一种基于交叉视图的Windows Rootkit检测方法 被引量：13

1

作者 白光冬 郭耀 陈向群 《计算机科学》 CSCD 北大核心 2009年第8期133-137,共5页

Rootkit被病毒、木马等恶意软件用来隐藏其在被入侵系统上的踪迹,使得它们能够在系统中潜伏较长时间,它的存在给系统及其使用者带来较大的安全隐患。首先对Windows rootkit进行了研究,以此为基础,从rootkit的行为入手,提出了基于进程检... Rootkit被病毒、木马等恶意软件用来隐藏其在被入侵系统上的踪迹,使得它们能够在系统中潜伏较长时间,它的存在给系统及其使用者带来较大的安全隐患。首先对Windows rootkit进行了研究,以此为基础,从rootkit的行为入手,提出了基于进程检测进行rootkit检测的机制,并设计了一种基于交叉视图的Windows rootkit检测方法。这种方法通过比较从系统高层和底层获得的进程列表,从中检测出被rootkit隐藏的进程,其中,系统底层的进程列表通过在Windows内核中查找内核对象的方法获得。最后,利用这种方法实现了一个Windows rootkit检测工具VI-TAL,并选用若干有代表性的rootkit进行实验,通过和其他工具的对比,验证了这种方法具有较强的检测功能。 展开更多

关键词 rootkit rootkit检测 隐藏进程

在线阅读 下载PDF 职称材料

基于VMM的Rootkit及其检测技术研究 被引量：9

2

作者 周天阳 朱俊虎 王清贤 《计算机科学》 CSCD 北大核心 2011年第12期77-81,共5页

借助虚拟化技术,Rootkit隐藏能力得到极大提升,基于VMM的Rootkit的研究成为主机安全领域的热点。总结了传统Rootkit的隐藏方法和技术瓶颈,介绍了VMM的自身优势和软、硬件实现方法,分析了不同VMM Root-kit的设计原理和运行机制。针对VMM... 借助虚拟化技术,Rootkit隐藏能力得到极大提升,基于VMM的Rootkit的研究成为主机安全领域的热点。总结了传统Rootkit的隐藏方法和技术瓶颈,介绍了VMM的自身优势和软、硬件实现方法,分析了不同VMM Root-kit的设计原理和运行机制。针对VMM存在性检测的不足,阐述了一种新的VMM恶意性检测思路,同时讨论了VMM Rootkit的演化方向,并从防护的角度提出了一些安全使用虚拟化技术的建议。 展开更多

关键词 rootkit 虚拟机监控器 检测 防护

在线阅读 下载PDF 职称材料

硬件虚拟化rootkit检测方法研究综述 被引量：6

3

作者 施江勇 王会梅 +2 位作者 鲜明 荣宏 金从军 《计算机应用研究》 CSCD 北大核心 2014年第1期1-5,12,共6页

随着虚拟化技术的发展及其在云计算中的广泛应用,传统的rootkit也开始利用硬件虚拟化技术来隐藏自己。为了对抗这一新型rootkit的攻击,研究了传统rootkit检测方法在检测硬件虚拟化rootkit(HVMR)上的不足,分析了现有的HVMR检测方法,包括... 随着虚拟化技术的发展及其在云计算中的广泛应用,传统的rootkit也开始利用硬件虚拟化技术来隐藏自己。为了对抗这一新型rootkit的攻击,研究了传统rootkit检测方法在检测硬件虚拟化rootkit(HVMR)上的不足,分析了现有的HVMR检测方法,包括基于指令执行时间差异的检测方法、基于内存资源视图差异的检测方法、基于CPU异常和错误的检测方法,以及基于指令计数的监测方法等。总结了这些检测方法的优缺点,并在此基础上提出了两种通过扫描内存代码来检测HVMR恶意性的方法,分别是基于hypervisor的恶意性检测方法和基于硬件的恶意性检测方法,同时也预测了未来虚拟化检测技术的发展方向。 展开更多

关键词 硬件虚拟化 rootkit检测 基于硬件虚拟化的rootkit Bluepill检测 恶意性检测 内存扫描

在线阅读 下载PDF 职称材料

一种新的注册表隐藏Rootkit检测方案 被引量：3

4

作者 张登银 高德华 李鹏 《江苏大学学报（自然科学版）》 EI CAS 北大核心 2010年第3期328-333,共6页

为了检测通过篡改注册表文件而实现潜行于操作系统的Rootkit,分析了常见的Rootkit注册表隐藏技术以及相应的检测技术,并指出了当前检测技术存在的缺陷.在分析注册表文件的格式以及注册表操作控制流程的基础上,设计并实现了一种新型的注... 为了检测通过篡改注册表文件而实现潜行于操作系统的Rootkit,分析了常见的Rootkit注册表隐藏技术以及相应的检测技术,并指出了当前检测技术存在的缺陷.在分析注册表文件的格式以及注册表操作控制流程的基础上,设计并实现了一种新型的注册表隐藏Rootkit检测方案.通过模拟win32系统底层枚举注册表键值的流程,获取真实有效的注册表键值,从而检测出隐藏的Root-kit.同时,在遍历注册表键值时使用了二叉搜索树算法以提高检测效率.试验表明该方法能准确并快速地检测出使用了注册表隐藏技术的Rootkit. 展开更多

关键词 病毒 入侵检测 rootkit 注册表 键索引 WinDbg

在线阅读 下载PDF 职称材料

Windows Rootkit进程隐藏与检测技术 被引量：8

5

作者 王雷 凌翔 《计算机工程》 CAS CSCD 北大核心 2010年第5期140-142,共3页

进程隐藏是Rootkit技术的一种典型应用,隐藏运行的恶意代码威胁到计算机的安全。为此,通过分析Windows系统中利用Rootkit技术对进程进行隐藏的原理,针对用户模式和内核模式2种模式下进程隐藏技术的特点,提出几种不依赖于系统服务的隐藏... 进程隐藏是Rootkit技术的一种典型应用,隐藏运行的恶意代码威胁到计算机的安全。为此,通过分析Windows系统中利用Rootkit技术对进程进行隐藏的原理,针对用户模式和内核模式2种模式下进程隐藏技术的特点,提出几种不依赖于系统服务的隐藏进程检测技术。此类检测方法直接利用系统底层的数据结构,检测能力强。 展开更多

关键词 rootkit技术 进程隐藏 进程检测 系统内核

在线阅读 下载PDF 职称材料

一种利用程序行为分析的rootkit异常检测方法 被引量：3

6

作者 潘剑锋 奚宏生 谭小彬 《中国科学技术大学学报》 CAS CSCD 北大核心 2010年第8期863-869,共7页

提出了一种基于程序行为截取与分析的rootkit异常检测方法,该方法首先捕获软件行为和检测行为痕迹,然后采用基于隐Markov模型(HMM)的异常检测算法分析所获得的行为数据,从而检查出隐藏于操作系统中的rootkit.实验结果表明,该方法能有效... 提出了一种基于程序行为截取与分析的rootkit异常检测方法,该方法首先捕获软件行为和检测行为痕迹,然后采用基于隐Markov模型(HMM)的异常检测算法分析所获得的行为数据,从而检查出隐藏于操作系统中的rootkit.实验结果表明,该方法能有效检测出rootkit,具有高检出率和低误报率的特点,适用于计算机操作系统内的rootkit检测. 展开更多

关键词 rootkit 入侵检测 行为截获 异常检测 HMM

在线阅读 下载PDF 职称材料

一种基于VMM的内核级Rootkit检测技术 被引量：5

7

作者 张磊 陈兴蜀 +1 位作者 任益 李辉 《信息网络安全》 2015年第4期56-61,共6页

针对云平台中的虚拟机内核级Rootkit破坏租户虚拟机完整性的问题,文章提出一种基于VMM(虚拟机监视器,Virtual Machine Monitor)的内核级Rootkit检测技术。该技术以在关键路径设置陷入点的方式构建TML(True Module List),得到虚拟机中真... 针对云平台中的虚拟机内核级Rootkit破坏租户虚拟机完整性的问题,文章提出一种基于VMM(虚拟机监视器,Virtual Machine Monitor)的内核级Rootkit检测技术。该技术以在关键路径设置陷入点的方式构建TML(True Module List),得到虚拟机中真实的内核模块视图,在VMM层利用自下而上的调用方式获取虚拟机用户态视图,并在VMM层获取重构的虚拟机内核态视图,通过交叉对比这三个视图检测隐藏在虚拟机中的Rootkit。最后,利用该技术在KVM(基于内核的虚拟机,Kernel-based Virtual Machine)中实现了原型系统,实验结果表明系统能迅速准确地检测出虚拟机中的Rootkit,并依据TML报告内核级Rootkit的详细信息,系统的综合性能损耗在可接受范围内。 展开更多

关键词 VMM 内核级rootkit检测 关键路径陷入点 KVM

在线阅读 下载PDF 职称材料

Windows RootKit检测与取证技术研究 被引量：2

8

作者 王宁 刘志军 麦永浩 《信息网络安全》 2012年第2期51-52,57,共3页

文章首先对近几年来Windows RootKit检测技术的发展和研究进行了描述,接着对当前常用的RootKit检测工具及其检测方法做了介绍,进而探讨了Windows RootKit的取证与分析方法,以期对当前计算机取证人员有效解决Windows RootKit检测和取证... 文章首先对近几年来Windows RootKit检测技术的发展和研究进行了描述,接着对当前常用的RootKit检测工具及其检测方法做了介绍,进而探讨了Windows RootKit的取证与分析方法,以期对当前计算机取证人员有效解决Windows RootKit检测和取证提供一些借鉴。 展开更多

关键词 WINDOWS rootkit rootkit检测 rootkit取证

在线阅读 下载PDF 职称材料

基于VMM的Rootkit检测技术及模型分析 被引量：3

9

作者 冯帆 罗森林 《信息网络安全》 2013年第6期35-39,89,共6页

随着计算机网络的发展,信息安全已逐渐成为当今社会的主要问题之一。内核态Rootkit以其良好的隐蔽特性被广泛应用于恶意代码中,严重影响操作系统内核的完整性。文章首先对基于LKM的Linux主流Rootkit技术进行了归纳整理,剖析了当前基于VM... 随着计算机网络的发展,信息安全已逐渐成为当今社会的主要问题之一。内核态Rootkit以其良好的隐蔽特性被广泛应用于恶意代码中,严重影响操作系统内核的完整性。文章首先对基于LKM的Linux主流Rootkit技术进行了归纳整理,剖析了当前基于VMM的Rootkit检测技术及模型的原理和架构,对"In-VM"、"In-VMM"和"In-Host"检测模型的有效性、实用性、可靠性等方面进行了讨论和对比分析,其中"In-VM"模型在Rootkit检测在有效性方面效果突出,而"In-Host"模型在实用性和可靠性方面效果较好,"In-VMM"作为二者的折中方案,其各方面特性相对均衡。基于VMM的Rootkit检测技术及模型的分析,为明确该领域的研究方向及进一步研究提供参考依据。 展开更多

关键词 rootkit 虚拟机监控器 检测模型 语义重构 交叉视图

在线阅读 下载PDF 职称材料

一种检测BIOS Rootkit的技术 被引量：1

10

作者 傅鹂 向宏 +1 位作者 彭毅 刘宇 《重庆工学院学报（自然科学版）》 2009年第4期60-64,共5页

Rootkit所采用的大部分技术和技巧都用于在计算机上隐藏代码和数据,而隐藏的前提就是在第一时间取得对计算机的控制权.为了实现这个目的,在对BIOS Rootkit的检测技术进行研究的基础上,提出了一种新的检测方法.实验结果表明,该方法切实可行.

关键词 BIOS rootkit 检测 NASM程序

在线阅读 下载PDF 职称材料

Rootkit的检测与取证分析

11

作者 靳慧云 王钢 《信息网络安全》 2010年第11期68-70,共3页

Rootkit是目前难以检测、清除、防范和破坏性强的恶意程序。通过分析Rootkit的内核机制,给出检测Rootkit的基本方法,以应用于Rootkit防范和取证分析。

关键词 rootkit rootkit检测 rootkit取证分析

在线阅读 下载PDF 职称材料

一种新的内核级Rootkit的检测方法 被引量：7

12

作者 梁升荣 范明钰 +1 位作者 王光卫 郑秀林 《计算机应用研究》 CSCD 北大核心 2009年第8期3047-3049,共3页

对Rootkit的基本概念进行了介绍,然后延伸至内核级Rootkit。在详细剖析内核级Rootkit原理的基础上分析了其他检测Rootkit方法的局限性,提出一种新的方法。该方法分析内核模块加载时是否有可疑行为,结合对比system.map和kmem文件判断其... 对Rootkit的基本概念进行了介绍,然后延伸至内核级Rootkit。在详细剖析内核级Rootkit原理的基础上分析了其他检测Rootkit方法的局限性,提出一种新的方法。该方法分析内核模块加载时是否有可疑行为,结合对比system.map和kmem文件判断其是否为Rootkit。最后用实验证明了此方法的有效性。 展开更多

关键词 rootkit 内核 检测 安全

在线阅读 下载PDF 职称材料

一种硬件虚拟化技术的Rootkit及其检测 被引量：4

13

作者 凌冲 孙乐昌 刘京菊 《西安科技大学学报》 CAS 北大核心 2010年第1期86-91,共6页

硬件虚拟化技术的出现使得程序员在x86平台上构建虚拟机的方法更加简单,同时也为Rootkit的研究提供了新的平台。硬件虚拟化技术的Rootkit(HVM Rootkit)的出现对计算机信息安全领域提出了新的挑战。为了研究这种新的Rootkit技术,介绍了... 硬件虚拟化技术的出现使得程序员在x86平台上构建虚拟机的方法更加简单,同时也为Rootkit的研究提供了新的平台。硬件虚拟化技术的Rootkit(HVM Rootkit)的出现对计算机信息安全领域提出了新的挑战。为了研究这种新的Rootkit技术,介绍了硬件虚拟化技术和HVM Ro-otkit的工作机制,在此基础上对HVM Rootkit的键盘过滤和网络传输功能进行设计和实现,展示攻击者如何利用HVM Rootkit对用户计算机造成的安全威胁,对HVM Rootkit的检测问题进行分析,讨论HVM Rootkit的进一步研究方向。 展开更多

关键词 硬件虚拟化 HVM rootkit 键盘过滤 检测

在线阅读 下载PDF 职称材料

基于协同特征的BIOS Rootkit检测技术 被引量：3

14

作者 邓立丰 王宏霞 《计算机工程》 CAS CSCD 北大核心 2010年第15期134-136,139,共4页

对木马模型框架的理论及其协同隐藏模型进行研究和分析,给出BIOS Rootkit协同隐藏模型的具体形式化描述,提出一种在Windows环境下基于协同特征的BIOS Rootkit检测技术。针对现有BIOS Rootkit检测技术存在能查但不能正常恢复的问题,采用... 对木马模型框架的理论及其协同隐藏模型进行研究和分析,给出BIOS Rootkit协同隐藏模型的具体形式化描述,提出一种在Windows环境下基于协同特征的BIOS Rootkit检测技术。针对现有BIOS Rootkit检测技术存在能查但不能正常恢复的问题,采用搜索特征码并动态恢复的技术解决。实验结果表明,该检测技术具有良好的可靠性、检测效率和完整性。 展开更多

关键词 协同隐藏 BIOS rootkit技术 检测

在线阅读 下载PDF 职称材料

基于IDS报警和rootkit的威胁溯源方法研究 被引量：1

15

作者 夏坤鹏 谢正勇 崔伟 《信息网络安全》 2015年第9期231-235,共5页

随着互联网应用的普及和不断深入,网络威胁也给人们的工作和生活带来了重大挑战。为了应对这些挑战,给广大网民营造一个安全、可信的互联网环境,文章研究了威胁信息溯源问题,分析了现有威胁溯源方法存在的不足,从实践角度出发提出了一... 随着互联网应用的普及和不断深入,网络威胁也给人们的工作和生活带来了重大挑战。为了应对这些挑战,给广大网民营造一个安全、可信的互联网环境,文章研究了威胁信息溯源问题,分析了现有威胁溯源方法存在的不足,从实践角度出发提出了一种基于入侵检测系统报警信息和rootkit的威胁溯源方案。文章设定了本方案的假设条件,分析了该方案的可行性,指出了方案面临的挑战。 展开更多

关键词 威胁溯源 入侵检测 rootkit

在线阅读 下载PDF 职称材料

基于Kprobe的Rootkit检测机制 被引量：1

16

作者 杨章象 代祖华 王博 《计算机工程与应用》 CSCD 北大核心 2016年第7期127-131,共5页

对现有Linux系统下Rootkit检测技术的原理进行分析,并提出了基于Kprobe的Rootkit检测技术。通过在关键路径下插入探测点,在内核底层收集Rootkit所要隐藏的对象信息,最后通过底层收集的信息与系统中审计工具所得的结果进行交叉视图的比... 对现有Linux系统下Rootkit检测技术的原理进行分析,并提出了基于Kprobe的Rootkit检测技术。通过在关键路径下插入探测点,在内核底层收集Rootkit所要隐藏的对象信息,最后通过底层收集的信息与系统中审计工具所得的结果进行交叉视图的比对得到被隐藏对象。在实验阶段选择几种现有流行的Rootkit安装,采用了基于Kprobe的检测方法,通过实验结果表明该机制具有良好的可靠性。 展开更多

关键词 rootkit检测 Kprobe 内核 审计工具 交叉视图比对

在线阅读 下载PDF 职称材料

Windows系统下多种Rootkit隐藏方式分析以及探测方法研究

17

作者 张亚航 刘波 +2 位作者 韩啸 姜电波 靳远游 《信息网络安全》 2009年第5期51-54,共4页

在网络攻防中,系统攻击者最大的障碍,常常是作为系统安全守护者的安全防护软件。本文通过对Windows NT操作系统下Rootkit隐藏机制的研究,分别实现了修改进程调度表SSDT、直接修改内核对象DKOM和修改IRP等多种Rootkit实现技术,达到对抗... 在网络攻防中,系统攻击者最大的障碍,常常是作为系统安全守护者的安全防护软件。本文通过对Windows NT操作系统下Rootkit隐藏机制的研究,分别实现了修改进程调度表SSDT、直接修改内核对象DKOM和修改IRP等多种Rootkit实现技术,达到对抗安全软件的目的。本文针对不同的Rootkit实现技术进行了Rootkit检测技术的研究和实现。 展开更多

关键词 WINDOWS rootkit SSDT DKOM IRP 检测技术

在线阅读 下载PDF 职称材料

基于Windows API调用机制的Rootkit检测系统的设计与研究

18

作者 袁宇恒 黄耿星 龚征 《信息网络安全》 2014年第11期52-58,共7页

从功能上来看,Rootkit是指隐藏进程、网络端口、文件痕迹等的恶意软件,现已被广泛应用在黑客入侵和攻击他人的计算机系统上。许多计算机病毒、间谍软件也都常常使用Rootkit潜伏在操作系统上伺机而动。如何有效地对Rootkit进行检测和防... 从功能上来看,Rootkit是指隐藏进程、网络端口、文件痕迹等的恶意软件,现已被广泛应用在黑客入侵和攻击他人的计算机系统上。许多计算机病毒、间谍软件也都常常使用Rootkit潜伏在操作系统上伺机而动。如何有效地对Rootkit进行检测和防范成为应对木马入侵和僵尸网络的首要解决的关键问题。文章在以往的研究基础上,通过深入探讨Windows底层原理,开发了一个基于Windows API调用机制的Rootkit检测系统。在该系统的帮助下,用户不但可以深入查看操作系统的各类底层信息,还可以很方便地找出隐藏在计算机之中的病毒、木马并进行清理,从而更好地保护操作系统。该系统丰富了现今针对Rootkit检测的研究成果,对后续的研究具有一定的参考价值。 展开更多

关键词 rootkit检测 WINDOWS内核 操作系统

在线阅读 下载PDF 职称材料

面向异构BIOS环境的Rootkit通用性检测方法 被引量：1

19

作者 何利文 侯小宇 +2 位作者 唐澄澄 周睿 张幸宁 《计算机工程与应用》 CSCD 北大核心 2019年第23期105-112,共8页

在传统木马模型框架的基础上,对Rootkit协同隐藏形式化模型进行分析和改进,实现了一个面向异构BIOS环境的Rootkit形式化检测模型。该模型根据协同隐藏思想,将整个检测流程分为三个模块。对多种异构BIOS环境下的Rootkit样本进行研究,并... 在传统木马模型框架的基础上,对Rootkit协同隐藏形式化模型进行分析和改进,实现了一个面向异构BIOS环境的Rootkit形式化检测模型。该模型根据协同隐藏思想,将整个检测流程分为三个模块。对多种异构BIOS环境下的Rootkit样本进行研究,并结合可信计算思想,提出基于可信计算的检测方法。该方法和Rootkit形式化检测模型相结合,根据多个异构BIOS环境的Rootkit样本分析结果建立三条可信链,对不同模块提出不同检测思想,如:基于可信计算的完整性检测方法、检测中断向量表入口地址等。实验结果表明,该检测方法对异构BIOS环境下不同系统环境的Rootkit可进行有效检测。 展开更多

关键词 rootkit 异构BIOS环境 协同隐藏 形式化模型 可信计算 检测

在线阅读 下载PDF 职称材料

Linux系统调用劫持:技术原理、应用及检测 被引量：11

20

作者 时金桥 方滨兴 +1 位作者 胡铭曾 李斌 《计算机工程与应用》 CSCD 北大核心 2003年第32期167-170,共4页

系统调用劫持是黑客入侵系统后保留后门常用的一项技术。文章提出了利用可装入内核模块修改系统调用表和中断描述符表两种实现Linux系统调用劫持的方法,探讨了系统调用劫持技术在rootkit、入侵检测等方面的应用,并给出了利用kmem进行系... 系统调用劫持是黑客入侵系统后保留后门常用的一项技术。文章提出了利用可装入内核模块修改系统调用表和中断描述符表两种实现Linux系统调用劫持的方法,探讨了系统调用劫持技术在rootkit、入侵检测等方面的应用,并给出了利用kmem进行系统调用劫持检测的一般方法。该文的分析基于Intelx86平台上的2.4内核。 展开更多

关键词 系统调用劫持 可装入内核模块 rootkit 入侵检测

在线阅读 下载PDF 职称材料