基于直接内核对象操作的进程伪装保护方法

• 作者: 唐磊 宋宇波 蓝智灵
• 来源期刊: 东南大学学报（自然科学版）
• 学科: 工学
• 关键词: 直接内核对象操作 进程伪装 进程保护
• 年，卷（期）: 2013,（1）
• 页码范围: 24-29
• 页数: 6页
• 分类号: TP309.5
• 字数: 4648字
• 语种: 中文
• DOI: 10.3969/j.issn.1001-0505.2013.01.005

摘要

针对目前基于隐藏的进程保护方法容易被Rootkit检测工具检测出而失效的情况,提出了一种基于直接内核对象操作(DKOM)的进程伪装保护方法.该方法将进程隐藏方法中较为常用的DKOM技术与传统的伪装技术相结合,通过直接修改操作系统内核空间中存储进程相关信息的数据结构,使进程在任务管理器中显示为一些系统进程,以此达到保护进程的目的.进程信息的修改涉及内核的操作,由Windows驱动实现,该驱动兼容Windows 2000以上多个版本的操作系统,具有广泛适用性.实验结果显示,经过该方法修改后,进程查看工具查看到的进程信息与正常的系统进程没有差别.伪装效果较好,用户无法发觉,Rootkit检测工具也不会提示异常.验证了基于DKOM的进程伪装保护方法的有效性.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	宋宇波	东南大学信息安全研究中心	40	292	10.0	16.0
2	唐磊	东南大学信息安全研究中心	6	62	4.0	6.0
3	蓝智灵	东南大学信息安全研究中心	2	9	1.0	2.0