利用木马的自启动特性对其进行监控  

Trojan Detection Using Its Auto-startup Characteristic

作　　者：李晓东[1] 罗平[1] 曾志峰[2] 

机构地区：[1]清华大学计算机科学与技术系,北京100084 [2]云南警官学院计算机科学与技术系,云南昆明650223

出　　处：《计算机应用研究》2007年第5期141-143,149,共4页Application Research of Computers

基　　金：科技部"973"基金资助项目(2003CB314805)

摘　　要：特洛伊木马作为一种新型的计算机网络入侵程序,比其他病毒对网络环境中计算机信息资源的危害都要大。提出利用木马的一个重要特征——自启动特性对其进行监控。通过挂接系统服务,对注册表和文件系统进行监控,从而实现木马检测。与传统的检测方法相比,这种方法能有效地检测已知的和新出现的木马。由于是在内核中实现监控,一般木马很难逃避这种检测。Trojan horse is a new kind computer virus, which makes much damage to computer information resources in a local network. This paper represented a new method to detect Trojans using its auto-startup characteristic. This method uses hooking system services dispatch table, so as to monitor file system and registry table. Compared with traditional detective methods, it can detect not only known Trojans but unknown ones. It is difficult for Trojans to escape detection because if is implemented in the kernel.

关 键 词：木马 自启动特性 系统服务调度表 挂接 

分 类 号：TP309.5[自动化与计算机技术—计算机系统结构]