论文部分内容阅读
随着Internet技术的发展和互联网的普及，网络已经深入到了各行各业，它给生活带来了很多的便利，但同时也给犯罪分子提供了很大的方便，他们利用网络的开放性和不确定性等特点进行网络犯罪。网络犯罪具有隐蔽性、复杂性、匿名性、波及范围广和危害大等特点，又很难被侦破和取证所以给安全监管部门带来了很大的挑战。
针对网络犯罪，使用具有隐蔽性较好的远控系统对网络犯罪分子计算机进行行为监控和犯罪取证被证实具有很好效果。因为这样的远控系统能在被控端毫无感知的情况下对其进行行为监视和控制，进而可以对犯罪分子进行定位，控制和抓捕。
由于当前的主流远程控制控系统所使用的隐蔽机制和技术过于陈旧，导致其系统隐蔽性一般，无法满足网络安全人员对远控系统的较高隐蔽性的需求。在当前远控系统的基础上，通过应用小马拉大马植入方法、改进的DLL劫持技术、自实现模块加载和导出函数获取技术、改进的PE文件修改方法和异步控制的通信机制，本文给出了一款用于对网络犯罪行为进行监控的远程控制系统设计。该设计从理论上满足网络安全人员对远控系统提出的隐蔽性，抗溯源性和系统扩展性需求。
小马拉大马的植入方法：植入被控端程序时选择首先植入一个功能较少，体积较小的被控端程序，再通过这个小的被控端下载并加载功能更加齐全的被控端。使用此方法可以使首次植入的被控端程序体积降低到几KB，含有特征大大减少，被杀毒软件查杀的几率降低，植入的成功率提高。改进的DLL劫持技术：通过在劫持DLL的主函数中加载所需模块，然后让系统卸载对自己的加载来实现特定模块启动的技术。通过使用这种技术，劫持DLL不仅可以完成对特定模块的加载还能很快的退出应用程序的地址空间，使被控端隐蔽性增加。改进的PE文件修改方法：在一个PE文件的尾部增加另一个PE文件的内容，使得在一个PE文件中含有两个PE文件。通过使用这种方法，可以将劫持DLL隐藏在植入程序之中，方便植入程序进行植入，降低植入的难度。异步控制的通信机制：通过在控制端和被控端之间增加一个代理服务器来分离控制端和被控制端通信之间的通信，进而达到控制端对被控端的异步控制效果。通过使用这种通信机制使远控系统的控制端隐藏在代理服务器之后，进一步增强了控制端的隐蔽性。
最后本文对所设计系统进行了实现和系统测试，测试结果证明本系统具有较好的隐蔽性，抗溯源性和系统扩展性。