|
|
本毕业论文主要分析了木马查杀的主要方法，并对特征码查杀的主要技术做了描述。同时设计并实现了一个木马查杀。该木马查杀工具是基于WindowsXp操作系统开发的，是一个实验性的程序。整个系统由普通查杀，和MD5特征码查杀等几大模块功能构成。测试报告如下：
测试环境：
系统：Microsoft Windows XP Professional Service Pack 2
主机：AMD Athlon(tm) XP 2600+ 1.91GHz 512M内存
1 普通查杀测试
在c：下几个不同深度的目录下放置木马文件，然后对木马文件的特征码提取并保存入库，进行查杀，查杀结果很理想，而且速度很快。
2．MD5特征码查杀
在d：下几个不同深度的目录下放置木马文件，然后对木马文件的MD5特征码提取并保存入库，进行查杀，查杀结果也很理想，但是由于在查杀过程中要对文件进行MD5预算，所以耗费的时间和机器的CPU与内存的占用率都不低。
木马特征码技术契合了目前检测未知木马的迫切需求，随着对其研究的深入和实践的展开，必定能使其得到广泛的应用，使人们从中受益。
但正如McAfee公司在其06年的一份白皮书中提出的，特征码技术并不能完全替代行为分析，至少在今后很长一段时间内，两者还将共存下去。特征码技术、行为分析以及其它反木马技术相辅相成，各取所长，才能更有效地抵御木马的入侵和破坏。
未来开发方向：
一种可行的方案是：以特征码技术为主，同时辅以启发式技术：对某个程序进行静态特征码扫描后，如未发现异常，则可选用静态启发式扫描，还可以通过行为分析做进一步的确认。譬如，同时使用实时监控和行为分析这两种技术，对于已知木马的程序文件，在执行之前，实时监控就会检测到文件中包含的特征码，并阻止它运行；对于未知木马，虽然可以避开实时监控，但一旦其运行起来，并表现出木马的行为特征，就会被行为分析技术检测出来。
本木马查杀本工具的运行是基于Windows平台的，选用所熟悉的开发工具及开发环境进行本工具的设计与开发。
设计开发一个木马检测工具，本设计要求实现部分功能——（1）能对特征码库进行设置；（2）本工具能自动的读取特征码库中的特征码；（2）本工具能检测指定盘符的文件，并进行相应的检测。（4）本工具能进行的检测有普通查杀和特征码查杀。
环境需求
操作系统：Windows XP SP2
开发平台：Visual C++ 6.0
可行性研究
本程序的开发利用Visual C++作为开发工具。使用其作为程序的开发工具，是因为它采用面向对象的编程方法---把程序和数据封装起来作为一个对象，并为每个对象赋予相应的属性；事件驱动的编程机制---通过事件执行对象的操作，在设计应用程序时，不必建立具有明显的开始和结束的程序，而是编写若干个过程，通过这些过程执行指定的操作；提供完善的指令控制语句，给开发高性能的系统提供了保障，保证了代码的模块化要求，而且Visual C++本身就自带一些库函数能够提供一些功能，更利于本工具的开发。
木马查杀功能的实现
3.1 工具模块介绍
模块一：驱动器的选择，该模块可以选择机器上所以本地硬盘和移动盘
模块二：普通查杀的选择，即快速查杀，通过比较文件名和文件大小来查杀。
模块三：特征码查杀的选择，即MD5特征码查杀，通过读取特征库里的数据与文件特征码进行比较来进行查杀。
模块四：显示查杀成功的文件。
模块五：显示正在查杀的文件夹。
