使用chkrootkit检测rootkit

Rootkit介绍

Rootkit是一个特殊的恶意软件，它可隐藏自身以及指定的文件、进程、网络、链接、端口等信息。Rootkit可通过加载特殊的驱动修改系统内核，进而达到隐藏信息的目的。Rootkit的三要素就是：隐藏、操纵、收集数据。不同的操作系统会有不同的Rootkit，Linux系统中的Rootkit就被称为LinuxRootkit。

Rootkit具有隐身功能，无论静止时作为文件存在，还是活动时作为进程存在，都不会被察觉，它可能永远存在于计算机中。

功能

无论是那种形式的Rootkit，都需要实现以下功能：

1，远程指令执行

通过网络向Rootkit所驻留的系统发送指令，从而控制远程主机；

2，信息收集

收集系统的活动信息、网络上其它主机的数据信息等；

3，文件隐藏

把目标主机上的特定文件隐藏起来，使其不能通过常规方法查看到，这样就可以隐藏一部分系统被控制的痕迹；

4，进程隐藏

在控制目标主机或收集系统信息时会启动相关的进程，通过Rootkit可以实现对进程的隐藏；

5，网络连接隐藏

将网络连接的端口信息隐藏，利用netstat等工具无法显示隐藏的信息，这样就可以隐秘地向远端发送信息；

6，内核模块隐藏

将Rootkit自身在系统中安装的模块隐藏起来，提高自身生存能力。

Chkrootkit安装

Chkrootkit需要进行编译，安装前系统要安装gcc&