基于内存池搜索的Rootkit检测技术研究

摘要：

在内存池中搜索被rootkit隐藏的对象,是检测使用DKOM技术的rootkit的有效手段,而如何抽取和建立对象的特征码是内存池搜索的前提条件和关键步骤。本文首先提出了一个抽取特征码的方法,用该方法抽取的特征码具有抗攻击性,使得漏报的理论值为零。然后,进一步探讨了如何减少误报的方法。将上述方法和差异检测技术结合起来,可对使用DKOM技术隐藏的rootkit对象进行有效的检测。

关键词： rootkit检测 Windows内存池 隐藏对象 内存池搜索 特征码抽取 差异检测

作者: 邹蕴珂 李舟军 柳本金

作者单位: 北京航空航天大学计算机学院 北京 100191 海军装备研究院 北京 100161 北京航空航天大学计算机学院 北京 100191 中国信息安全测评中心 北京 100085

会议类型: 国内会议

会议名称: 第二届信息安全漏洞分析与风险评估大会

会议地点: 北京

会议语种:中文

页码: 263-267

在线出版日期: 2009-12-01（万方平台首次上网日期，不代表论文的发表时间）