Rootkit原理——ROOTKIT ON LINUX X86 V2.6

最新推荐文章于 2024-11-13 20:29:48 发布

摔不死的笨鸟

最新推荐文章于 2024-11-13 20:29:48 发布

阅读量363

点赞数 2

分类专栏： RootKit Windows病毒分析 Windows逆向

本文链接：https://blog.csdn.net/qq_43312649/article/details/108345738

版权

Windows病毒分析同时被 3 个专栏收录

50 篇文章 ¥59.90 ¥99.00

订阅专栏

超级会员免费看

Windows逆向

46 篇文章 ¥59.90 ¥99.00

订阅专栏

超级会员免费看

RootKit

22 篇文章

订阅专栏

本文详细介绍了Rootkit在Linux x86 v2.6内核中的实现，包括LKM Rootkit如何HOOK系统调用表，通过DR寄存器滥用实现调试功能，以及非LKM Rootkit的内存操作。还讨论了Rootkit的常见功能，如隐藏文件、进程、连接和模块，以及嗅探、密码记录和日志擦除。最后概述了Rootkit的主要技术，如模块摘除、拦截中断和运行时补丁。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Linux2.6内核的LKM Rootkit原理

LKM Rootkit之HOOK系统调用表

一、修改系统调用表的地址

Linux机制	HOOK系统调用表方式
sys_call_table[]导出	sys_call_table[__NR_open] = (void *) my_func_ptr;
system_call函数	call *sys_call_table(,%eax,4)
陷阱门	SIDT——IDTR——IDT——set_system_gate(SYSCALL_VECTOR,&system_call);