更新时间：2023-10-03 22:06
Bootkit是更高级的Rootkit，该概念最早于2005年被eEye Digital公司在他们的“BootRoot项目中提及，该项目通过感染MBR（磁盘主引记录）的方式，实现绕过内核检查和启动隐身。可以认为，所有在开机时比Windows内核更早加载，实现内核劫持的技术，都可以称之为Bootkit，例如后来的BIOS Rootkit ， VBootkit，SMM Rootkit等。(以上摘自MJ0011《高级Bootkit——tophet》)
BOOTKIT具有以下几个特点：
1.在Ring3下可完成Hook(改写NTLDR)；
2.注入内核的代码没有内存大小限制，也无需自己读入代码；
3.BOOTDRIVER驱动初始化时加载(依情况而定，也可hook内核其它地方)；
4.理论上可以Hook各种版本ntldr；
5.理论上可以引导各个版本NT内核和内存相关boot.ini参数。
对于Bootkit，一旦它获得执行机会，它会比操作系统更早被加载，从而对杀毒软件后续的有效查杀造成很大的挑战，有时这种挑战甚至是强弱悬殊的。然而，如果把Bootkit加载的完整流程进行综合考虑，则在其获得执行机会之前，杀毒软件仍然有不少的机会将其扼杀于摇篮之中，这是建立在一个前提，即杀毒软件永远比病毒先被安装到系统里。
因此，要对付Bootkit，不应该单纯从Bootkit被执行后的行为着眼，而应该以全局的观念，从源头到结果各个环节综合把关，也就是提高安全软件的全程综合监控能力，一旦在这个过程中Bootkit程序（或安装Bootkit的原始病毒体）的行为被病毒软件有效拦截，那么杀毒软件仍然可以与之一战。