邵 俊 儒 翁 健 吉 妍 年 月 日 学 号 学 号 学 号
摘 要 结 合 课 堂 知 识 我 们 设 计 了 一 个 内 核 病 毒 该 病 毒 同 时 具 有 木 马 的 自 动 性 的 隐 蔽 性 和 蠕 虫 的 感 染 能 力 该 病 毒 获 得 权 限 后 会 自 动 将 自 身 加 入 内 核 模 块 中 劫 持 的 系 统 调 用 并 通 过 简 单 的 方 法 实 现 自 身 的 隐 蔽 有 两 种 情 况 会 导 致 病 毒 的 发 作 第 一 种 病 毒 会 自 动 选 择 一 些 进 程 进 行 隐 藏 第 二 种 用 户 新 建 文 件 夹 时 温 和 地 打 印 出 被 截 获 的 命 令 的 进 程 和 用 户 的 该 病 毒 通 过 移 动 存 储 设 备 进 行 传 播 具 体 地 在 移 动 设 备 被 卸 载 前 病 毒 会 及 时 对 该 设 备 进 行 必 要 的 感 染 本 文 重 视 理 论 与 实 践 的 结 合 每 一 部 分 都 会 按 照 先 理 论 后 实 践 的 顺 序 展 开 首 先 介 绍 病 毒 各 个 模 块 的 思 想 随 后 对 略 有 难 度 的 实 践 细 节 加 以 介 绍 此 外 本 文 的 全 部 内 容 均 在 位 架 构 的 内 核 下 测 试 通 过 值 得 一 提 的 是 本 文 病 毒 所 蕴 含 的 思 想 方 法 极 其 简 洁 这 使 得 类 似 的 做 法 甚 至 能 够 在 版 本 的 内 核 上 顺 利 运 行 关 键 词 安 全 进 程 文 件 系 统 输 入 输 出 内 核 选 择 位 架 构 是 为 了 增 加 项 目 难 度 显 示 原 创 性 并 展 示 该 病 毒 蕴 含 思 想 的 普 适 性
目 录 概 述 病 毒 的 感 染 可 装 载 内 核 模 块 在 中 隐 藏 自 身 劫 持 系 统 调 用 系 统 调 用 及 其 流 程 与 系 统 调 用 的 挂 钩 病 毒 的 传 播 与 虚 拟 文 件 系 统 虚 拟 文 件 系 统 简 介 伪 装 成 用 户 态 文 件 打 开 文 件 读 入 文 件 写 入 病 毒 的 发 作 与 隐 藏 进 程 隐 藏 进 程 劫 持 系 统 调 用 总 结 实 验 演 示 病 毒 的 隐 藏 进 程 隐 藏 病 毒 的 传 播
概 述
概 述 Source code Compile LKM Insert into the kernel Infected machine Hijack Infect Umount USB flash disk Try to infect Other machines Certain system calls ATTACK 图 病 毒 工 作 原 理 流 程 示 意 图 是 一 款 自 由 的 多 用 户 多 任 务 的 操 作 系 统 内 核 能 够 稳 定 高 效 地 运 行 在 包 括 工 作 站 服 务 器 等 各 种 平 台 上 它 对 和 标 准 的 兼 容 对 协 议 和 开 源 精 神 的 恪 守 为 它 带 来 了 源 源 不 断 的 生 机 经 过 多 年 的 发 展 壮 大 如 今 已 经 成 为 服 务 器 端 的 主 流 操 作 系 统 为 了 提 高 硬 件 兼 容 性 搭 载 的 各 种 定 制 的 硬 件 并 提 供 个 性 化 的 功 能 引 入 了 可 动 态 装 载 的 内 核 模 块 即 然 而 程 序 运 行 在 内 核 态 中 为 不 少 病 毒 提 供 了 可 乘 之 机 我 们 小 组 编 写 了 一 个 短 小 的 病 毒 该 病 毒 完 整 地 实 现 了 隐 藏 传 播 感 染 和 破 坏 四 大 步 骤 图 是 该 病 毒 传 播 的 简 略 流 程 本 文 将 介 绍 该 病 毒 实 现 中 的 几 大 关 键 部 分 病 毒 的 感 染 病 毒 如 何 像 木 马 一 样 潜 入 内 核 像 一 样 隐 藏 自 己 劫 持 系 统 调 用 病 毒 如 何 对 操 作 系 统 内 核 与 用 户 连 接 的 桥 梁 系 统 调 用 进 行 劫 持 以 及 系 统 调 用 劫 持 的 意 义 病 毒 的 传 播 病 毒 如 何 对 虚 拟 文 件 系 统 即 进 行 随 意 的 修 改 隐 藏 进 程 通 过 系 统 调 用 的 劫 持 病 毒 对 任 意 一 个 进 程 实 现 隐 藏 本 文 将 不 对 以 下 内 容 多 加 赘 述 全 部 源 码 阅 读 全 部 源 码 并 不 如 领 悟 它 的 思 想 更 有 意 义 权 限 提 升 尽 管 内 核 有 一 些 漏 洞 可 能 的 权 限 提 升 做 法 很 多 然 而 这 些 做 法 通 常 不 具 有 太 高 的 普 适 性 与 理 论 结 合 不 够 紧 密 此 外 附 件 包 含 该 病 毒 的 全 部 源 码 以 及 一 个 可 以 直 接 载 入 的 磁 盘 镜 像 用 以 验 证 实 验 下 均 测 试 可 行
病 毒 的 感 染
可 装 载 内 核 模 块 病 毒 的 感 染 可 装 载 内 核 模 块 可 加 载 内 核 模 块 即 是 包 含 在 操 作 系 统 运 行 期 间 向 内 核 添 加 扩 展 代 码 的 目 标 文 件 主 要 用 于 在 系 统 内 核 中 随 时 为 新 增 的 设 备 驱 动 文 件 系 统 驱 动 系 统 调 用 提 供 支 持 而 当 一 个 模 块 的 功 能 不 再 需 要 时 则 可 以 随 时 卸 载 以 释 放 存 储 空 间 以 及 其 他 系 统 资 源 内 核 采 用 的 就 是 这 种 模 块 化 的 结 构 允 许 向 运 行 中 的 内 核 动 态 插 入 和 删 除 代 码 段 从 而 并 不 需 要 在 运 行 前 把 所 有 可 能 会 用 到 的 功 能 都 编 译 进 内 核 中 导 致 浪 费 大 量 的 内 存 存 放 暂 时 或 很 长 一 段 时 间 内 都 用 不 到 的 功 能 也 不 需 要 每 次 增 加 新 的 功 能 或 卸 载 不 再 使 用 的 功 能 时 用 户 都 得 重 新 编 译 和 运 行 内 核 尽 管 这 种 机 制 为 用 户 和 系 统 内 核 之 间 的 交 互 增 加 了 灵 活 性 和 极 大 的 便 捷 但 是 内 核 的 一 部 分 轻 易 改 写 内 核 也 增 大 了 系 统 崩 溃 的 概 率 另 外 静 态 内 核 占 用 的 是 一 段 连 续 的 内 存 空 间 而 则 会 使 内 核 在 存 储 上 变 得 不 连 续 碎 片 化 这 会 导 致 实 际 运 行 效 果 上 产 生 一 些 微 小 的 性 能 降 低 病 毒 利 用 模 块 技 术 作 为 操 作 系 统 内 核 的 一 部 分 运 行 通 过 劫 持 系 统 调 用 几 乎 可 以 完 成 隐 藏 发 作 等 所 有 功 能 比 传 统 技 术 更 加 强 大 更 加 不 易 被 发 觉 我 们 的 病 毒 即 使 用 实 现 该 病 毒 拥 有 木 马 的 特 性 一 旦 用 户 以 权 限 执 行 被 感 染 的 文 件 该 病 毒 就 会 作 为 自 动 插 入 到 系 统 中 在 中 隐 藏 自 身 为 了 任 务 的 调 度 一 个 多 任 务 操 作 系 统 一 定 是 维 护 了 一 个 或 者 多 个 表 用 以 维 护 当 前 运 行 的 所 有 进 程 一 个 病 毒 为 了 不 被 发 现 需 要 在 用 户 查 看 这 张 表 的 时 候 隐 藏 自 己 有 两 种 典 型 的 方 法 第 一 将 自 己 直 接 从 表 中 删 除 ; 第 二 从 系 统 调 用 的 返 回 值 中 删 除 自 己 所 在 的 项 目 方 法 二 的 实 现 比 较 繁 琐 需 要 用 到 下 面 提 到 的 系 统 调 用 挂 钩 ( ) 的 技 术 为 了 简 便 我 们 采 用 了 第 一 种 方 法 THIS_MODULE 图 从 双 向 循 环 链 表 中 删 除 元 素 对 于 系 统 的 我 们 首 先 需 要 从 命 令 和 中 隐 藏 自 身 事 实 上
在 中 隐 藏 自 身 病 毒 的 感 染 和 文 件 一 样 通 过 查 看 内 核 中 的 结 构 体 构 成 的 循 环 链 表 来 查 找 所 有 载 入 的 模 块 如 图 内 核 中 定 义 了 函 数 能 帮 助 我 们 删 除 双 向 链 表 中 的 给 定 元 素 直 接 调 用 该 函 数 就 可 以 达 到 从 和 里 面 隐 形 的 目 的 除 此 之 外 内 核 中 还 维 护 了 一 个 叫 做 的 模 块 以 虚 拟 文 件 系 统 的 形 式 显 示 出 内 核 中 的 子 系 统 硬 件 设 备 和 相 关 的 驱 动 程 序 我 们 的 便 在 其 中 用 户 可 以 通 过 查 看 来 获 知 哪 些 模 块 在 运 行 我 们 需 要 从 中 删 除 掉 我 们 的 模 块 来 实 现 进 一 步 隐 藏 幸 运 的 是 中 的 模 块 也 是 由 链 表 串 在 一 起 我 们 只 需 要 找 到 相 关 的 链 表 并 进 行 删 除 操 作 即 可 具 体 代 码 也 只 有 一 行 这 样 操 作 的 副 作 用 做 了 之 后 内 核 模 块 就 不 能 被 直 接 删 除 了 除 非 我 们 再 把 该 模 块 重 新 接 回 上 述 链 表 当 然 对 于 一 个 病 毒 而 言 这 完 全 没 有 必 要
劫 持 系 统 调 用
系 统 调 用 及 其 流 程 劫 持 系 统 调 用 系 统 调 用 及 其 流 程 系 统 调 用 即 是 在 用 户 态 中 运 行 一 个 程 序 时 需 要 一 个 系 统 服 务 而 在 内 核 态 执 行 的 调 用 指 令 系 统 调 用 为 应 用 程 序 调 用 硬 件 和 其 他 系 统 资 源 提 供 了 途 径 是 用 户 态 和 内 核 态 交 互 的 接 口 当 应 用 程 序 需 要 读 写 文 件 时 通 过 系 统 调 用 提 供 的 抽 象 硬 件 接 口 就 不 需 要 考 虑 实 际 文 件 所 在 的 磁 盘 类 型 文 件 系 统 等 问 题 同 时 系 统 调 用 使 得 内 核 可 以 决 定 调 用 权 限 以 防 止 应 用 程 序 非 法 使 用 硬 件 设 备 占 用 其 它 进 程 资 源 或 对 系 统 造 成 破 坏 等 不 良 行 为 从 而 保 障 系 统 安 全 和 稳 定 另 外 系 统 调 用 也 使 得 多 任 务 处 理 和 虚 拟 内 存 的 实 现 成 为 可 能 便 于 进 程 管 理 call read() Application read() wrapper C library User Space sys_read() sys_read() system_call() Syscall Handler Kernel Space 图 系 统 调 用 的 流 程 以 为 例 在 中 每 一 个 系 统 调 用 都 被 分 配 一 个 唯 一 的 编 号 称 作 记 录 这 个 对 应 的 系 统 调 用 列 表 就 存 储 在 内 核 中 的 名 叫 的 系 统 调 用 表 中 当 一 个 用 户 态 进 程 执 行 系 统 调 用 会 通 过 而 非 名 称 用 来 确 定 具 体 是 哪 一 个 系 统 调 用 被 执 行 一 旦 确 定 就 不 可 更 改 否 则 编 译 好 的 应 用 程 序 会 崩 溃 移 除 的 系 统 调 用 的 也 不 可 再 用 于 其 它 系 统 调 用 否 则 先 前 编 译 好 的 应 用 程 序 运 行 时 会 执 行 其 它 的 系 统 调 用 系 统 调 用 流 程 分 为 如 下 四 个 步 骤 触 发 系 统 调 用 处 理 程 序 陷 入 内 核 态 系 统 调 用 处 理 程 序 从 特 定 寄 存 器 上 读 取 以 及 其 它 调 用 参 数 执 行 相 应 的 系 统 调 用 返 回 至 用 户 态 内 核 代 码 存 于 一 段 受 保 护 的 内 存 空 间 中 所 以 用 户 态 的 应 用 程 序 不 能 直 接 通 过 过 程 调 用 执 行 内 核 中 的 程 序 于 是 用 户 态 的 应 用 程 序 需 要 一 个 软 中 断 向 内 核 发 出 信 号 即 抛 出 一 个 异 常 让 系 统 切 换 至 内 核 态 去 执 行 异 常 处 理 程 序 也 就 是 系 统 调 用 处 理 程 序 以 为 例 处 理 器 上 的 软 中 断 是
与 劫 持 系 统 调 用 指 令 这 个 中 断 指 令 会 导 致 系 统 切 换 至 内 核 态 并 且 执 行 系 统 调 用 处 理 程 序 这 个 系 统 调 用 处 理 程 序 就 被 命 名 为 函 数 用 汇 编 语 言 实 现 仅 仅 进 入 内 核 是 显 然 不 够 的 用 户 程 序 需 要 告 诉 内 核 要 执 行 哪 一 个 系 统 调 用 所 以 必 须 将 传 给 内 核 上 是 通 过 寄 存 器 传 给 内 核 的 在 系 统 陷 入 内 核 态 之 前 用 户 态 会 先 将 存 在 寄 存 器 上 系 统 调 用 处 理 程 序 执 行 时 会 从 上 读 取 函 数 会 检 查 的 合 法 性 没 有 问 题 的 话 就 执 行 相 应 的 系 统 调 用 系 统 调 用 执 行 结 束 以 后 即 返 回 用 户 态 并 通 过 寄 存 器 传 递 返 回 值 与 挂 钩 是 涵 盖 了 通 过 监 控 软 件 组 件 之 间 的 过 程 调 用 信 息 传 递 或 事 件 的 方 式 更 改 或 扩 展 操 作 系 统 应 用 程 序 或 其 他 软 件 组 件 的 行 为 的 一 系 列 技 术 处 理 这 些 被 监 控 的 过 程 调 用 信 息 传 递 或 事 件 的 代 码 即 是 钩 子 可 以 用 来 排 除 错 误 或 扩 展 功 能 例 如 在 键 盘 或 鼠 标 发 送 的 信 号 到 达 应 用 程 序 之 前 监 视 键 盘 或 鼠 标 的 事 件 信 息 或 监 视 系 统 调 用 以 控 制 和 调 整 应 用 程 序 及 其 组 件 的 功 能 实 现 也 被 广 泛 应 用 于 标 准 检 查 程 序 中 例 如 游 戏 中 帧 频 的 计 量 其 输 入 输 出 就 是 通 过 实 现 的 另 一 方 面 也 会 被 应 用 在 恶 意 程 序 中 例 如 会 通 过 技 术 伪 造 调 用 的 输 出 结 果 以 隐 匿 自 己 则 通 过 监 控 游 戏 中 的 过 程 调 用 并 篡 改 玩 家 看 到 的 信 息 使 一 方 获 益 我 们 的 病 毒 就 是 通 过 劫 持 系 统 调 用 实 现 的 Ring3 Ring2 Least privileged Ring1 Ring0 Kernel Most privileged Device Drivers Device Drivers Applications 图 结 构 示 意 图 如 图 保 护 环 是 保 护 数 据 及 功 能 不 受 运 行 错 误 和 恶 意 攻 击 影 响 的 机 制 操 作 系 统 提 供 了 访 问 资 源 时 不 同 级 别 的 权 限 一 个 保 护 环 即 是 计 算 机 体 系 结 构 中 的 一 个 权 限 等 级 等 级 编 号 越 小 信 任 度 越 高 大 部 分 操 作 系 统 中 是 权 限 最 高 等 级 相 当 于 内 核 态 可 以 直 接 与 内 存 等 硬 件 交 互 是 普 通 应 用 程 序 等 级 相 当 于 用 户 态 外 层 权 限 低 的 环 通 过 预 定 义 方 式 经 由 特 殊 的 门 访 问 内 层 环 的 资 源 这 样 可 以 避 免 低 级 别 的 程 序 误 用 高 级 别 的 资 源 而 带 来 的 安 全 问 题 例 如 在 上 运 行 的 监 控 程 序 在 用 户 没 有 知 晓 的 情 况 下 企 图 打 开 摄 像 头 就 会 被 阻 止 因 为 相 应 的 硬 件 启 用 权 限 是 级 别 的 尽 管 保 护 环
系 统 调 用 的 挂 钩 劫 持 系 统 调 用 User program Make a system call Sys_xxx start Inline hook point Replace the opcode with jmp hooked_function Execute the hooked_function Return to the next instruction Sys_xxx ret Kernel Space 图 系 统 调 用 劫 持 提 高 了 系 统 安 全 性 但 是 环 的 等 级 不 会 无 休 止 地 细 分 下 去 因 为 不 同 的 层 次 的 环 之 间 的 切 换 会 造 成 大 量 的 性 能 损 失 降 低 运 行 效 率 版 本 的 内 核 仅 仅 使 用 了 两 个 权 限 等 级 分 别 是 对 应 的 内 核 态 和 对 应 的 用 户 态 大 约 有 条 机 器 指 令 被 严 格 限 制 在 层 主 要 保 护 内 存 端 口 等 资 源 一 旦 在 用 户 态 调 用 这 些 指 令 系 统 就 会 抛 出 异 常 这 与 操 作 系 统 账 户 权 限 无 关 无 论 是 还 是 所 有 用 户 态 程 序 都 是 在 层 上 运 行 内 核 代 码 都 是 在 层 上 运 行 两 者 之 间 通 过 系 统 调 用 切 换 简 而 言 之 系 统 调 用 就 是 他 们 之 间 的 桥 梁 我 们 的 病 毒 经 过 反 复 尝 试 最 终 确 定 了 适 应 性 最 好 的 对 系 统 调 用 进 行 劫 持 系 统 调 用 的 挂 钩 如 果 一 个 病 毒 处 于 内 核 态 并 能 够 自 由 修 改 劫 持 系 统 调 用 而 不 被 杀 死 那 么 这 个 病 毒 几 乎 能 掌 控 操 作 系 统 的 一 切 能 随 意 删 改 文 件 系 统 能 随 意 向 进 程 发 送 信 号 能 随 意 开 启 或 关 闭 系 统 中 断 甚 至 能 随 意 分 发 权 限 因 此 对 于 系 统 调 用 的 劫 持 是 我 们 工 作 的 重 点 如 图 通 常 劫 持 一 个 系 统 调 用 的 流 程 如 下 找 到 需 要 劫 持 的 系 统 调 用 在 系 统 内 核 数 组 中 的 入 口 位 置 保 存 内 核 中 原 来 的 调 用 函 数 对 应 的 指 针 用 我 们 重 新 编 写 的 函 数 指 针 替 换 给 第 一 步 通 常 比 较 容 易 而 一 些 在 位 内 核 中 的 做 法 在 位 的 内 核 中 已 经 失 效 我 们 尝 试 了 下 面 许 多 方 案 第 一 种 做 法 直 接 从 文 件 里 面 寻 找 变 量 这 就 是 系 统 调 用 表 的 确 切 位 置 所 在 并 不 会 随 时 间 改 变 因 此 我 们 把 这 个 变 量 作 为 常 量 存 入 我 们 的 病 毒 中 然 而 这 样 做 的 普 适 性 不 会 很 强 对 于 不 同 的 内 核 子 版 本 系 统 调 用 表 的 地 址 可 能 会 不 一 样 第 二 种 做 法 通 过 即 系 统 中 断 的 处 理 程 序 从 其 中 的 内 存 空 间 里 面 找 出 系 统 调 用 表 的 位 置 具 体 步 骤 是 获 取 中 断 描 述 表 的 地 址 通 过 简 单 的 地 址 偏 移 找 出 中 断 的 处 理 程 序 的 内 存 空 间 从 中 获 取
系 统 调 用 的 挂 钩 劫 持 系 统 调 用 系 统 调 用 表 的 地 址 这 个 做 法 依 赖 于 中 断 描 述 表 而 且 需 要 一 些 对 于 操 作 系 统 架 构 的 假 设 因 此 我 们 最 终 也 没 有 采 用 这 种 做 法 第 三 种 做 法 通 过 新 增 的 安 全 模 块 进 行 挂 钩 事 实 上 有 些 内 核 版 本 的 并 不 安 全 我 们 认 为 该 做 法 不 具 有 普 适 性 没 有 采 用 这 种 方 法 User level process User Space Open system call Look up inode Error checks DAC checks LSM hook Yes or No LSM Module Policy Engine Complete request Access inode Kernel Space 图 第 四 种 做 法 也 是 最 有 效 的 一 种 做 法 首 先 可 以 确 定 系 统 调 用 表 一 定 在 一 段 给 定 的 地 址 空 间 内 的 内 核 设 计 保 证 了 系 统 调 用 表 一 定 落 在 一 个 内 存 区 间 中 我 们 通 过 对 内 存 区 间 的 顺 序 搜 索 就 可 以 找 到 系 统 调 用 表 对 于 版 本 的 内 核 第 二 步 是 简 单 的 然 而 到 了 版 本 找 到 系 统 调 用 表 之 后 如 果 我 们 直 接 写 系 统 调 用 表 以 完 成 我 们 的 挂 钩 工 作 我 们 的 病 毒 会 被 操 作 系 统 发 现 并 杀 死 其 中 的 原 因 是 为 了 防 止 对 系 统 调 用 表 的 修 改 系 统 调 用 表 所 在 的 页 表 被 设 置 为 只 读 的 因 此 我 们 需 要 对 这 个 页 表 加 入 可 写 权 限 这 时 候 我 们 需 要 修 改 寄 存 器 对 于 不 同 的 系 统 架 构 写 保 护 位 是 不 一 样 的 对 于 位 系 统 写 保 护 位 则 是 第 位 我 们 写 了 一 段 汇 编 修 改 这 个 寄 存 器 之 后 的 替 换 工 作 就 变 得 简 单 汇 编 代 码 如 下
病 毒 的 传 播 与 虚 拟 文 件 系 统
虚 拟 文 件 系 统 简 介 病 毒 的 传 播 与 虚 拟 文 件 系 统 虚 拟 文 件 系 统 简 介 虚 拟 文 件 系 统 即 是 在 用 户 进 程 和 实 际 文 件 系 统 之 间 的 抽 象 层 为 不 同 类 型 的 实 际 文 件 系 统 提 供 统 一 的 访 问 方 式 使 得 应 用 程 序 通 过 虚 拟 文 件 系 统 调 用 底 层 的 实 际 文 件 系 统 来 具 体 管 理 数 据 而 不 必 知 道 数 据 确 切 存 储 在 什 么 位 置 或 者 是 什 么 样 的 文 件 系 统 所 有 和 文 件 相 关 的 系 统 调 用 在 最 初 的 处 理 上 都 指 向 虚 拟 文 件 系 统 这 些 调 用 都 是 标 准 的 系 统 调 用 所 以 虚 拟 文 件 系 统 向 上 对 用 户 进 程 的 接 口 是 接 口 为 使 每 一 个 文 件 系 统 完 成 功 能 调 用 虚 拟 文 件 系 统 向 下 对 实 际 文 件 系 统 有 接 口 每 当 增 加 一 个 新 的 文 件 系 统 就 必 须 确 定 它 包 含 接 口 需 要 的 所 有 功 能 调 用 并 在 注 册 时 向 提 供 这 样 的 函 数 地 址 列 表 图 给 出 了 的 实 现 逻 辑 User process POSIX Virtual file system VFS interface FS 1 FS 2 FS 3 Concrete file system Buffer cache 图 虚 拟 文 件 系 统 简 图 调 用 一 个 装 载 好 的 文 件 系 统 的 流 程 如 下 解 析 路 径 通 过 搜 索 已 装 载 文 件 的 超 块 表 确 定 该 文 件 系 统 的 超 块 创 建 一 个 并 调 用 实 际 文 件 系 统 将 所 有 文 件 中 的 信 息 以 及 指 向 功 能 表 的 指 针 复 制 到 中 在 文 件 描 述 符 表 中 为 调 用 进 程 创 建 一 个 入 口 并 向 调 用 者 返 回 文 件 描 述 符 当 进 程 用 文 件 描 述 符 调 用 具 体 操 作 时 通 过 进 程 表 文 件 描 述 符 表 找 到 并 跟 随 指 针 指 向 功 能 表 调 用 处 理 相 应 操 作 的 功 能 最 后 在 实 际 文 件 系 统 中 实 现 功 能 调 用
伪 装 成 用 户 态 病 毒 的 传 播 与 虚 拟 文 件 系 统 伪 装 成 用 户 态 事 实 上 在 工 业 上 和 开 源 项 目 中 在 内 核 里 面 进 行 文 件 操 作 是 不 被 鼓 励 的 这 会 大 大 降 低 一 个 模 块 的 安 全 性 和 灵 活 性 具 体 来 说 如 果 内 核 和 一 个 绝 对 路 径 有 关 的 文 件 进 行 交 互 那 么 在 版 本 更 迭 的 时 候 这 个 路 径 要 被 保 留 或 者 所 有 使 用 这 个 路 径 的 内 核 都 要 重 写 而 同 时 如 果 这 个 文 件 被 用 户 找 到 并 且 用 权 限 进 行 了 修 改 那 么 用 户 就 可 以 直 接 通 过 修 改 这 个 文 件 来 干 预 内 核 态 的 工 作 这 都 不 符 合 的 设 计 理 念 我 们 的 实 现 方 式 主 要 依 赖 于 虚 拟 文 件 系 统 提 供 给 我 们 的 和 接 口 进 行 读 写 这 些 功 能 本 质 上 都 是 利 用 系 统 调 用 实 现 的 而 系 统 调 用 都 是 由 用 户 态 发 出 的 虽 然 我 们 身 处 内 核 态 权 限 高 于 用 户 态 但 是 还 有 一 个 重 要 的 区 别 在 于 内 核 态 的 缓 冲 区 和 用 户 态 的 缓 冲 区 分 处 于 两 地 当 我 们 进 行 文 件 的 系 统 调 用 的 时 候 这 些 系 统 调 用 会 检 查 我 们 所 处 的 数 据 段 边 界 所 以 在 进 行 操 作 的 时 候 要 通 过 替 换 缓 冲 区 段 将 自 己 伪 装 成 用 户 态 可 以 通 过 如 下 代 码 段 实 现 其 中 为 了 回 复 到 原 缓 冲 区 段 而 记 录 下 的 临 时 变 量 是 一 个 全 局 变 量 有 了 上 面 这 段 代 码 当 离 开 用 户 态 的 缓 冲 区 段 时 候 的 代 码 也 就 呼 之 欲 出 了 只 要 将 缓 冲 区 段 重 新 设 回 原 来 的 区 段 即 可 文 件 打 开 在 内 核 中 有 类 似 于 风 格 的 的 惟 一 的 不 同 是 对 于 行 为 的 指 定 的 要 求 更 加 明 确 因 为 内 核 里 面 所 作 的 事 情 更 加 的 底 层 第 一 参 数 为 函 数 的 路 径 第 二 个 参 数 为 打 开 文 件 的 权 限 第 三 个 参 数 为 打 开 操 作 为 一 个 创 建 操 作 的 时 候 创 建 出 来 的 文 件 的 权 限
文 件 读 入 病 毒 的 传 播 与 虚 拟 文 件 系 统 0 补 齐 其 中 就 是 以 只 读 权 限 打 开 指 定 文 件 打 开 一 个 现 存 的 文 件 不 存 在 权 限 问 题 所 以 最 后 一 维 用 打 开 一 个 文 件 的 操 作 稍 微 复 杂 一 点 要 以 读 或 者 创 建 的 模 式 打 开 因 为 存 在 创 建 的 问 题 需 要 规 定 其 读 写 的 权 限 最 后 一 维 的 0644 表 示 对 于 用 户 组 和 用 户 本 人 具 备 读 写 权 限 值 得 一 提 的 是 打 开 文 件 的 模 式 标 示 符 使 用 ( 按 位 或 ) 连 接 二 进 制 位 上 的 1 越 多 模 式 越 灵 活 而 创 建 文 件 权 限 的 标 示 符 用 + ( 代 数 和 ) 连 接 数 字 越 大 表 示 权 限 越 严 格 文 件 读 入 读 入 文 件 的 接 口 由 的 域 成 员 来 提 供 因 为 还 尚 不 支 持 如 那 样 成 熟 的 面 向 对 象 机 制 所 以 第 一 维 依 然 要 将 目 标 文 件 传 入 第 二 维 传 入 将 结 果 返 回 的 缓 冲 区 第 三 维 是 读 入 的 字 节 数 第 四 维 告 诉 函 数 从 哪 个 字 节 开 始 读 因 为 这 个 东 西 读 完 了 会 被 向 后 挪 动 所 以 传 入 一 个 指 针 是 一 个 依 赖 于 机 器 环 境 的 整 形 变 量 由 机 器 字 宽 决 定 位 或 位 在 我 们 的 工 作 中 封 装 如 下
文 件 写 入 病 毒 的 传 播 与 虚 拟 文 件 系 统 文 件 写 入 写 入 的 参 数 和 读 差 不 多 但 是 使 用 的 是 虚 拟 文 件 系 统 提 供 的 写 接 口 的 第 一 个 参 数 是 写 入 的 文 件 指 针 第 二 个 是 从 哪 一 个 字 节 后 面 开 始 写 入 第 三 个 从 这 个 开 始 写 写 入 第 四 个 参 数 表 示 这 个 的 长 度 在 我 们 的 工 程 中 封 装 如 下 输 出 至 尾 部 有 了 输 出 的 接 口 之 后 想 要 在 文 件 的 末 尾 添 加 我 们 想 要 的 内 容 就 非 常 容 易 了 我 们 利 用 打 开 的 文 件 就 能 知 道 文 件 的 大 小 以 这 个 值 作 为 写 时 的 偏 移 量 即 可 复 制 部 在 程 序 中 我 们 开 了 一 段 静 态 的 缓 冲 区 用 于 周 转 每 次 从 源 文 件 中 读 一 段 进 来 并 输 出 到 目 标 文 件 的 尾 查 看 文 件 目 下 的 文 件 这 里 走 了 一 些 弯 路 开 始 的 时 候 我 们 想 利 用 来 遍 历 文 件 目 录 树 但 是 这 个 计 划 流 产 了 因 为 每 个 文 件 系 统 都 有 自 己 的 命 名 空 间 所 以 文 件 系 统 对 于 特 定 的 进 程 也 只 暴 露 自 己 特 定 的 一 部 分 对 于 内 核 来 说 使 用 这 个 接 口 来 进 行 文 件 系 统 的 遍 历 十 分 不 友 好 我 们 查 阅 了 的 实 现 方 式 它 调 用 了 一 个 叫 的 系 统 调 用 它 接 收 一 个 文 件 夹 的 文 件 描 述 符 会 把 这 个 文 件 夹 下 面 的 文 件 信 息 写 进 里 面 并 返 回 这 个 最 尾 端 用 到 哪 一 个 字 节 这 时 候 我 们 只 要 遍 历 这 个 并 把 它 的 指 针 类 型 强 制 转 换 成 中 内 置 的 类 型 就 能 查 看 文 件 夹 下 面 的 内 容 ( 包 括 文 件 的 类 型 名 称 ) 了 我 们 借 此 遍 历 盘 中 的 每 一 个 文 件 具 体 使 用 如 下 在 被 替 换 的 中
文 件 写 入 病 毒 的 传 播 与 虚 拟 文 件 系 统 其 中 的 用 法 和 一 模 一 样 只 是 它 们 的 返 回 略 有 区 别 它 返 回 一 个 类 型 这 个 整 数 在 下 面 的 操 作 中 代 表 这 个 被 打 开 的 文 件 然 后 这 个 文 件 被 作 为 参 数 传 给 系 统 调 用 一 组 的 实 例 就 会 被 写 进 内 存 槽 里 面 这 里 它 利 用 了 中 不 定 长 数 组 的 技 术 但 是 同 时 的 它 在 这 个 结 构 体 中 也 有 一 个 域 来 描 述 自 己 到 下 一 个 实 例 的 偏 移 量 我 们 借 此 遍 历 整 个 数 组 以 查 看 目 录 下 的 文 件
病 毒 的 发 作 与 隐 藏 进 程
隐 藏 进 程 病 毒 的 发 作 与 隐 藏 进 程 想 要 对 计 算 机 造 成 更 有 针 对 性 的 破 坏 也 是 轻 而 易 举 的, 这 里 就 不 具 体 实 践 出 来, 仅 用 以 上 两 种 发 作 方 式 作 为 简 单 的 案 例, 证 明 病 毒 及 劫 持 系 统 调 用 方 法 的 灵 活 与 强 大 隐 藏 进 程 由 于 在 命 令 中 并 不 显 示 号 进 程 的 相 关 信 息 所 以 我 们 隐 藏 进 程 的 核 心 思 想 就 是 把 修 改 为 在 目 录 下 有 许 多 由 数 字 命 名 的 目 录 这 些 数 字 就 是 运 行 着 的 进 程 的 与 进 程 相 关 的 各 种 信 息 就 保 存 在 相 应 的 目 录 下 命 令 并 非 直 接 用 特 殊 的 系 统 调 用 来 获 得 当 前 进 程 的 列 表 的 而 是 对 运 行 了 指 令 也 就 是 用 到 了 系 统 调 用 所 以 我 们 把 系 统 调 用 的 函 数 替 换 为 我 们 自 己 的 破 坏 函 数 在 系 统 维 护 的 所 有 进 程 的 链 表 中 找 到 指 定 的 进 程 名 将 其 改 设 为 即 可 达 到 隐 藏 进 程 的 效 果 劫 持 系 统 调 用 劫 持 系 统 调 用 的 基 本 方 式 和 之 前 提 到 的 一 样 也 非 常 简 单 我 们 的 破 坏 函 数 达 到 的 效 果 是 在 用 户 创 建 新 目 录 的 时 候 输 出 被 截 获 进 程 的 和
总 结 本 文 完 整 地 介 绍 了 实 现 一 个 内 核 病 毒 的 基 本 思 想 我 们 详 细 介 绍 了 该 病 毒 所 需 要 的 每 个 重 要 步 骤 和 其 核 心 思 想 首 先 模 仿 特 洛 伊 木 马 在 用 户 执 行 时 潜 入 内 核 造 成 感 染 感 染 后 立 刻 隐 藏 自 身 随 后 劫 持 系 统 调 用 表 在 特 定 时 间 点 如 调 用 某 个 系 统 调 用 时 进 行 破 坏 自 动 隐 藏 特 定 的 用 户 态 进 程 向 插 入 的 移 动 设 备 复 制 自 身 进 行 传 播 该 病 毒 紧 密 结 合 课 程 内 容 涉 及 到 的 知 识 点 相 当 广 泛 基 本 涵 盖 了 参 考 书 中 的 章 节 第 二 章 第 三 章 第 四 章 第 五 章 第 九 章 进 程 的 基 本 管 理 存 储 管 理 文 件 系 统 输 入 输 出 安 全 该 的 完 成 过 程 中 人 员 分 工 合 理 三 人 工 作 量 较 为 平 均 具 体 分 工 如 下 表 所 示 工 程 方 面 协 作 方 面 邵 俊 儒 模 块 的 隐 藏 系 统 调 用 挂 钩 协 同 工 作 编 写 文 档 翁 健 病 毒 的 传 播 病 毒 发 作 之 劫 持 代 码 耦 合 文 档 美 化 吉 妍 病 毒 的 发 作 之 进 程 隐 藏 准 备 课 程 展 示 文 档 绘 图 非 常 感 谢 梁 老 师 为 我 们 带 来 精 彩 的 课 程 非 常 感 谢 各 位 助 教 对 我 们 不 厌 其 烦 的 教 导 非 常 感 谢 我 们 组 的 每 个 人 为 这 个 的 辛 勤 付 出
附 录 实 验 演 示 附 录 演 示 病 毒 的 各 个 环 节 和 相 应 的 效 果 病 毒 的 隐 藏 通 常 情 况 下 插 入 一 个 模 块 我 们 可 以 在 中 看 见 它 如 图 所 示 图 通 过 查 看 当 前 加 载 的 所 有 模 块 所 示 但 是 如 果 我 们 在 内 核 中 加 入 隐 藏 自 身 的 代 码 就 能 够 将 其 从 文 件 系 统 和 中 隐 藏 起 来 如 图 图 加 入 代 码 隐 藏 功 能 后 从 中 隐 藏 了 自 身 进 程 隐 藏 前 面 提 到 这 个 模 块 具 有 隐 藏 进 程 的 功 能 在 这 个 例 子 中 它 会 将 指 定 的 以 开 头 的 进 程 隐 藏 起 来 如 图 所 示
病 毒 的 传 播 附 录 实 验 演 示 图 隐 藏 以 开 头 的 进 程 病 毒 的 传 播 如 图 我 们 的 病 毒 能 够 伪 装 成 用 户 态 并 遍 历 其 中 的 所 有 目 录 图 病 毒 伪 装 成 用 户 态 对 挂 载 的 文 件 系 统 进 行 遍 历 染 如 图 我 们 的 病 毒 会 将 自 身 的 源 码 拷 贝 到 插 入 的 设 备 中 并 对 扫 描 到 的 所 有 脚 本 文 件 进 行 感 图 病 毒 将 自 身 拷 贝 到 插 入 的 设 备 中 不 仅 如 此 病 毒 还 可 以 检 测 先 前 是 否 已 经 感 染 过 文 件 避 免 重 复 感 染 的 发 生 如 图 所 示
病 毒 的 传 播 附 录 实 验 演 示 图 病 毒 可 以 避 免 重 复 感 染