基于SSDT恢复的反恶意代码技术

通过修改系统服务调度表（SSDT）,恶意代码可以避免被杀毒软件或反恶意软件清除。针对SSDT挂钩技术,通过系统文件重定位,实现基于SSDT恢复的反恶意代码技术,阐述Ntoskrnl.exe文件的重装方法和Ntoskrnl.exe文件偏移比较法。实验结果证明,该技术能使恶意代码和木马程序失效,保障系统安全。     

一种通用的Shadow SSDT原始地址获取新方式

挂钩恢复是一项重要的安全技术。对Shadow系统服务描述表(SSDT)挂钩检测以及恢复方法进行分析,传统方法中的原始地址获取方式不仅存在Windows操作系统版本兼容性问题,而且代码逻辑复杂。针对该问题,提出一种通用算法,对Shadow SSDT原始地址获取方法进行改进,并设计了基址重定位方法,减少了代码量,有效提高了稳定性和兼容性。     

Windows内核恶意代码分析与检测技术研究

Windows内核恶意代码是指能够通过改变Windows执行流程或者改变内核审计和簿记系统所依赖的数据结构等手段以达到隐藏自身,实现恶意功能的程序或程序集,对操作系统安全造成很大的危害。对近年来基于NT内核的微软Windows操作系统下恶意代码主要的隐藏实现技术（包括对进程函数、注册表函数、SSDT等的HOOK行为）进行了深入分析研究,提出了一些具有实用价值的恶意代码检测技术方案。实践表明文中提出的恶意代码分析检测技术在实际中具有积极的指导意义。     

基于SSL的安全WWW系统的研究与实现

文中提出并实现了一个基于安全套接字层（ＳＳＬ）技术的安全ＷＷＷ系统,该系统可为ＷＷＷ客户机和服务器的应用层通信应用软件提供数据加密、信息完整性,实体鉴别和非抵赖等安全服务,利用流机制和层服务者技术将安全套接字层嵌入操作系统内核,从而使安全服务对上层的所有应用软件透明,为提高浏览器的通信效率,文中提出了适合于系统内核实现的面向进程的握手保密会话。文中实现的安全ＷＷＷ系统可跨Ｗｉｎ３２（９５,９８,Ｎ     

ElaniX内核对象服务通信机制的设计与实现

Elanix是和欣操作系统（Elastos）在Linux上的构件化虚拟操作系统,Elanix Server是其中的内核对象服务模块.针对Elanix中内核对象的构件化特性,提出了Elanix Server的通信机制,设计并实现了其通信层次,包括：实现各内核对象的主体层、构件化设计的接口层、使用元数据的列集层、基于设备文件的传输层.分析了此通信机制的优点,测试表明Elanix Server对应用程序请求的响应时间明显少于Wine Server的响应时间,这为Elanix 内核对象与应用程序之间的通信提供了有效途径.     

Windows内核恶意代码分析与检测技术研究

Windows内核恶意代码是指能够通过改变Windows执行流程或者改变内核审计和簿记系统所依赖的数据结构等手段以达到隐藏自身,实现恶意功能的程序或程序集,对操作系统安全造成很大的危害.对近年来基于NT内核的微软Windows操作系统下恶意代码主要的隐藏实现技术(包括对进程函数、注册表函数、SSDT等的HOOK行为)进行了深入分析研究,提出了一些具有实用价值的恶意代码检测技术方案.实践表明文中提出的恶意代码分析检测技术在实际中具有积极的指导意义.     

Windows系统下多种Rootkit隐藏方式分析以及探测方法研究

在网络攻防中,系统攻击者最大的障碍,常常是作为系统安全守护者的安全防护软件。本文通过对windows NT操作系统下Rootbt隐藏机制的研究,分别实现了修改进程调度表SSDT、直接修改内核对象DKOM和修改IRP等多种Rootbt实现技术,达到对抗安全软件的目的。本文针对不同的Rootbt实现技术进行了Rootkit检测技术的研究和实现。     

SSDT内核钩子原理及检测程序的实现

钩子程序能够截获系统的输入、输出,SSDT是实现Windows平台内核钩子程序的一段关键数据结构。描述了SSDT的数据结构,SSDT钩子的工作原理,提出了SSDT钩子检测方法以及使用VisualC 实现了SSDT钩子检测程序。     

SSDT内核钩子原理及检测程序的实现

钩子程序能够截获系统的输入、输出,SSDT是实现Windows平台内核钩子程序的一段关键数据结构。描述了SSDT的数据结构,SSDT钩子的工作原理,提出了SSDT钩子检测方法以及使用Visual C＋＋实现了SSDT钩子检测程序。     

分层隔离的安全操作系统内核结构研究

传统单块结构操作系统的所有内核代码在一个公共的、共享的地址空间运行,因此内核中任何一个漏洞或在内核中加载任何不可靠模块都会威胁到整个系统的安全。本文提出了一个分层隔离的操作系统安全结构,该结构有效地将内核特权分割隔离,阻止内核安全漏洞的扩散,防止恶意内核模块代码对内核代码数据的随意篡改。原型操作系统完全自主开发,支持i386体系结构。内核模块隔离机制利用分段保护硬件机制保证安全微内核的不被篡改性,并在此基础上实现操作系统各服务功能模块的隔离。     

Linux内核系统调用扩展研究

系统调用是操作系统内核提供给用户使用内核服务的接口。Linux操作系统由于其自由开放性,用户可在原有基础上,添加新的系统调用,以便提供更多的服务。基于Linux2.4内核,文中研究了Linux操作系统系统调用的实现机制,并以基于数据库的文件系统功能扩展为例,说明系统调用扩展的实现过程。     

Linux内核系统调用扩展研究

系统调用是操作系统内核提供给用户使用内核服务的接口。Linux操作系统由于其自由开放性，用户可在原有基础上，添加新的系统调用，以便提供更多的服务。基于Linux 2．4内核，文中研究了Linux操作系统系统调用的实现机制，并以基于数据库的文件系统功能扩展为例，说明系统调用扩展的实现过程。     

内核脱钩技术在检测rootkit木马信息隐藏中的应用

简要讨论了Windows内核系统服务调用机制,分析了基于rootkit技术的木马通过内核态挂钩SystemServiceDispatch-Table隐藏各种敏感信息的一般原理.在检测SystemServiceDispatchTable挂钩隐藏注册表键值的基础上,提出两种内核检测脱钩方法,实现了对rootkit挂钩的有效检测与脱钩,确保了系统荻取注册表等敏感信息的完整性.     

面向高可用计算机的驱动隔离系统设计与实现

为了减少驱动程序中存在的缺陷对系统运行造成的严重影响,研究并实现了一种在操作系统内核的基本部分与设备驱动程序之间增加“驱动隔离层”的内核驱动隔离机制,同时提供驱动程序发生故障后的检测及恢复机制.这种将驱动程序隔离运行的机制明显区别于传统的操作系统,能够对系统内核区域进行严格的访问控制保护,避免了由于驱动程序存在缺陷所导致的系统失效.实验结果表明,该内核驱动隔离系统有效地提高了系统的可用性,同时对用户和应用程序透明,具有良好的兼容性.     

支持时钟同步技术的无线传感网操作系统研究及内核实现

详细分析了无线传感网操作系统的硬件平台环境、自身特点和基本功能，提出了一种合理划分内核层与服务层功能的操作系统整体架构及内核结构．该内核结构采用数据融合加强对精度要求较高的时钟同步任务的支持．给出了相关内核服务例程和基本的数据结构的设计．试验数据表明，数据融合后时钟同步算法中的多跳误差累积得到明显降低．     

面向并行图像处理的实时分布式操作系统的设计与实现

针对多片TMS320C64 DSP构成的多计算机体系结构的实时图像识别系统，设计并实现了面向并行图像处理的实时分布式操作系统PIPORTDOS（Parallel image processing-oriented real-time distributed operating system）．PIPORTDOS基于微内核体系结构，包括硬件抽象层、系统核心层、分布式消息通信机制和系统服务层四个层次．其多任务内核实现了基于优先级的抢先式调度、任务闻的同步和通信原语、实时的中断处理以及面向应用的缓存管理机制．为了实现对分布式并行图像处理的支持，PIPORTDOS采用了基于消息传递（Message Passing）的方式，并在实现中充分考虑了上层图像处理算法的应用需求以及DSP的硬件功能．相关性能指标表明，本文设计实现的PIPORTDOS完全可以满足系统的强实时性要求．在功能上也能适应算法对不同并行结构的需求．     

GDBstub的剖析与改进

讨论了GDB远程调试技术在调试内核、嵌入式系统中的实现,简要阐述GDB宿主机和GDB远程串行协议,详细分析GDB调试代理在内核层、应用层的各种实现方法,并提出了一种在不修改操作系统内核前提下调试应用程序的方法。这种方法可移植性强,而且消除了修改系统内核可能带来的隐患,减少了因修改内核而带来的工作量,在调试微内核操作系统服务的应用中非常有效。     

Windows内核级防护系统

Windows操作系统是当今应用最广泛的个人计算机操作系统,针对这一操作系统的病毒和木马层出不穷。大多数杀毒软件主要依赖特征码识别技术、校验和技术、软件模拟技术检测病毒。本系统从手动杀毒角度出发,变被动防御为主动查杀,特别是Rootkit保护的内核级木马,通过检测相应的被挂钩函数,内核中被修改的地址,找到相应的进程,从而实现了木马进程的强杀、相应内核内容的恢复等功能,更有效的保护计算机操作系统的安全。     

一个解决分布式内核中状态,不一致性的方法

本文着重介绍分布式操作系统内核NDOS的进程通信机制中,检测和处理由于进程死亡、机器或网络故障以及进程迁移所引起的系统状态不一致性问题的方法。为了能够既满足高层系统的可靠性要求,同时又保持分布式操作系统内核的简洁性和有效性,我们把内核的进程通信设施进一步分为两层。对状态不一致性的检查和处理的机制利用了事件计数(eventcount)的概念及其有关操作。     

内核态下的系统服务分配表挂钩主动防御技术

恶意程序利用内核态下的系统服务分配表挂钩可以隐藏进程,过滤数据等,严重威胁计算机系统安全.本文提出了一种针对系统服务分配表挂钩技术的主动防御技术,通过内核驱动程序,为系统关键内核服务函数添加自我保护功能,能在恶意程序挂钩相关服务函数系统服务分配表后,该服务函数能够立刻感知,及时修复相应表项值、报警,最后设计程序验证方案有效性.