硬盘作为最主要且最常见的存储设备,保存着计算机系统中绝大部分文件,是木马攻击和感染的主要目标。硬盘木马指的是通过感染硬盘来隐藏自身,驻留在计算机中,并执行恶意功能的木马,这种木马具有极高的隐蔽性和危害性。本论文将木马对于硬盘的感染位置和方式的不同,将硬盘木马分为Bootkit木马和硬盘固件木马。Bootkit木马是当前主流木马的一种,Bootkit技术和其检测技术不断地对抗升级,促使Bootkit木马迅速发展。硬盘固件木马难度大,且位于用户无法访问的区域内,所以对于固件木马的研究较少,但硬盘固件木马是杀毒软件的一个盲区,也是木马发展的一个方向。本文针对硬盘木马难以检测的问题,分析了硬盘木马的实现方式,建立了硬盘木马检测模型。在硬盘木马检测模型中,本论文将硬盘木马检测分为对Bootkit木马的检测和对硬盘固件的检测,其中Bootkit木马检测能够检测出硬盘引导区的感染情况以及系统的感染情况,硬盘固件检测能够检测出硬盘固件是否被篡改和硬盘是否挂载有小型系统。并且在硬盘木马检测模型中,本文提出了基于行为的Bootkit木马检测,基于可信引导的硬盘固件检测以及基于SMART的硬盘挂载系统检测的方法。接下来本文基于硬盘木马检测模型,设计并实现了硬盘木马检测系统,并详细介绍了硬盘木马检测系统中的各个模块。在实现的过程中,本文突破了硬盘固件区访问技术,实现了通过数据线对硬盘固件的直接提取。接下来本文设计实验对硬盘木马检测系统进行测试,并对结果进行分析,证明了硬盘木马检测模型的有效性。最后,本文又对硬盘木马检测系统和杀毒软件以及硬盘工具进行功能对比,证明硬盘木马检测模型对于硬盘木马检测的全面性。