当CPU过热时让你的风扇不再狂转(Rootkit之最后)

进程隐藏了，CPU利用率隐藏了，TCP连接隐藏了，临时文件也隐藏了…
https://blog.csdn.net/dog250/article/details/105292504
https://blog.csdn.net/dog250/article/details/105394840
https://blog.csdn.net/dog250/article/details/105421530

但是机器非常卡顿，经理的进程执行非常慢。

此时的机器资源已经被你掏空，经理却不知道：

• CPU已经过载，但是top和sysstat却显得非常平静。
• ps -elf，ls /proc看不出任何怪异的进程。
• ss/netstat/diag看不出任何异常的端口和连接。
• 文件系统看不出任何怪异的文件。
• 内核模块oneshot加载注入二进制码后自我销毁，不留痕迹。

…

经理没有什么思路，经理不明白发生了什么。所以我需要给经理一个思路。

查CPU的温度啊！

呃，CPU温度非常高，但是top/sar显得CPU利用率非常低，原来机器放点燃🔥的煤气灶上了…

但经理同样看不见煤气灶在哪里。

---

即便用Rootkit把该隐藏的都隐藏了， 物理性质导致的事情的变化 是隐藏不了的。比如CPU的温度，风扇的转速。一旦经理发现CPU，风扇异常，就意味着机器可能被植入了不好的东西。

至于ps，top，sar这些，无非就是一些工具，连免疫系统都算不上，劫持它们的结果so easy！Rootkit的特征就是攻破免疫系统，更别说这些检测工具了…

CPU烫手除了浇冰水是无论如何都改变不了的，但是CPU风扇却可以被控制。

来来来，看一眼这个工具，Linux平台的fancontrol：
https://wiki.archlinux.org/index.php/Fan_speed_control

它是一个 基于CPU温度来自动控制风扇转速的脚本。

人可以用手摸，靠神经系统感知温度，但机器只能依靠传感器。人的神经系统可以被破坏掉，从而造成感觉失灵，传感器也不例外。

但是hack温度传感器硬件比较麻烦，更简单的方法是 hack该传感器输出的数值！

我们可以从sysfs中读出CPU的温度数值，fancontrol也可以。因此事情就简单了：

• hook sysfs中CPU温度的输出，使其输出不超过70度…
• 如果系统有其它的风扇控制进程，比如直接读取CPU寄存器获取温度的，那就直接把风扇速度调低(注意，要偷偷的)。

当然了，如果你植入的对象是机房的服务器，这些也就不必做了，毕竟服务器很多都是液冷，如果液冷装置也会流速告警，那便需要另外的hack手段的。本文介绍的仅仅是人可以随时感知风扇噪声的PC环境下的Rootkit辅助，最后要提醒的，最好是夏天高温环境下实施hack，不然人是很容易感知到CPU过热的温度的，特别是铝壳的Macbook…

---

浙江温州皮鞋湿，下雨进水不会胖。