内核级木马隐藏技术研究与实践

实用标准文案 精彩文档 [普及文]NT内核简介——HIPS与现代木马 序言 -------------------------------------------------------------------- 很多年前，安全软件不像现在这样复杂。 那时的天是蓝的，水是清的，木马是跑在R3的，杀软是全靠特征码的。当时打开任务管理器看两眼就可以知道有没有木马运行。 然而，好景不长，随着NT内核的大范围普及(2000 / XP ......),一种新兴的木马——Rootkit型木马诞生了。（Rootkit的本义并不指木马，其意义与其本义相比有所引申，但是大量的木马使用了Rootkit技术） 当时最具代表性的，在国外来说，是Hacker Defender(hxdef100），在国内来说，则是大名鼎鼎的灰鸽子。 这类木马的普遍特点是，能够良好地隐藏自身，躲过常规分析手段和杀软的检测，包括注册表关键位置隐藏，文件隐藏等等，这些木马一度让当时的杀软束手无策，用户更是摸不着头脑，因为常规检测方法已经无法发现它们了。 于是，一类叫作ARK的工具被发明了，ARK——Anti-Rookit，反Rootkit工具，当时在国内的代表是Icesword、DarkSpy等,在国外则是 Rootkit Detector等。这些ARK工具同样使用了Rootkit技术，于是能够发现Rootkit木马的踪迹。而一些杀软为了遏制Rootkit木马，也在自己的杀软中应用了Rootkit技术。同时，越来越复杂的文件加壳技术使传统特征码杀毒引擎捉襟见肘，许多杀软一方面大力改进启发式引擎，一方面融入了最初的HIPS的雏形，即简单的注册表控制等功能。同时一些早期的HIPS工具也开始逐渐应用Rootkit技术，如WinPatrol、SSM等等。 时至今日，Rootkit技术已经广泛应用于木马、安全软件、流氓软件中。现代木马几乎全部是Rootkit木马，而安全软件也几乎都应用了Rootkit技术，臭名昭著的某"XX上网"中也大量应用了Rootkit技术。 以下的"现代木马"均指Rootkit木马. ----------------------------------------------------------------------

什么是木马病毒（Trojan）木马（Trojan）这个名字来源于古希腊传说(荷马史诗中木马计的故事,Trojan一词的特洛伊木马本意是特洛伊的,即代指特洛伊木马,也就是木马计的故事)。

“木马”程序是目前比较流行的病毒文件，与一般的病毒不同，它不会自我繁殖，也并不“刻意”地去感染其他文件，它通过将自身伪装吸引用户下载执行，向施种木马者提供打开被种者电脑的门户，使施种者可以任意毁坏、窃取被种者的文件，甚至远程操控被种者的电脑。

“木马”与计算机网络中常常要用到的远程控制软件有些相似，但由于远程控制软件是“善意”的控制，因此通常不具有隐蔽性；“木马”则完全相反，木马要达到的是“偷窃”性的远程控制，如果没有很强的隐蔽性的话，那就是“毫无价值”的。

它是指通过一段特定的程序（木马程序）来控制另一台计算机。

木马通常有两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。

植入被种者电脑的是“服务器”部分，而所谓的“黑客”正是利用“控制器”进入运行了“服务器”的电脑。

运行了木马程序的“服务器”以后，被种者的电脑就会有一个或几个端口被打开，使黑客可以利用这些打开的端口进入电脑系统，安全和个人隐私也就全无保障了！木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。

木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。

随着病毒编写技术的发展，木马程序对用户的威胁越来越大，尤其是一些木马程序采用了极其狡猾的手段来隐蔽自己，使普通用户很难在中毒后发觉。

[编辑本段]木马病毒的原理一个完整的特洛伊木马套装程序含了两部分：服务端（服务器部分）和客户端（控制器部分）。

植入对方电脑的是服务端，而黑客正是利用客户端进入运行了服务端的电脑。

运行了木马程序的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开端口，向指定地点发送数据（如网络游戏的密码，即时通信软件密码和用户上网密码等），黑客甚至可以利用这些打开的端口进入电脑系统。

doi：10.3969/j.issn.1671-1122.2020.11.005基于Rootkit隐藏行为特征的Linux恶意代码取证方法文伟平，陈夏润，杨法偿（北京大学软件与微电子学院，北京 102600）摘 要：近年来，在互联网不断发展的同时，网络安全问题也层出不穷，而在对抗网络安全威胁时，取证问题一直是个难题。

尤其是针对Linux平台，目前主流的Linux开源取证工具多数存在滞后、效率低、无法对隐蔽性强的木马进行取证等问题。

在Linux取证研究中，Rootkit木马具有隐蔽性强、危害性大的特点，传统检测方法难以进行有效检测。

为解决上述问题，文章从Rootkit的行为和实现技术出发，对其启动机制和内存驻留机制进行研究分析，提炼恶意代码行为作为检测特征，提出一种基于Rootkit隐藏行为特征的Linux恶意代码取证方法。

实验表明，文章提出的取证方法对各类Linux恶意代码具有很好的检出效果和取证效果，相较传统取证方法在检测效果上具有明显优势。

关键词：计算机取证；Rootkit；恶意代码；Linux系统中图分类号：TP309 文献标志码： A 文章编号：1671-1122（2020）11-0032-11中文引用格式：文伟平，陈夏润，杨法偿.基于Rootkit隐藏行为特征的Linux恶意代码取证方法[J].信息网络安全，2020，20（11）：32-42.英文引用格式：WEN Weiping, CHEN Xiarun, YANG Fachang. Malicious Code Forensics Method Based on Hidden Behavior Characteristics of Rootkit on Linux[J]. Netinfo Security, 2020, 20(11): 32-42.Malicious Code Forensics Method Based on Hidden BehaviorCharacteristics of Rootkit on LinuxWEN Weiping, CHEN Xiarun, YANG Fachang(School of Software and Microelectronics, Peking University, Beijing 102600, China)Abstract: In recent years, with the continuous development of the Internet, network security problems emerge endlessly. When fighting against network security threats, forensicshas always been a big problem. Especially for Linux platform, most mainstream Linux opensource forensics tools are currently lagging behind, inefficient and unable to obtain evidencefrom the hidden Trojans. In the research of Linux forensics, because the Rootkit Trojan hasthe characteristics of strong concealment and great harm, traditional detection methods aredifficult to carry out effective detection. In order to solve the above problems, starting fromthe behavior and implementation technology of Rootkit, this paper studies and analyzes its收稿日期：2020-7-8基金项目：国家自然科学基金[61872011]作者简介：文伟平（1976—），男，湖南，教授，博士，主要研究方向为系统与网络安全、大数据与云安全、智能计算安全；陈夏润（1997—），男，江西，硕士研究生，主要研究方向为网络与系统安全、漏洞挖掘；杨法偿（1995—），男，河南，硕士研究生，主要研究方向为系统安全、计算机取证。

Windows内核级防护系统孟晨宇;史渊;王佳伟;周洁;康晓凤【摘要】Windows操作系统是当今应用最广泛的个人计算机操作系统,针对这一操作系统的病毒和木马层出不穷.大多数杀毒软件主要依赖特征码识别技术、校验和技术、软件模拟技术检测病毒.本系统从手动杀毒角度出发,变被动防御为主动查杀,特别是Rootkit保护的内核级木马,通过检测相应的被挂钩函数,内核中被修改的地址,找到相应的进程,从而实现了木马进程的强杀、相应内核内容的恢复等功能,更有效的保护计算机操作系统的安全.【期刊名称】《软件》【年(卷),期】2016(037)003【总页数】6页(P16-20,26)【关键词】内核防护;手动杀毒;信息安全;Rootkit【作者】孟晨宇;史渊;王佳伟;周洁;康晓凤【作者单位】徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000)【正文语种】中文【中图分类】TP311本文著录格式：孟晨宇，史渊，王佳伟，等. Windows内核级防护系统［J］. 软件，2016，37（3）：16-20随着网络技术的发展，计算机在人民生活中的地位越来越重要。

计算机在给人民的生活和工作带来极大便利的同时，也带来了信息安全问题。

Windows操作系统是当今应用最广泛的个人计算机操作系统，针对这一操作系统的病毒和木马层出不穷。

[1]而且更为严重的是内核级Rootkit的诞生，给系统安全带来了极大的破坏性。

内核是操作系统的核心，内核的完整性保护对维护操作系统至关重要。

[2]所以本系统旨在从内核出发，全方位的利用多种综合检测技术维护系统内核的安全性以及完整性。

1.1 系统整体设计方案本系统主要分为用户层和内核层，[3]用户层利用VC++ 6.0开发，采用C++语言实现，[3-5]内核层利用WDK开发，采用C语言实现。

疱丁解马-木马查杀深度剖析之文件篇(三) 作者：museheroA、利用技术手段隐藏文件讲完了障眼法后，我们讲点实在的。

其实，如果您是从第一篇一直看过来的，那么应该可以想到一些手段了，是的，HOOK、InLine-HOOK几乎可以用于任何地方，不但适用于隐藏进程、隐藏注册表，同样适用于隐藏文件，不同的只是HOOK的地方不同而已。

看下图03－49：这是某文件夹隐藏软件的HOOK情况，当用其隐藏文件或文件夹后，可以在SSDT 检查中发现这个HOOK，HOOK的功能函数是”NtQueryDirectoryFile”，当你恢复了此HOOK后，被隐藏的东西自然也就显现了。

同理，Inline-Hook此函数，效果也是一样的。

对于HOOK，每篇都在讲，这里就不过多讲述了。

测试程序也不提供了，毕竟人家是商业软件，是*这个吃饭的。

说明一下儿，内核代码扫描是扫描并恢复Inline-HOOK的地方。

下面我们讲一讲借助文件系统隐藏文件的情况，上面的基础知识中我们已经讲过了，回顾一下儿”文件格式有特定的程序来识别并读取使用，而文件系统格式则由特定的驱动来识别并读取使用，文件系统驱动根据文件系统的不同而不同，FAT 文件系统、NTFS文件系统分别由FastFat.sys与NTFS.sys来管理。

”这里我们再讲一个概念”文件过滤系统驱动”，听名字应该也能想出大概了吧？是的，这是一个文件过滤系统，付在文件系统上，像个筛子一样对传入文件系统驱动的信息进行过滤。

文件过滤系统在现实中应用非常广泛，几乎所有的杀毒软件都会用到，而系统本身的系统还原也是应用的文件过滤系统，还有些硬盘还原之类的程序也在使用文件过滤驱动。

在网上找到了个借助文件过滤系统驱动来隐藏文件的例程，这里我们就借由此程序来看看文件过滤系统是如何隐藏文件的。

（在此说明一下，说来也惭愧，测试程序都是在网上找的，其实应该是自己来写的，只是我的时间实在是太不够用了，只好偷懒了，在此也谢谢这些程序的作者们。

Rootkit的类型、功能及主要技术Rootkit 的类型小结1.固化Rootkits和BIOS Rootkits固化程序是存于ROM中，通常很小，使用系统硬件和BIOS 创建顽固的软件镜像。

将制定的代码植入到BIOS 中，刷新BIOS，在BIOS 初始化的末尾获得运行机会。

重启无用、格式化无用，在硬盘上无法探测，现有的安全软件将大部分的扫描时间用在了对硬盘的扫描上。

本文整理：（第三方信息安全网）/2 内核级Rootkits内核级Rootkits(Kernelland Rootkits)是通过修改内核、增加额外的代码、直接修改系统调用表、系统调用跳转(Syscall Jump)，并能够替换一个操作系统的部分功能，包括内核和相关的设备驱动程序。

现在的操作系统大多没有强化内核和驱动程序的不同特性。

许多内核模式的Rootkit 是作为设备驱动程序而开发，或者作为可加载模块，如Linux 中的可加载模块或Windows 中的设备驱动程序，这类Rootkit 极其危险，它可获得不受限制的安全访问权。

如果代码中有任何一点错误，那么内核级别的任何代码操作都将对整个系统的稳定性产生深远的影响。

特点：无进程；无端口。

与用户级Rootkit 相比，与操作系统处于同一级别，可以修改或破坏由其它软件所发出的任何请求。

3 用户态Rootkits用户态Rootkits(Userland Rootkits)是运行在Ring3 级的Rootkit，由于Ring3 级就是用户应用级的程序，而且信任级别低，每一个程序运行，操作系统给这一层的最小权限。

用户态Rootkit使用各种方法隐藏进程、文件，注入模块、修改注册表等。

4 应用级Rootkits应用级Rootkits 通过具有特洛伊木马特征的伪装代码来替换普通的应用程序的二进制代码，也可以使用Hook、补丁、注入代码或其它方式来修改现有应用程序的行为。

5 代码库Rootkits代码库Rootkits 用隐藏攻击者信息的方法进行补丁、Hook、替换系统调用。

第1篇一、实验目的1. 了解信息隐藏技术的基本原理和实现方法。

2. 掌握信息隐藏技术在图像、音频和视频等数字媒体中的应用。

3. 通过实验验证信息隐藏技术的有效性和安全性。

二、实验环境1. 操作系统：Windows 102. 编程语言：Python3. 库：OpenCV、scikit-image、numpy、matplotlib三、实验内容1. 图像信息隐藏2. 音频信息隐藏3. 视频信息隐藏四、实验步骤1. 图像信息隐藏（1）选择一幅图像作为宿主图像，并选择一幅图像作为水印图像。

（2）将水印图像转换为二值图像。

（3）对宿主图像进行分块处理，将每个块转换为二值图像。

（4）根据密钥对水印图像进行置乱，提高安全性。

（5）将置乱后的水印图像嵌入到宿主图像的对应块中。

（6）提取水印图像，并与原始水印图像进行对比。

2. 音频信息隐藏（1）选择一段音频作为宿主音频，并选择一段音频作为水印音频。

（2）对宿主音频和水印音频进行分帧处理。

（3）根据密钥对水印音频进行置乱，提高安全性。

（4）将置乱后的水印音频嵌入到宿主音频的对应帧中。

（5）提取水印音频，并与原始水印音频进行对比。

3. 视频信息隐藏（1）选择一段视频作为宿主视频，并选择一段视频作为水印视频。

（2）对宿主视频和水印视频进行帧提取。

（3）根据密钥对水印视频进行置乱，提高安全性。

（4）将置乱后的水印视频嵌入到宿主视频的对应帧中。

（5）提取水印视频，并与原始水印视频进行对比。

五、实验结果与分析1. 图像信息隐藏实验结果表明，嵌入水印后的图像与原始图像在视觉效果上几乎没有差异，水印的嵌入效果良好。

同时，提取的水印图像与原始水印图像完全一致，证明了信息隐藏技术的有效性。

2. 音频信息隐藏实验结果表明，嵌入水印后的音频与原始音频在音质上几乎没有差异，水印的嵌入效果良好。

同时，提取的水印音频与原始水印音频完全一致，证明了信息隐藏技术的有效性。

3. 视频信息隐藏实验结果表明，嵌入水印后的视频与原始视频在视觉效果上几乎没有差异，水印的嵌入效果良好。