Bootkit是什么

Bootkit有什么特点

Bootkit的防范

Bootkit是什么

Bootkit是更高级的Rootkit,该概念最早于2005年被eEye Digital公司在他们的“BootRoot"项目中提及，该项目通过感染MBR(磁盘主引记录）的方式，实现绕过内核检查和启动隐身。可以认为，所有在开机时比Windows内核更早加载，实现内核劫持的技术，都可以称之为Bootkit,例如后来的BIOS Rootkit , VBootkit，SMM Rootkit等。

以上摘自MJ0011《高级Bootkit——tophet》

Bootkit有什么特点

BOOTKIT具有以下几个特点：

1.在Ring3下可完成Hook(改写NTLDR)；

2.注入内核的代码没有内存大小限制，也无需自己读入代码；

3.BOOTDRIVER驱动初始化时加载(依情况而定，也可hook内核其它地方)；

4.理论上可以Hook各种版本ntldr；

5.理论上可以引导各个版本NT内核和内存相关boot.ini参数。

Bootkit的防范

对于Bootkit，一旦它获得执行机会，它会比操作系统更早被加载，从而对杀毒软件后续的有效查杀造成很大的挑战，有时这种挑战甚至是强弱悬殊的。然而，如果把Bootkit加载的完整流程进行综合考虑，则在其获得执行机会之前，杀毒软件仍然有不少的机会将其扼杀于摇篮之中，这是建立在一个前提，即杀毒软件永远比病毒先被安装到系统里。

因此，要对付Bootkit，不应该单纯从Bootkit被执行后的行为着眼，而应该以全局的观念，从源头到结果各个环节综合把关，也就是提高安全软件的全程综合监控能力，一旦在这个过程中Bootkit程序（或安装Bootkit的原始病毒体）的行为被病毒软件有效拦截，那么杀毒软件仍然可以与之一战。