计算机应用 ›› 2011, Vol. 31 ›› Issue (09): 2362-2366.DOI: 10.3724/SP.J.1087.2011.02362

• 信息安全 • 上一篇    下一篇

基于多特征匹配的隐藏进程检测方法

周天阳,朱俊虎,王清贤   

  1. 信息工程大学 信息工程学院，郑州 450002
  • 收稿日期:2011-03-09 修回日期:2011-05-20 发布日期:2011-09-01 出版日期:2011-09-01
  • 通讯作者: 周天阳
  • 作者简介:周天阳(1979-)，男，辽宁沈阳人，硕士研究生，主要研究方向：网络与信息安全；
    朱俊虎(1974-)，男，江苏镇江人，副教授，CCF高级会员，主要研究方向：网络与信息安全；
    王清贤(1960-)，男，河南新乡人，教授，博士生导师，CCF高级会员，主要研究方向：信息安全、算法分析。
  • 基金资助:
    国家863计划项目(2008AA10Z419);河南省基础与前沿技术研究计划项目(082300410150)

Hidden process detection method based on multi-characteristics matching

ZHOU Tian-yang,ZHU Jun-hu,WANG Qing-xian   

  1. Institute of Information Engineering, Information Engineering University, Zhengzhou Henan 450002,China
  • Received:2011-03-09 Revised:2011-05-20 Online:2011-09-01 Published:2011-09-01
  • Contact: ZHOU Tian-yang

PDF

摘要： 利用进程对象特征搜索内存能够检测到隐藏进程。但是，借助不断发展的Rootkit，恶意程序可以修改内存地址映射关系绕过虚拟内存扫描，或篡改进程信息使检测特征失效，从而增加了搜索检测的难度。针对此问题，提出一种基于多特征匹配的隐藏进程检测方法：利用页表项循环补丁技术直接扫描物理内存，得到完整可信的内存信息；选取多个进程数据结构字段构建检测特征模板，提高特征自身的可靠性；引入相似度进行匹配防止单特征失效而导致的漏检。实验结果表明，该方法对隐藏进程具有较好的检测效果。

关键词: 物理内存搜索, 隐藏进程, 进程特征, 多特征匹配

Abstract: Based on certain detection characteristics of process, hidden process could be uncovered by memory searching. However, malware, with the help of developing Rootkit, could hardly be detected because its feature has been manipulated or virtual memory scan could be invalid, thus increasing the difficulty of detection. In order to address this issue, a new multi-characteristics matching approach was proposed. It was to obtain the whole physical memory image by Page Table Entry (PTE) patching, to extract the key fields from process data structure and construct a template to improve the reliability of characteristics, and to introduce similarity for preventing the detection leakage. The results show that the new detection is effective in the hidden process searching.

Key words: physical memory search, hidden process, process characteristic, multi-characteristics matching

中图分类号: 

版权所有 © 2021 四川计算机应用杂志社有限公司
蜀ICP备 05010208 号-3　新出网证(川)字026号
技术支持：北京玛格泰克科技发展有限公司
访问总数：
今日访问：