GNU/Linux 系统安全

• Linux Rootkit 研究
  • Linux Rootkit 系列二：基于修改 sys_call_table 的系统调用挂钩
    • 第一部分：基于修改 sys_call_table 的系统调用挂钩
      • 1. 获得 sys_call_table 的内存地址
      • 2. 关闭写保护
      • 3. 修改 sys_call_table
      • 4. 恢复
    • 第二部分：基于系统调用挂钩的初级文件监视
      • 1. sys_open 的钩子函数： fake_open
      • 2. sys_unlink 与 sys_unlinkat 的钩子函数： fake_unlink 与 fake_unlinkat
      • 3. 测试我们的文件监视工具
    • 第三部分：参考资料与延伸阅读
      • 1. 参考资料
      • 2. 延伸阅读
  • Linux Rootkit 系列三：实例详解 Rootkit 必备的基本功能
    • 前言
    • 概要
    • 第一部分：Rootkit 必备的基本功能
      • 1. 提供 root 后门
        • 实验
      • 2. 控制内核模块的加载
        • 实验
      • 3. 隐藏文件
        • 实验
        • 选读内容：相关内核源码的简略分析
      • 4. 隐藏进程
        • 实验
      • 5. 隐藏端口
        • 实验
      • 6. 隐藏内核模块
        • 实验
    • 第二部分：未来展望
    • 第三部分：参考资料与延伸阅读
      • 1. 参考资料
      • 2. 延伸阅读
  • Linux Rootkit 系列五：感染系统关键内核模块实现持久化
    • 前言
    • 概要
    • 第一部分：感染系统关键内核模块实现持久化
      • 1. 编译并安装所需的 ELF 文件修改程序
      • 2. 内核模块函数的重定位与挂钩
        • 演示用的简单内核模块
        • 模块的编译过程与 module_init / module_exit 的分析
        • 观察重定位记录与符号表
        • 实验演示符号表项的劫持
      • 3. 感染一个示例内核模块
        • 修改 fshid 使其便于寄生
        • 将 fshid 感染到示例模块中
        • 参考效果
      • 4. 感染系统中的内核模块
        • 确定目标并采集必要信息
        • 将 fshid 感染到系统模块中
        • 参考效果与重启测试
        • 如何修改 fshid 使其便于寄生到真实的系统模块
        • 把系统模块初始函数与退出函数的绑定改成 global 的必要性
      • 5. 小结
    • 第二部分： ELF 文件解析初步
      • 示例一：列举所有区间的名字、文件偏移等信息：lssec
        • 分析 ELF 头部
        • 分析区间头部
        • 遍历所有区间并打印其信息
        • 参考效果
      • 示例二：列举所有符号的名字、值等信息：lssym
        • 参考效果
      • 示例三：获取或修改给定符号的值：setsym
        • 参考效果
    • 第三部分： 参考资料与延伸阅读
      • 1. 参考资料
      • 2. 延伸阅读
  • Linux Rootkit 系列六：基于修改派遣例程的系统调用挂钩
    • 前言
    • 概要
    • 第一部分：基于修改派遣例程的系统调用挂钩
      • 1. 系统调用挂钩综述
      • 2. 派遣例程的篡改方式
      • 3. 获取 entry_SYSCALL_64 中的 sys_call_table
        • 参考结果
      • 4. 修改与恢复 entry_SYSCALL_64 中的 sys_call_table
        • 修改
        • 恢复
        • 参考结果
      • 5. 比较
    • 第二部分：基于系统调用挂钩的初级流量监视
      • 1. 伪造假的 sys_call_table 并钩调其中的 sys_sendto
      • 2. sys_sendto 的钩子函数
      • 3. 测试
        • 参考结果1： ping
        • 参考结果2： HTTP GET / POST
    • 第三部分： 参考资料与延伸阅读
      • 1. 参考资料
      • 2. 延伸阅读