基于直接内核对象操作的进程伪装保护方法

摘要：

针对目前基于隐藏的进程保护方法容易被Rootkit检测工具检测出而失效的情况,提出了一种基于直接内核对象操作(DKOM)的进程伪装保护方法.该方法将进程隐藏方法中较为常用的DKOM技术与传统的伪装技术相结合,通过直接修改操作系统内核空间中存储进程相关信息的数据结构,使进程在任务管理器中显示为一些系统进程,以此达到保护进程的目的.进程信息的修改涉及内核的操作,由Windows驱动实现,该驱动兼容Windows 2000以上多个版本的操作系统,具有广泛适用性.实验结果显示,经过该方法修改后,进程查看工具查看到的进程信息与正常的系统进程没有差别.伪装效果较好,用户无法发觉,Rootkit检测工具也不会提示异常.验证了基于DKOM的进程伪装保护方法的有效性.

关键词：直接内核对象操作、进程伪装、进程保护

所属期刊栏目：43

分类号：TP309.5(计算技术、计算机技术)

资助基金：国家发改委信息安全专项资助项目

在线出版日期：2013-03-21（万方平台首次上网日期，不代表论文的发表时间）

页数：共6页

页码：24-29