ＳＳＮ１６７２．１４３８　ＣＮ　１＇．４９９４／Ｔ　中国观代欺有装备　２０１　１年第９期　总第１２１期　

Ｗ　ｉ　ｎｄｏｗｓ　Ｒｏ　ｏ　ｔＫ　ｉ　ｔ进程隐藏与检测技术的研究　刘正宏　北京电子科技职业学院北京１００１７６　

摘　要：目前木马制造者趋于利用ＲｏｏｔＫｉｔ技术来隐藏它们的进程，危害信息与网络安全。重点从用户和内核两种模式深入　剖析Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ隐藏进程技术，并提出基于进程表的综合检测机制。测试证明：只有从用户和内核两种模式下应用　多种进程表检测技术，才是安全检测隐藏进程更为有效的方法。　关键词：Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ；远程线程注入；Ｄｋｏｍ：进程表　

Ｒｅｓｅａｒｃｈ　ｏｎ　Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ　ｈｉｄｄｅｎ　ｐｒｏｃｅｓｓ　ａｎｄ　ｄｅｔｅｃｔｉｏｎ　ｔｅｃｈｎｏｌｏｇｙ　Ｌｉｕ　Ｚｈｅｎｇｈｏｎｇ　Ｂｅｉｊｉｎｇ　ｖｏｃａｔｉｏｎａｌ　ｃｏｌｌｅｇｅ　ｏｆｅｌｅｃｔｒｏｎｉｃ　ｓｃｉｅｎｃｅ　ａｎｄ　ｔｅｃｈｎｏｌｏｇｙ，Ｂｅｉｊｉｎｇ，１００１７６，Ｃｈｉｎａ　Ａｂｓｔｒａｃｔ：Ａｔ　ｐｒｅｓｅｎｔ　ｔｈｅ　ｄｅｓｉｇｎｅｒｓ　ｏｆ　Ｔｒｏｊａｎ　Ｈｏｒｓｅ　ｔｅｎｄ　ｔｏ　ｕｓｅ　ｔｈｅ　ＲｏｏｔＫｉｔ　ｔｅｃｈｎｉｑｕｅ　ｔｏ　ｈｉｄｅ　ｔｈｅｉｒ　ｐｒｏｃｅｓｓ　ａｎｄ　ｈａｒｍ　ｔｈｅ　ｓａｆｅｔｙ　ｏｆ　ｉｎｆｏｒｍ￣ｉｏｎ　ａｎｄ　ｎｅｔｗｏｒｋ．Ｔｈｉｓ　ａｒｔｉｃｌｅ　ｆｏｃｕｓｅｓ　ｏｎ　ｕｓｉｎｇ　ｔｈｅ　ｔｗｏ　ｍｏｄｅｓ　ｏｆ　ｕｓｅｒ　ａｎｄ　ｋｅｒｎｅｌ，ｔｈｉｓ　ｔｈｅｓｉｓ　ａｎａｌｙｓｅｓ　ｉｎ　ｄｅｔａｉｌ　ｔｈｅ　ｈｉｄｄｅｎ　ｐｒｏｃｅｓｓ　ｔｅｃｈｎｏｌｏｇｙ　ｉｎ　Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ．Ｉｔ　ａｌｓｏ　ｐｏｉｎｔ　ｏｕｔ　ｔｈｅ　ｄｅｔｅｃｔｉｏｎ　ｍｅｃｈａｎｉｓｍ　ｂａｓｅｄ　ｏｎ　ｐｒｏｃｅｓｓＬｉｓｔ．Ｔｅｓｔ　ｒｅｓｕｌｔｓ　ｐｒｏｖｅｄ　ｔｈａｔ　ｏｎｌｙ　ａｐｐｌｙｉｎｇ　ｖａｒｉｏｕｓ　ｐｒｏｃｅｓｓＬｉｓｔ　ｄｅｔｅｃｔｉｎｇ　ｔｅｃｈｎｏｌｏｇｙ　ｆｒｏｍ　ｔｗｏ　ｍｏｄｅｓ　ｏｆ　ｕｓｅｒ　ａｎｄ　Ｋｅｒｎｅｌ　ｃａｎ　ｗｅ　ｔｅｓｔ　ｔｈｅ　ｈｉｄｄｅｎ　ｐｒｏｃｅｓｓ　ｍｏｒｅ　ｓａｆｅｌｙ　ａｎｄ　ｅｆｆｅｃｔｉｖｅｌｙ．　Ｋｅｙ　ｗｏｒｄｓ：Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ；ｒｅｍｏｔｅｔｈｒｅａｄ　ｉｎｊｅｃｔｉｏｎ；Ｄｋｏｍ；ｐｒｏｃｅｓｓＬｉｓｔ　

随着网络的普及与发展，网络安全问题日益突出，　一部分木马制造者已将触角深入系统底层来隐藏木马，　通过修改操作系统内核来隐藏自己，欺骗用户，这就是　ＲｏｏｔＫｉｔ。ＲｏｏｔＫｉｔ的隐藏特性严重影响系统的安全性　和可靠性，而ＲｏｏｔＫｉｔ进程隐藏已成为管理员和安全检　测软件所面临的最为迫切的安全威胁。　１　Ｗｉ　ｎｄｏｗｓ　ＲｏｏｔＫｉｔ介绍　Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ是一个程序的集合，用于实现自　身及系统中特定资源和活动的隐藏，破坏可信任计算机　的完整性。攻击者通过在系统中种植ＲｏｏｔＫｉｔ，维护一　个系统后门，以管理员权限控制系统，并且通过隐藏进　程、文件、端口、句柄、注册表项、键值等来隐藏攻　击行为。　２　Ｗ　ｉ　ｎｄｏｗｓ　ＲｏｏｔＫ　ｉ　ｔ进程隐藏技术分析　从运行环境和隐藏手段看，主要可归结为２类：　收稿日期：２０１１－０１—１１　作者简介：刘正宏，硕士，高级讲师，系主任。　２４　（１）用户模式下，修改程序执行路径。　（２）内核模式下，控制和修改操作系统内核结构和　代码。　这两种方式都可以通过挂钩系统重要函数模块、　修改系统中重要数据结构等途径，对系统进程的相关信　息进行劫持与修改，以达隐藏进程的目的。　２．１修改程序执行路径，实现进程隐藏　在用户模式下，修改程序执行路径，实现进程隐藏　主要是通过远程线程注入技术。　２．１．１远程线程注入技术　是指通过在另一个进程中创建远程线程的方法进　入进程的内存地址空间。其核心是产生一个特殊的线　程，这个线程能够将一段执行代码连接到另一个进程所　处的内存空间里，作为另一个进程的其中一个非核心线　程来运行，从而达到交换数据隐藏自身的目的。其中远　程线程注入ｄｌｌ是该技术中最佳方法，为进程隐藏提供了　更大的灵活性。　２．１．２远程线程注入ｄ１ｌ，隐藏进程　远程线程注入ｄｌｌ其意义是将ｄｌｌ文件嵌入到正在运　行的系统进程当中。ｄｌｌ文件是由多个功能函数构成，它　并不能独立运行，所以在进程列表中并不会出现ｄｌ１。　ｈＲｅｍｏｔｅＴｈｒｅｄ＝ＣｒｅａｔｅＲｅｍｏｔｅＴｈｒｅａｄ（ｈＲｅｍｏｔｅＰｒｏｃｅ　ｓｓ，ＮＵＬＬ，０，ｐｆｎＳｔａｒＡｄｄｒ，ｐｓｚＬｉｂＦｉｌｅＲｅｍｏｔｅ，０，ＮＵＬＬ）；　

２０１１年５月　２０１１年第９期　总第１２１期　中国观代孝　装备　ＳＳＮ１　６７２—１４３８　ＣＮ１１

－４９９４／１－　

首先把一个实际为木马主体的ｄｌｌ文件（参数　ｐｓｚＬｉｂＦｉｌｅＲｅｍｏｔｅ）通过ＷｒｉｔｅＰｒｏｃｅｓｓＭｅｍｏｒｙ函数　载入内存，然后通过“线程注入”技术，即使用　ＣｒｅａｔｅＲｅｍｏｔｅＴｈｒｅａｄ函数在远程进程中创建一个线程，　将其注入其他进程（地址ｐｆｎＳｔａｒＡｄｄｒ）的内存空间，最后　这个ｄｌｌ里的代码就成为其他进程的一部分来实现了自　身的隐藏。　２．２控制和修改操作系统内核结构和代码，实现进　程隐藏　在内核模式下，Ｗｉｎｄｏｗｓ　ＲｏｏｔＫｉｔ进程隐藏方法主　要有通过挂钩系统服务描述表（ＳＳＤＴ）￣Ｂ直接修改操作　系统用于监控系统资源的数据（ＤＫＯＭ技术１。　２．２．１通过挂钩系统服务描述表（ＳＳＤＴ），实现进程　隐藏　ＳＳＤＴ表是函数地址表，其中存放了所有系统服　务函数的入口地址。系统服务调度程序通过查找　ＳＳＤＴ来调用相应的系统服务。因此，ＲｏｏｔＫｉｔ可以将　Ｓ　ＳＤＴ中的系统服务地址替换为自己代码的地址，由　ＲｏｏｔＫｉｔ代码调用真正的系统服务并对结果作相应　处理，再通过Ｈｏｏｋ劫持ＺｗＱｕｅｒｙＳｙｓｔｅｍｌｎｆｏｒｍａｔｉｏｎ或　ＮｔＱｕｅｒｙＳｙｓｔｅｍｌｎｆｏｒｍａｉｏｎ修改其返回数据，删除需要隐　藏的进程的信息。　２．２．２通过直接内核对象操作技术（ＤＫＯＭ），实现进　程隐藏　操作系统通过创建相关内核对象来登记和审计系　统资源，ＤＫＯＭ则通过修改这些内核对象来隐藏特定资　源，即主要通过修改活动进程列表实现进程隐藏。　（１）进程隐藏原理　Ｗｉｎｄｏｗｓ操作系统中，枚举进程使用的是活动进程　列表ＰｓＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｓｔ，它是一个双向链表，每个结点　对应一个进程的ＥＰＲＯＣＥＳＳ数据结构，所有结点通过　ＥＰＲＯＣＥＳＳ结构中的ＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋｓ双向指针链在　一起，通过修改两个指针可以隐藏指定进程。即把当前　进程的前一个进程的ＢＬＩＮＫ指向当前进程后一个进程　的ＦＬＩＮＫ，再把当前进程后一个进程的ＦＬＩＮＫ￣向当前　进程前一个进程的ＦＬＩＮＫ（￣Ｈ图１所示）。　、一．．一．．一．．一．．．．．．．…．　图１修改活动进程列表实现进程隐藏原理图　２０１１年５月　（２）进程隐藏实现　①定位双向链表，确定当前进程。Ｗｉｎｄｏｗｓ具有唯　一的内核处理器控制块结构（ＫＰＲＣＢ），它总是位于内　存地址０ｘｆｆｄｆｆｌ２０处，这个地址偏移０ｘ１２４就是指向当前　ＥＴＨＥＲＥＡＤ的指针，从这个ＥＴＨＲＥＡＤ再往下偏移一个　值就是当前进程的ＦＬＩＮＫ了（如图１所示）。这个值因系　统不同而各不相同，Ｗｉｎｄｏｗｓ２０００下是０ｘＡ０，Ｗｉｎｄｏｗｓ　ｘｐ下是０ｘ８８。　②从Ｐ　ｓＡｃｔｉｖｅＬｉｎｋ链表上摘下当前进程，实现　隐藏。Ｗｉｎｄｏｗｓ系统将所有的进程对象ＥＰＲＯＣＥＳＳ　链接到ＡＣｔｉｖｅＰｒｏＣｅｓ　ｓＬｉｎｋ上，但链表由一个未导　出内核全局变量ＰｓＡｃｔｉｖｅＰｒｏｃｅＳｓＨｅａｄ，通过遍历　ＡｃｔｉｖｅＰｒｏｃｅｓｓＬｉｎｋ可以获得所有的进程信息，如果将一　个当前进程ＥＰＲＯＣＥＳＳ对象从ＰｓＡｃｔｉｖｅＬｉｎｋ链表上摘　下来，ＮｔＱｕｅｒｙＳｙｓｔｅｍｌｎｆｏｒｍａｔｉｏｎ￣数最终遍历该链表返　回进程相关的信息，将无法检测到从ＰｓＡｃｔｉｖｅＬｉｎｋ链表　中摘下的当前进程。部分实现代码是：　ｎｔＳｔａｔｕｓ＝ＰｓＬｏｏｋｕｐＰｒｏｃｅｓｓＢｙＰｒｏｃｅｓｓｌｄ（Ｐｒｏｃｅｓｓｌｄ，　＆ｐＥｐｒｏｃｅｓｓ）；　

ＲｅｍｏｖｅＥｎｔｒｙＩ．ｉｓｔ（（ＰＬＩＳＴ　ＥＮＴＲＹ）（（ＰＵＣＨＡＲ）　ｐＥｐｒｏｃｅｓｓ＋０ｘＡ０））；　ＲｅｍｏｖｅＥｎｔｒｙＬｉｓｔ（（ＰＬＩＳＴ　ＥＮＴＲＹ）（（ＰＵＣＨＡＲ）　ｐＥｐｒｏｃｅｓｓ＋０ｘ８８））；　

通过调用ＰｓＬｏｏｋｕｐＰｒｏｃｅｓｓＢｙＰｒｏｃｅｓｓＩｄ例程得到　指向指定Ｐｒｏｃｅｓｓｌｄ的ＥＰＲＯＣＥＳＳ对象的指针，然后调用　ＲｅｍｏｖｅＥｎｔｒｙＬｉｓｔ将其从链表上摘下。　

３基于进程表的综合检测隐藏进程机制　３．１用户模式下的隐藏进程检测机制　３．１．１原理　每一个进程活动时都会暴露一些痕迹，包括打开　的句柄、窗口和创建的系统对象等，可以通过这些痕　迹检测，获取进程列表，检测隐藏进程。　３．１．２分析进程相关句柄获取进程列表　取得进程句柄后，可以用ＺｗＱｕｅｒｙｌｎｆｏｒｍａｔｉｏｎＰｒｏｃｅｓｓ　确定其ＰＩＤ。对于线程，可以调用ＺｗＱｕｅｒｙｌｎｆｏｒｍａｔｉｏｎＴｈｒｅａｄ　并得到其进程的ＩＤ。系统中所有的进程都是由某个进　程启动的，所以，可以通过检查其他进程（父进程或　ｃｓｒｓｓ．ｅｘｅ）＠的句柄来获取进程列表。　３．１．３直接使用系统调用获取进程列表　在用户模式下隐藏进程的常用方法是将自己　的代码或ｄＩｌ注入其他的进程并截获ｎｔｄｌ１．ｄｌｌ中的　

２５