文档介绍：合肥工业大学
硕士学位论文
基于主机的恶意程序检测与取证方法研究
姓名:孙虎
申请学位级别:硕士
专业:计算机应用技术
指导教师:李钢
2011-03
基于主机的恶意程序检测与取证方法研究
摘要
恶意程序是威胁计算机与网络系统安全的一个重要因素,已成为计算机犯
罪的一种新的演化形式。随着计算机和互联网技术的迅猛发展,恶意程序的传
播速度、传播范围以及破坏程度日益增加。为了能够在目标主机中长期潜伏,
恶意程序经常使用一些隐藏技术隐藏自身的相关信息,躲避用户和检测工具的
检查。Rootkit 就是一种被广泛用于隐藏攻击者痕迹的技术。
针对计算机与网络安全日益突出的问题,本文开展了相关研究,主要工作
是:
(1)在研究了 Windows 分层结构,以及从应用程序到内核的一系列调用过程
的基础上,分析了 Rootkit 技术的实现原理,实例分析了对进程及其模块信息、
文件信息等进行隐藏的多种不同的隐藏技术,并针对这些隐藏技术,研究了与
之相应的检测技术和方法。
(2)提出了多对象多方式的恶意程序检测模型,针对多种不同的检测对象采
用多技术途径实施检测取证,把不同途径得到的数个对象的检测结果进行综合
分析,从而更好地解决某些未知的隐藏技术。
(3)基于上述理论研究结论,设计实现基于主机的多对象多方式检测模型的
系统,实现了进程及其模块、端口、文件等对象的多方式检测,同时在系统中
还检查和枚举了线程、自启动项,验证进程和 DLL 模块的数字签名等,并对检
测到的信息进行综合、分析,得到结果。

关键词:恶意程序; Rootkit; 恶意程序检测; 检测模型
The Research of Host-Based Malware Detection and
Forensics Methods

ABSTRACT
Malware is one of the important reasons which threat the security puter
work system,and es a new evolution form puter crime. Along
with the rapid development puter and technology, the spreading
speed, the spreading rang and the damage of malware are increasing. In order to
hide in the target host long-term, malware often uses some hiding technologies to
hide its related information to avoid detection from users or tools. Rootkit is widely
used in hiding the traces of attacker.
Aiming at the increasingly extrusive problems caused by puter and
network security, this thesis conducts the relevant researchs. The main works are as
following:
(1)On the basis of the research of Windows layered structure and a series of
calls from the application process to the kernel of OS, the thesis analyses the
implementation principle of Rootkit, the hiding methods with examples, such as
process, its modules information hiding, and file information hiding etc. And the
corresponding detection technologies to the hiding methods are researched.
(2)This thesis puts forward a MOMM (multi-object multi-method) malware
detection model. This model detects diff