使用rkhunter检测rootkit

Rootkit介绍

Rootkit是一个特殊的恶意软件，它可隐藏自身以及指定的文件、进程、网络、链接、端口等信息。Rootkit可通过加载特殊的驱动修改系统内核，进而达到隐藏信息的目的。Rootkit的三要素就是：隐藏、操纵、收集数据。不同的操作系统会有不同的Rootkit，Linux系统中的Rootkit就被称为LinuxRootkit。

Rootkit具有隐身功能，无论静止时作为文件存在，还是活动时作为进程存在，都不会被察觉，它可能永远存在于计算机中。

功能

无论是那种形式的Rootkit，都需要实现以下功能：

1，远程指令执行

通过网络向Rootkit所驻留的系统发送指令，从而控制远程主机；

2，信息收集

收集系统的活动信息、网络上其它主机的数据信息等；

3，文件隐藏

把目标主机上的特定文件隐藏起来，使其不能通过常规方法查看到，这样就可以隐藏一部分系统被控制的痕迹；

4，进程隐藏

在控制目标主机或收集系统信息时会启动相关的进程，通过Rootkit可以实现对进程的隐藏；

5，网络连接隐藏

将网络连接的端口信息隐藏，利用netstat等工具无法显示隐藏的信息，这样就可以隐秘地向远端发送信息；

6，内核模块隐藏

将Rootkit自身在系统中安装的模块隐藏起来，提高自身生存能力。

Rkhunter介绍

Rkhunter可检测rootkit和一些嗅探器后门等程序，它通过执行一系列脚本来确认计算机是否已感染rootkit，检查rootkit使用的基本文件、可执行二进制文件的错误文件权限、以及内核模块检测等。地址为：http://rkhunter.sourceforge.net/

下载后我们先进行解压，如下图。

目录下有一个installer安装脚本，直接运行会给出相应的参数，如下图。

可以看到基本参数有展示版本信息、卸载、移除、展示等，而安装有一个layout布局参数，这个是必选参数，我们布局直接选择default默认即可，然后还需要跟一个install参数来安装已选择的布局，所以执行以下命令。

安装完后会发现安装目录并没有变化，这里注意的是安装完后其位置在usr/local/bin下，如下图。

以上是部分参数的截图，我们发现有一个c参数，其说明是检测本地系统，所以rkhunter用来检测系统的基本命令跟c参数即可，如下图。

上面紫色提示正在检测系统命令，当系统命令检测完毕后会提示按回车继续检测下一个模块，如下图。

所有项都检查完毕后，会给出一个结果，给出可疑文件数量，rookit数量等，以及扫描时间，及日志文件的位置，如下图。

下面列出了一些rkhunter的检查项：md5校验测试，检测文件是否被改动。检测rootkit使用的二进制和系统工具文件。检测特洛伊木马程序的特征码。检测大多数常用程序的文件异常属性。执行一些系统的相关测试。扫描混杂模式下接口和后门常用的端口。检测/etc/rc.d/目录下所有配置文件、日志文件、异常隐藏文件等。对常用端口应用程序进行版本测试等。

Rkhunter有一个数据库，它根据自身数据库来检测rootkit漏洞，所以经常更新数据库非常重要，通过-update参数更新即可。

总结

建议使用rkhunter和chkrootkit一起使用，使检测结果更全面、更准确。

公众号推荐：aFa攻防实验室

分享关于信息搜集、Web安全、内网安全、代码审计、红蓝对抗、Java、Python等方面的东西。

使用rkhunter检测rootkit相关推荐

使用rkhunter检测Linux的rootkit
转载来源 :使用rkhunter检测Linux的rootkit : https://www.jianshu.com/p/9a5fcd4b236b 介绍 rootkit是Linux平台下最常见的一种木马 ...
rkhunter（rootkit检测）
rkhunter MD5校验测试,检测文件是否有改动检测rootkit使用的二进制和系统工具文件检测特洛伊木马程序的特征码检测常用程序的文件属性是否异常检测系统相关的测试检测隐藏文件检测可 ...
使用chkrootkit检测rootkit
Rootkit介绍 Rootkit是一个特殊的恶意软件,它可隐藏自身以及指定的文件.进程.网络.链接.端口等信息.Rootkit可通过加载特殊的驱动修改系统内核,进而达到隐藏信息的目的.Rootkit ...
rkhunter（Rootkit猎手）安装使用
一.rkhunter简介: 1.中文名叫"Rootkit猎手", rkhunter是Linux系统平台下的一款开源入侵检测工具,具有非常全面的扫描范围,除了能够检测各种已知的roo ...
Linux几种检测rootkit隐藏进程的方法
Rootkit通常会隐藏进程,隐藏文件和网络连接.这里主要记录几种对隐藏进程的检测方法一. 隐藏进程的方法 1.1 用户级Rootkit 通过LD_PRELOAD来hook libc库,从而过滤/p ...
KNN检测Rootkit
Rootkit是啥?就是后门工具箱,它的功能是在肉鸡上隐藏自身以及指定的文件.进程和网络链接等信息. 1.数据搜集和数据清洗 KDD99样本数据,通过KNN识别基于Telnet连接的Rootkit行为 ...
linux下基于内存分析的rootkit检测方法
0x00 引言某Linux服务器发现异常现象如下图,确定被植入Rootkit,但运维人员使用常规Rootkit检测方法无效,对此情况我们还可以做什么? 图1 被植入Rootkit的Linux服务器 ...
Linux后门入侵检测工具 rkhunter 安装使用
一.简介: Rkhunter的中文名叫"Rootkit猎手", 目前可以发现大多数已知的rootkits和一些嗅探器以及后门程序.它通过执行一系列的测试脚本来确认服务器是否已经感染 ...
介绍linux上两种rootkits检测工具: Rootkit Hunter和Chkrootkit
原贴:http://blog.csdn.net/linkboy2004/archive/2007/03/22/1537890.aspx 介绍linux上两种rootkits检测工具: Rootkit ...
rootkit后门检测工具
1. 关于rootkit rootkit是Linux平台下最常见的一种木马后门工具,它主要通过替换系统文件来达到入侵和和隐蔽的目的,这种木马比普通木马后门更加危险和隐蔽,普通的检测工具和检查手段很难发 ...

使用rkhunter检测rootkit

使用rkhunter检测rootkit相关推荐

最新文章

热门文章