Linux Rootkit 研究

• Linux Rootkit 系列二：基于修改 sys_call_table 的系统调用挂钩
  • 第一部分：基于修改 sys_call_table 的系统调用挂钩
    • 1. 获得 sys_call_table 的内存地址
    • 2. 关闭写保护
    • 3. 修改 sys_call_table
    • 4. 恢复
  • 第二部分：基于系统调用挂钩的初级文件监视
    • 1. sys_open 的钩子函数： fake_open
    • 2. sys_unlink 与 sys_unlinkat 的钩子函数： fake_unlink 与 fake_unlinkat
    • 3. 测试我们的文件监视工具
  • 第三部分：参考资料与延伸阅读
    • 1. 参考资料
    • 2. 延伸阅读
• Linux Rootkit 系列三：实例详解 Rootkit 必备的基本功能
  • 前言
  • 概要
  • 第一部分：Rootkit 必备的基本功能
    • 1. 提供 root 后门
      • 实验
    • 2. 控制内核模块的加载
      • 实验
    • 3. 隐藏文件
      • 实验
      • 选读内容：相关内核源码的简略分析
    • 4. 隐藏进程
      • 实验
    • 5. 隐藏端口
      • 实验
    • 6. 隐藏内核模块
      • 实验
  • 第二部分：未来展望
  • 第三部分：参考资料与延伸阅读
    • 1. 参考资料
    • 2. 延伸阅读
• Linux Rootkit 系列五：感染系统关键内核模块实现持久化
  • 前言
  • 概要
  • 第一部分：感染系统关键内核模块实现持久化
    • 1. 编译并安装所需的 ELF 文件修改程序
    • 2. 内核模块函数的重定位与挂钩
      • 演示用的简单内核模块
      • 模块的编译过程与 module_init / module_exit 的分析
      • 观察重定位记录与符号表
      • 实验演示符号表项的劫持
    • 3. 感染一个示例内核模块
      • 修改 fshid 使其便于寄生
      • 将 fshid 感染到示例模块中
      • 参考效果
    • 4. 感染系统中的内核模块
      • 确定目标并采集必要信息
      • 将 fshid 感染到系统模块中
      • 参考效果与重启测试
      • 如何修改 fshid 使其便于寄生到真实的系统模块
      • 把系统模块初始函数与退出函数的绑定改成 global 的必要性
    • 5. 小结
  • 第二部分： ELF 文件解析初步
    • 示例一：列举所有区间的名字、文件偏移等信息：lssec
      • 分析 ELF 头部
      • 分析区间头部
      • 遍历所有区间并打印其信息
      • 参考效果
    • 示例二：列举所有符号的名字、值等信息：lssym
      • 参考效果
    • 示例三：获取或修改给定符号的值：setsym
      • 参考效果
  • 第三部分： 参考资料与延伸阅读
    • 1. 参考资料
    • 2. 延伸阅读
• Linux Rootkit 系列六：基于修改派遣例程的系统调用挂钩
  • 前言
  • 概要
  • 第一部分：基于修改派遣例程的系统调用挂钩
    • 1. 系统调用挂钩综述
    • 2. 派遣例程的篡改方式
    • 3. 获取 entry_SYSCALL_64 中的 sys_call_table
      • 参考结果
    • 4. 修改与恢复 entry_SYSCALL_64 中的 sys_call_table
      • 修改
      • 恢复
      • 参考结果
    • 5. 比较
  • 第二部分：基于系统调用挂钩的初级流量监视
    • 1. 伪造假的 sys_call_table 并钩调其中的 sys_sendto
    • 2. sys_sendto 的钩子函数
    • 3. 测试
      • 参考结果1： ping
      • 参考结果2： HTTP GET / POST
  • 第三部分： 参考资料与延伸阅读
    • 1. 参考资料
    • 2. 延伸阅读