[發明專利]一種面向異構BIOS環境的Rootkit通用性檢測方法

在審

• 申請號: 201911037212.6
• 申請日: 2019-10-29
• 公開（公告）號: CN110795735A
• 公開（公告）日: 2020-02-14
• 發明（設計）人: 何利文;侯小宇
• 申請（專利權）人: 南京郵電大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 32243 南京正聯知識產權代理有限公司
• 代理人: 張玉紅

1.一種面向異構BIOS環境的Rootkit通用性檢測方法，其特征在于：包括如下步驟：

步驟1，搜集基于多種BIOS環境的Rootkit樣本，主要包括Award BIOS、Phoenix BIOS和UEFI等；使用動態和靜態調試方法，對樣本進行分析，整理各樣本的感染點，確定檢測方法、需要檢測的具體模塊及代碼；

步驟2，使用動態和靜態調試方法分析多種BIOS的結構類型，主要包括Award BIOS、Phoenix BIOS和UEFI等；根據BIOS文件和Windows系統文件初始化、內核加載過程和內核初始化3個階段，對計算機系統啟動過程的模塊按階段劃分；

步驟3，根據BIOS文件和Windows系統文件初始化、內核加載過程和內核初始化3個階段建立3條可信鏈，步驟2中劃分出的每一階段的模塊就是相應可信鏈需要度量的對象；

步驟4，將各模塊的校驗值、特征碼以及可信鏈檢測模塊嵌入BIOS中；

步驟5，在基于異構BIOS環境未被Rootkit感染的計算機中運行一遍檢測方法，在BIOS數據區記錄系統未受到Rootkit感染情況下的各模塊備份以及校驗值等；

步驟6，使用檢測方法實現對已被Rootkit感染的計算機系統的檢測，運行中，檢測模塊會自動跳過針對不存在的模塊的檢測程序；若未檢測出異常，則計算機系統正常啟動；若檢測出系統模塊被篡改，則系統啟動過程將暫停，檢測機制從存儲器中取出備份模塊覆蓋該模塊后再轉交控制權，系統恢復啟動；

步驟7，系統順利啟動，根據啟動過程中的報錯可判斷系統是否感染Rootkit。

2.根據權利要求1所訴的一種面向異構BIOS環境的Rootkit通用性檢測方法，其特征在于：所述步驟3中，具體包括如下分步驟：

步驟3-1，可信鏈1對應于初始化階段，其檢測可借助工具如Award BIOS editor等，提取出不同BIOS環境的相應模塊或服務列表，對模塊或服務列表進行完整性檢測；

步驟3-2，可信鏈2對應于內核加載過程階段，其中的模塊主要可以分為兩類：IDT和其它模塊；IDT的檢測需要調試中斷向量表，通過對比即可得知中斷服務程序的入口地址是否被改動；其它模塊都具有特征碼，可以通過特征碼定位并進行SHA-1算法完整性檢驗；

步驟3-3，可信鏈3對應于內核初始化階段，其中的模塊檢測通過特征碼定位和SHA-1算法完整性檢驗。

3.根據權利要求1所訴的一種面向異構BIOS環境的Rootkit通用性檢測方法，其特征在于：所述步驟4中，具體包括如下分步驟：

步驟4-1，在BIOS數據區中，申請若干頁內存用于存儲各檢測模塊和計算機系統各模塊備份及其校驗值；

步驟4-2，將可信鏈1的檢測模塊作為一個模塊插入到BIOS文件和Windows系統文件初始化過程中；

步驟4-3，通過Int 15h，將可信鏈2的檢測模塊插入到Startup.com中，實現對內核加載過程的檢測；

步驟4-4，同樣通過Int 15h，將可信鏈3的檢測模塊插入到Ntdetect.com中，實現對內核初始化過程的檢測。

4.根據權利要求1所訴的一種面向異構BIOS環境的Rootkit通用性檢測方法，其特征在于：所述步驟6中，包括如下分步驟：

步驟6-1，在BIOS文件和Windows系統文件初始化過程，該檢測模塊主要對Award BIOS和Phoenix BIOS中的ISA模塊和解壓縮模塊進行校驗，和數據區的數據進行對比，若發現被篡改，則用數據區的備份模塊覆蓋，再將控制權交還給系統；

步驟6-2，在運行Startup.com時，系統控制權交給可信鏈2的檢測模塊，該檢測模塊主要對IDT、Osleader.com、Winload.efi等模塊進行校驗，若發現模塊被篡改，則用數據區的備份模塊覆蓋，再將控制權交還給系統；

步驟6-3，在運行Ntdetect.com時，系統控制權交給可信鏈3的檢測模塊，該檢測模塊主要對Ntoskrnl.exe等模塊進行校驗，若發現被篡改，則用數據區的備份模塊覆蓋，再將控制權交還給系統。