5-Rootkit

什么是Rootkit病毒
Rootkit是一种很深的隐藏在操作系统中执行恶意或令人讨厌的程序，比如弹出程序、广告软件或者间谍程序等。

大多数安全解决方案不能检测到它们并加以清除。

因为Rootkit在操作系统中隐藏得很深并且是以碎片的形式存在。

如果在清除过程中漏掉了任何一个相互关联的碎片，rootkit
能够自我激活。

一般的病毒扫描通常是清除病毒程序的执行阶段，但是在重新启动操作系统后rootkit
能够再次执行，所以问题并没有彻底解决。

要解决问题必须从rootkit本身，也就是从恶意程序的源头去根除。

内核模式的rootkit通常攻击操作文件系统，如果要检测已知及未知的内核模式rootkit，就必须直接访问原始卷并执行干净的启动进行补救。

赛门铁克诺顿2007产品采用Veritas 的VxMS （Veritas 映射服务）技术组件可以直接访问NTFS 格式的原始卷，并可以绕开Windows 文件系统API（应用程序接口）。

这种技术使诺顿的反间谍软件能够对运行在驱动程序层面上的rootkit 进行检测并实施补救措施。

对于未知的rootkit，赛门铁克采用最新的启发式检测（Heuristic Detection)进行有效防御。

来源：汤普森计算机安全实验室(Thompson Cyber Security Labs)。

Rootkit黑客的最强后门
飘忽不定
【期刊名称】《电脑迷》
【年(卷),期】2007(000)001
【摘要】黑客入侵一台主机后,通常会留下后门以继续控制主机。

对于一般的后门,我们用杀毒软件即可清除,然而现在有一种极为隐蔽的后门,别说杀毒软件发现不了,即使发现了也不能完全清除。

这种后门叫Rootkit,它可以隐藏系统中的文件、服务、端口、进程等,如果配合其它的木马,就成了黑客的超级武器。

下面让我们来了解一
下这种强大的后门工具以及清除的方法。

【总页数】1页(P66-66)
【作者】飘忽不定
【作者单位】
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.路由器存后门易被黑客利用 [J],
2.强大能力引发黑客嗅觉假冒微点惊现网络世界——北京东方微点反病毒专家破
解后门病毒"反间计" [J], 张婷婷
3.简单测试黑客工具中是否含有后门 [J], 丁小光
4.提防rootkit后门 [J], 李汉强
5.排查深藏在Linux中的RootKit后门 [J], 刘京义;
因版权原因，仅展示原文概要，查看原文内容请购买。

解析RootKit与反RootKitWEB平安电脑资料Rootkit是一个或者多个用于隐藏、控制一台计算机的工具包，该技术被越来越多地应用于一些恶意软件中，实验环境：Windows XP SP2工具：Hacker defende(RootKit工具)RootKit Hook Analyzer(RootKit分析工具)IceSword(冰刃)一、RootKit笔者以用RootKit进展员高级隐藏为例，解析RootKit技术。

超级隐藏的管理员用户。

1、创立帐户在命令提示符(cmd.exe)下输入如下命令：user gslw$ test168 /add通过上面的两行命令建立了一个用户名为gslw$，密码为test168的普通用户。

为了到达初步的隐藏我们在用户名的后面加了“$”号，这样在命令提示符下通过 user是看不到该用户的，当然在“本地用户和组”及其表的“SAM”项下还可以看到。

(图1)2、用户提权下面我们通过表对gslw$用户进程提权，使其成为一个比较隐蔽(在命令行和“本地用户和组”中看不到)的管理员用户。

第一步：翻开表器，定位到HKEYLOCALMACHINE\SAM\SAM项。

由于默认情况下管理员组对SAM项是没有操作权限的，因此我们要赋权。

右键点击该键值选择“权限”，然后添加“administrators”组，赋予其“完全控制”权限，最后刷新表，就能够进入SAM项下的相关键值了。

第二步：定位到表HKEYLOCALMACHINE\SAM\SAM\Domains\Aount\Users项，点击“000001F4”表项，双击其右侧的“F”键值，复制其值，然后点击“00000404”表项(该项不一定相同)，双击其右侧的“F”键值，用刚刚复制键值进展替换其值。

(图2)第三步：分别导出gslw$、00000404表项为1.reg和2.reg。

在命令行下输入命令" user gslw$ /del"删除gslw$用户，然后分别双击1.reg和2.reg导入表，最后取消administrators对SAM表项的访问权限。

本栏目责任编辑：冯蕾网络通讯及安全Computer Knowledge And Technology 电脑知识与技术2008年第4卷第4期（总第31期）RootKit 攻防和检测技术张贵强1，李兰兰2（1.兰州石化职业技术学院，甘肃兰州730060；2.兰州大学，甘肃兰州730030）摘要：随着计算机网络技术的发展，网络安全问题越来越多的受到人们的关注，同时，也出现了各种类型的计算机病毒和木马程序。

最近，出现了一种特殊木马程序———Rootkit ，该文详细的介绍了Rootkit 的隐藏技术和检测方法。

关键词：Rootkit ；木马程序；网络安全；隐藏；检测中图分类号：TP393文献标识码：A 文章编号：1009-3044(2008)31-0838-02Defence and Detection Technology Against RootKitZHANG Gui-qiang 1,LI Lan-lan 2(Lanzhou Petrochemical College of Vocational Technology,Lanzhou 730060,China;nzhou University,Lanzhou 730030,China)Abstract:With the development of computer network,security of network attracts more and more attention.Meanwhile,all kinds of computer viruses and Trojan programs arised,inluding a special Trojan program:RootKit.A detailed introduction of hidden technology and detection method of RootKit has been put forward in this paper.Key words:rootkit;trojan program;network security;hidden technology;detection众所周知，木马病毒是指寄生于用户计算机系统中，盗窃用户信息，并通过网络发送给作者的一类病毒程序。

Rootkit的类型、功能及主要技术Rootkit 的类型小结1.固化Rootkits和BIOS Rootkits固化程序是存于ROM中，通常很小，使用系统硬件和BIOS 创建顽固的软件镜像。

将制定的代码植入到BIOS 中，刷新BIOS，在BIOS 初始化的末尾获得运行机会。

重启无用、格式化无用，在硬盘上无法探测，现有的安全软件将大部分的扫描时间用在了对硬盘的扫描上。

本文整理：（第三方信息安全网）/2 内核级Rootkits内核级Rootkits(Kernelland Rootkits)是通过修改内核、增加额外的代码、直接修改系统调用表、系统调用跳转(Syscall Jump)，并能够替换一个操作系统的部分功能，包括内核和相关的设备驱动程序。

现在的操作系统大多没有强化内核和驱动程序的不同特性。

许多内核模式的Rootkit 是作为设备驱动程序而开发，或者作为可加载模块，如Linux 中的可加载模块或Windows 中的设备驱动程序，这类Rootkit 极其危险，它可获得不受限制的安全访问权。

如果代码中有任何一点错误，那么内核级别的任何代码操作都将对整个系统的稳定性产生深远的影响。

特点：无进程；无端口。

与用户级Rootkit 相比，与操作系统处于同一级别，可以修改或破坏由其它软件所发出的任何请求。

3 用户态Rootkits用户态Rootkits(Userland Rootkits)是运行在Ring3 级的Rootkit，由于Ring3 级就是用户应用级的程序，而且信任级别低，每一个程序运行，操作系统给这一层的最小权限。

用户态Rootkit使用各种方法隐藏进程、文件，注入模块、修改注册表等。

4 应用级Rootkits应用级Rootkits 通过具有特洛伊木马特征的伪装代码来替换普通的应用程序的二进制代码，也可以使用Hook、补丁、注入代码或其它方式来修改现有应用程序的行为。

5 代码库Rootkits代码库Rootkits 用隐藏攻击者信息的方法进行补丁、Hook、替换系统调用。

Rootkit 是什么
Rootkit 是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit 一般都和木马、后门等其他恶意程序结合使用。

在悬念迭起的中外谍战片里，对战双方中的一派势力通常会派遣特工人员潜伏到对手阵营中。

这名卧底人员良好的伪装使得对手对此长时间毫无察觉；为了能够长期潜伏他不贸然采取高风险行为以免过早暴露自己；他赢得敌人的信任并因此身居要职，这使得他能够源源不断地获取重要情报并利用其独特渠道传送回去。

从某种意义上说这位不速之客就是Rootkit——持久并毫无察觉地驻留在目标计算机中，对系统进行操纵、并通过隐秘渠道收集数据的程序。

Rootkit 的三要素就是：隐藏、操纵、收集数据。

“Rootkit”中root 术语来自于unix 领域。

由于unix 主机系统管理员账号为root 账号，该账号拥有最小的安全限制，完全控制主机并拥有了管理员权限被称为“root”了这台电脑。

然而能够“root”一台主机并不意味着能持续地控制它，因为管理员完全可能发现了主机遭受入侵并采取清理措施。

因此Rootkit 的初始含义就在于“能维持root 权限的一套工具”。

Rootkit技术rootkit的主要分类早期的rootkit主要为应用级rootkit，应用级rootkit主要通过替换login、ps、ls、netstat 等系统工具，或修改.rhosts等系统配置文件等实现隐藏及后门；硬件级rootkit主要指bios rootkit，可以在系统加载前获得控制权，通过向磁盘中写入文件，再由引导程序加载该文件重新获得控制权，也可以采用虚拟机技术，使整个操作系统运行在rootkit掌握之中；目前最常见的rootkit是内核级rootkit。

内核级rootkit又可分为lkm rootkit、非lkm rootkit。

lkm rootkit主要基于lkm技术，通过系统提供的接口加载到内核空间，成为内核的一部分，进而通过hook系统调用等技术实现隐藏、后门功能。

非lkm rootkit主要是指在系统不支持lkm机制时修改内核的一种方法，主要通过/dev/mem、/dev/kmem设备直接操作内存，从而对内核进行修改。

非lkm rootkit要实现对内核的修改，首先需要获得内核空间的内存，因此需要调用kmalloc分配内存，而kmalloc是内核空间的调用，无法在用户空间直接调用该函数，因此想到了通过int 0x80调用该函数的方法。

先选择一个不常见的系统调用号，在sys_call_table 中找到该项，通过写/dev/mem直接将其修改为kmalloc函数的地址，这样当我们在用户空间调用该系统调用时，就能通过int 0x80进入内核空间，执行kmalloc函数分配内存，并将分配好的内存地址由eax寄存器返回，从而我们得到了一块属于内核地址空间的内存，接着将要hack的函数写入该内存，并再次修改系统调用表，就能实现hook系统调用的功能。

rootkit的常见功能隐藏文件：通过strace ls可以发现ls命令其实是通过sys_getdents64获得文件目录的，因此可以通过修改sys_getdents64系统调用或者更底层的readdir实现隐藏文件及目录，还有对ext2文件系统直接进行修改的方法，不过实现起来不够方便，也有一些具体的限制。