终态的序列而判定(M0,Md)是否可达.分析表明该可达性判定算法的时间复杂度是依赖于原子进程段集规模的,最坏情况下不超过变迁集规模.     

基于进程代数的Otway-Rees协议的形式化验证

Otway-Rees协议的目的是完成发起者和响应者之间的双向认证,并且分发服务器产生的会话密钥.该协议的特点是简单实用,没有使用复杂的同步时钟机制或双重加密,仅用少量的信息提供了良好的时效性.此协议允许通过一个网络的个别通信认证自己的身份,还可以阻止重放攻击和窃听,允许修改检测.对安全协议的分析是信息时代无法回避的关键...     

基于进程代数安全协议验证的研究综述

安全协议用于实现开放互联网络的通信安全,进程代数是一类使用代数方法研究通信并发系统理论的泛称,基于进程代数的安全协议验证是以进程代数作为安全协议描述语言的安全协议形式化验证方法．描述了基于进程代数的安全协议验证研究的4种主要方法：基于踪迹语义的方法;基于互模拟验证的方法;基于类型理论的方法;基于逻辑程序的方法．并给出了基于进程代数的安全协议验证进一步的研究方向．     

Windows内核模式驱动程序运行环境的分析

在各种不同情况下,Windows的内核模式驱动程序所运行的环境是不同,它决定了驱动程序能使用的内核支持例程种类和数量,决定了驱动程序的功能,对于应用层程序与驱动程序的数据传输方式也具有重要的影响。文章分析了运行环境的实质,系统中可能存在的运行环境的种类,通过对应用层与驱动层的数据传输方式的分析,说明了运行环境对驱动程序开发的重要意义。     

利用核心态钩挂技术防止代码注入攻击

为防止代码注入攻击,利用钩挂技术来监视有关的API函数调用十分必要。由于Windows NT系统中存在着严格的进程隔离机制,此种钩挂要在核心态下才有效。提出并讨论了实现此种技术的一种简便的方法。实践表明,在Windows XP系统条件下,利用它能够成功阻止木马利用代码注入实现攻击。     

The role of creation mode and social networking mode in knowledge creation performance: Mediation effect of creation process

This study proposes and empirically examines a research model that incorporates the knowledge creation mode and social networking mode to describe knowledge creation performance. The mediation effect of the knowledge creation process is explored in terms of socialization, externalization, combination, and internalization (SECI). The data collected from the manufacturing and service industries in Taiwan were analyzed. The goal-driven mode and web topology are found to be significantly associated with product or service creation primarily because of the creation efficacy aspect. The SECI with web topology has a mediation function when the goal-driven mode is adopted. Implications and suggestions are also provided.     

Windows内核模式驱动程序运行环境的分析

在各种不同情况下,Windows的内核模式驱动程序所运行的环境是不同,它决定了驱动程序能使用的内核支持例程种类和数量,决定了驱动程序的功能,对于应用层程序与驱动程序的数据传输方式也具有重要的影响.文章分析了运行环境的实质,系统中可能存在的运行环境的种类,通过对应用层与驱动层的数据传输方式的分析,说明了运行环境对驱动程序开发的重要意义.     

Dimensionality reduction via kernel sparse representation

Dimensionality reduction (DR) methods based on sparse representation as one of the hottest research topics have achieved remarkable performance in many applications in recent years. However, it’s a challenge for existing sparse representation based methods to solve nonlinear problem due to the limitations of seeking sparse representation of data in the original space. Motivated by kernel tricks, we proposed a new framework called empirical kernel sparse representation (EKSR) to solve nonlinear problem. In this framework, nonlinear separable data are mapped into kernel space in which the nonlinear similarity can be captured, and then the data in kernel space is reconstructed by sparse representation to preserve the sparse structure, which is obtained by minimizing a ?1 regularization-related objective function. EKSR provides new insights into dimensionality reduction and extends two models: 1) empirical kernel sparsity preserving projection (EKSPP), which is a feature extraction method based on sparsity preserving projection (SPP); 2) empirical kernel sparsity score (EKSS), which is a feature selection method based on sparsity score (SS). Both of the two methods can choose neighborhood automatically as the natural discriminative power of sparse representation. Compared with several existing approaches, the proposed framework can reduce computational complexity and be more convenient in practice.     

核熵成分分析算法及其在化工过程监控中的应用研究

针对化工过程监测数据复杂、非线性等特点,本文将一种新的降维算法一核熵成分分析算法应用到化工过程监控。与其他的多元统计分析方法相比,核熵成分分析算法可以保证数据降维过程中的信息损失最小从而建立更加可靠的统计模型,进而提高故障检测的检出率。与核主成分分析相似,核熵成分分析也是将数据映射到一个高维空间,在高维空间中进行主元分析,不同之处是KECA在选取主元时采用了信息保有量较大的主元,使得数据在降维后的信息损失量更少。本文使用某石化企业的润滑油重质过程的数据测试算法监控效果,核熵成分分析算法的故障检出率为98.2%,比核主成分分析算法(69.706%)要高。实验结果显示,核熵成分分析算法的化工过程监控效果优于核主成分分析算法。     

基于GMM的多模态过程模态识别与过程监测

多模态复杂过程的多变量、多工序、变量时变性以及模态转换时间不确定等多种原因, 导致面向多模态生产过程的监测问题十分复杂. 对此, 基于高斯混合模型的监测方法, 结合定性知识和定量知识, 解决了多模态过程监测中离线数据模态划分、稳定模态和过渡模态的监测模型建立以及在线数据的模态识别等关键问题, 最终实现了对多模态过程的监测.     

基于Windows内核进程监控机制的研究与实现

互联网技术的不断发展对信息系统的安全提出了更高的要求,需要对系统提供更多方面的防护机制,而系统进程则是其中防范的一个方面。本文在Windows内核驱动程序理解的基础上,对系统进程监控技术进行了深入研究,采用事件触发的机制和技术,实现了对系统进程实时可靠的监控。