如何檢測基於linux核心模組的rootkit？

Question

我發現這個小的 rootkit 原始碼是作為 Linux 核心模組實現的。

https://github.com/mfontanini/Programs-Scripts/tree/master/rootkit

基本上，如您所見，它更改了file_operations文件 inode 的結構並覆蓋readdir函數以隱藏自身以防止ls和lsmod。

那麼，如何才能偵測到這個rootkit呢？

Answer 1

查看 proc/kallsyms。它包含大部分核心符號，並隨著 LKM 的添加而動態更新。