基于Windows NT平臺(tái)進(jìn)程監(jiān)控系統(tǒng)研究與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)的普及和計(jì)算機(jī)網(wǎng)絡(luò)的使用，計(jì)算機(jī)越來越多地服務(wù)于人們的生產(chǎn)和生活。主機(jī)與網(wǎng)絡(luò)安全成為人們關(guān)注的重要問題，進(jìn)程是計(jì)算機(jī)系統(tǒng)的主體，目前許多網(wǎng)絡(luò)攻擊手段都是通過運(yùn)行非法進(jìn)程來入侵和攻擊目標(biāo)計(jì)算機(jī)的。越來越多的后門程序深入到系統(tǒng)內(nèi)核隱藏自身，在用戶不知不覺中竊取信息、收集數(shù)據(jù)、破壞系統(tǒng)。因此，如何阻斷非法進(jìn)程的入侵并保障合法進(jìn)程的安全運(yùn)行，已成為計(jì)算機(jī)安全領(lǐng)域研究的重點(diǎn)。
　　 目前主流的Windows操作系統(tǒng)自帶的任務(wù)管理

2、器是較為優(yōu)秀的進(jìn)程監(jiān)控工具，通過它可了解當(dāng)前系統(tǒng)中正在運(yùn)行的進(jìn)程信息，并可以禁止進(jìn)程的運(yùn)行。但是，借助這些工具無法判別當(dāng)前運(yùn)行的進(jìn)程的合法性。
　　 本文深入研究了隱藏進(jìn)程常用的技術(shù)，分析了用戶模式和內(nèi)核模式下各種掛鉤的原理，包括IAT掛鉤、Inline掛鉤、IDT掛鉤、SSDT掛鉤等；接著對(duì)使用直接內(nèi)核對(duì)象操作進(jìn)行進(jìn)程隱藏的技術(shù)進(jìn)行了深入的剖析，分析了內(nèi)核對(duì)象的結(jié)構(gòu)、DKOM的基本原理和技術(shù)實(shí)現(xiàn)。在分析了隱藏進(jìn)程所采用的各種技

3、術(shù)手段的基礎(chǔ)之上，針對(duì)當(dāng)前監(jiān)控工具的不足，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)通用、有效、智能的進(jìn)程監(jiān)控系統(tǒng)。該系統(tǒng)采用模塊化設(shè)計(jì)，便于系統(tǒng)的擴(kuò)展與更新。
　　 本文闡述了整個(gè)系統(tǒng)功能模塊設(shè)計(jì)的總體框架，并對(duì)單機(jī)版的框架進(jìn)行擴(kuò)展得到網(wǎng)絡(luò)版的設(shè)計(jì)框架。在系統(tǒng)模型中，采用用戶態(tài)與內(nèi)核態(tài)兩種方式獲取進(jìn)程信息，并對(duì)信息進(jìn)行對(duì)比，可以判斷出系統(tǒng)中運(yùn)行的隱藏進(jìn)程。
　　 本文的核心部分是對(duì)進(jìn)程行為的監(jiān)控技術(shù)，包括對(duì)進(jìn)程創(chuàng)建與注銷的監(jiān)控、注冊(cè)表監(jiān)控、文件