出售虚拟主机空间,博客空间,电信机房百兆带宽,具体信息请点击进入!200元起售!联系QQ:2477941 手机:13764407761
29,Aug,2007 | (10331/1)Rootkits——Windows内核的安全防护
4.2 内核钩子
前一节中说明了用户空间钩子是有用的，但它们相对易于检测和预防(第10章“rootkit检测”将详细讨论用户空间钩子的检测问题)。更好的解决方法是安装内核内存钩子。通过使用内核钩子，rootkit将与所有检测软件保持同步。
内核内存是高端虚存地址区域。在Intel x86体系结构中，内核内存通常驻留在内存地址0x80000000及以上范围。若使用了允许进程拥有3GB虚存的/3GB引导配置开关，则内核内存起始于0xC0000000地址处。
进程不能访问内核内存是一条通用规则。该规则的例外情况是进程具有调试权限并且使用了特定的调试API，或者已安装了调用门。本书不涉及这些例外情况。关于调用门的更多信息，可参考Intel体系结构手册。
在本书中，rootkit通过实现一个设备驱动程序来访问内核内存。
前一节中说明了用户空间钩子是有用的，但它们相对易于检测和预防(第10章“rootkit检测”将详细讨论用户空间钩子的检测问题)。更好的解决方法是安装内核内存钩子。通过使用内核钩子，rootkit将与所有检测软件保持同步。
内核内存是高端虚存地址区域。在Intel x86体系结构中，内核内存通常驻留在内存地址0x80000000及以上范围。若使用了允许进程拥有3GB虚存的/3GB引导配置开关，则内核内存起始于0xC0000000地址处。
进程不能访问内核内存是一条通用规则。该规则的例外情况是进程具有调试权限并且使用了特定的调试API，或者已安装了调用门。本书不涉及这些例外情况。关于调用门的更多信息，可参考Intel体系结构手册。
在本书中，rootkit通过实现一个设备驱动程序来访问内核内存。
