Windows 内核级进程隐藏、侦测技术.docx

Windows内核级进程隐藏、侦测技术Windows2003内核级进程隐藏、侦测技术论文关键字：内核拦截活动进程链表系统服务派遣表线程调度链驱动程序简介  论文摘要：信息对抗是目前发展的一个重要的方向，为了更好的防御，必须去深入的了解敌人进攻的招式。信息对抗促使信息技术飞速的发展。下面我选取了信息对抗技术的中一个很小一角关于windows内核级病毒隐藏技术和反病毒侦测技术作为议题详细讨论。1.为什么选驱动程序驱动程序是运行在系统信任的Ring0下在代码，她拥有对系统任何软件和硬件的访问权限。这意味着内核驱动可以访问所有的系统资源，可以读取所有的内存空间，而且也被允许执行CPU的特权指令，如，读取CPU控制寄存器的当前值等。而处于用户模式下的程序如果试图从内核空间中读取一个字节或者试图执行像MOVEAX,CR3这样的汇编指令都会被立即终止掉。不过，这种强大的底线是驱动程序的一个很小的错误就会让整个系统崩溃。所以对隐藏和反隐藏技术来说都提供了一个极好的环境。但是又对攻击者和反查杀者提出了更高的技术要求。2.入口例程DriverEntryDriverEntry是内核模式驱动程序主入口点常用的名字，她的作用和main，WinMain，是一样的。extern"C"NTSTATUSDriverEntry(INPDRIVER_OBJECTDriverObject,INPUNICODE_STRINGRegistryPath){...}DriverEntry的第一个参数是一个指针，指向一个刚被初始化的驱动程序对象，该对象就代表你的驱动程序，DriverEntry的第二个参数是设备服务键的键名。DriverEntry函数返回一个NTSTATUS值。NTSTATUS实际就是一个长整型，但你应该使用NTSTATUS定义该函数的返回值而不是LONG，这样代码的可读性会更好。大部分内核模式支持例程都返回NTSTATUS状态代码，你可以在DDK头文件NTSTATUS.H中找到NTSTATUS的代码列表。DriverEntry的作用主要就是创建设备对象，建立设备对象的符号链接，设置好各个类型的回调函数等。例如：extern"C"NTSTATUSDriverEntry(INPDRIVER_OBJECTDriverObject,INPUNICODE_STRINGRegistryPath){ DriverObject->DriverUnload=DriverUnload;                                                           <--1 DriverObject->DriverExtension->AddDevice=AddDevice; DriverObject->DriverStartIo=StartIo; DriverObject->MajorFunction[IRP_MJ_PNP]=DispatchPnp;                                       <--2 DriverObject->MajorFunction[IRP_MJ_POWER]=DispatchPower; DriverObject->MajorFunction[IRP_MJ_SYSTEM_CONTROL]=DispatchWmi; ...}在WDM中通过设置AddDevice回调函数来创建设备对象