Windows系统下多种Rootkit隐藏方式分析以及探测方法研究  

Research on kinds of RootKit Hiding and Detecting Technology in Windows OS

作　　者：张亚航[1] 刘波[1] 韩啸[1] 姜电波[1] 靳远游[1] 

机构地区：[1]北京大学软件与微电子学院信息安全系,北京102600

出　　处：《信息网络安全》2009年第5期51-54,共4页Netinfo Security

摘　　要：在网络攻防中,系统攻击者最大的障碍,常常是作为系统安全守护者的安全防护软件。本文通过对Windows NT操作系统下Rootkit隐藏机制的研究,分别实现了修改进程调度表SSDT、直接修改内核对象DKOM和修改IRP等多种Rootkit实现技术,达到对抗安全软件的目的。本文针对不同的Rootkit实现技术进行了Rootkit检测技术的研究和实现。In the network attack and defense, the attacker＇s most important enemy is always be the System Security Defense Software. This paper studied kinds of Rootkit hiding technology, practiced some representative Rootkit in some different ways, such as modifying SSDT, DKOM, IRP, to hiding targets. This paper also studied and practiced kinds of Rootkit detecting technology contraposing different Rootkit tech as described above.

关 键 词：WINDOWS ROOTKIT SSDT DKOM IRP 检测技术 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]