1、隨著計(jì)算機(jī)技術(shù)的快速發(fā)展和互聯(lián)網(wǎng)的迅速普及，計(jì)算機(jī)系統(tǒng)將會(huì)面臨越來(lái)越多的病毒、木馬、蠕蟲(chóng)等惡意代碼的威脅，殺毒軟件和惡意代碼也大量使用一種稱之為內(nèi)核Rootkit的技術(shù)，從而使它們之間的對(duì)抗也深入到Windows操作系統(tǒng)的內(nèi)核。
　　 對(duì)內(nèi)核函數(shù)和內(nèi)核函數(shù)地址表，如系統(tǒng)服務(wù)描述符表和中斷描述符表，進(jìn)行完整性檢查可以檢測(cè)內(nèi)核Rootkit，但是這種方法無(wú)法定位內(nèi)核的執(zhí)行流程被重定向到哪個(gè)函數(shù)，并且會(huì)產(chǎn)生大量的漏報(bào)和誤報(bào)，導(dǎo)致普通用

2、戶無(wú)法辨別。Windows系統(tǒng)中一些未公開(kāi)的內(nèi)核數(shù)據(jù)結(jié)構(gòu)也可以用于內(nèi)核Rootkit檢測(cè)，但是內(nèi)核Rootkit也可以使用這些內(nèi)核數(shù)據(jù)結(jié)構(gòu)，繞過(guò)這種檢測(cè)方法。
　　 針對(duì)Windows系統(tǒng)內(nèi)核Rootkit的特點(diǎn)，在研究現(xiàn)有檢測(cè)方法和工具的基礎(chǔ)上，結(jié)合對(duì)大量的Rootkit樣本和WRK源碼的研究，對(duì)基于外聯(lián)掛鉤的內(nèi)核Rootkit、基于內(nèi)聯(lián)掛鉤的內(nèi)核Rootkit以及基于直接內(nèi)核對(duì)象操作的Rootkit分別提出對(duì)應(yīng)的檢測(cè)方法，設(shè)