搜索

[18957] 2020-12-30_记一次隐藏进程的驱动模块编写

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-12-30_记一次隐藏进程的驱动模块编写 记 一 次 隐 藏 进 程 的 驱 动 模 块 编 写 原 创   t h e   o n e   I D L a b   2 0 2 0 - 1 2 - 3 0 #   前 言 在 家 闲 着 无 聊 写 了 一 个 隐 藏 文 件 隐 藏 进 程 的 驱 动 模 块 就 是 大 家 俗 称 的 r o o t k i t 技 术 # R o o t k i t 介 绍 介 绍 R o o t k i t   是 一 种 特 殊 类 型 的   m a l w a r e （ 恶 意 软 件 ） ， R o o t k i t   之 所 以 特 殊 是 因 为 您 不 知 道 它 们 在 做 什 么 事 情 。 R o o t k i t   基 本 上 是 无 法 检 测 到 的 ， 而 且 几 乎 不 能 删 除 它 们 。 虽 然 检 测 工 具 在 不 断 增 多 ， 但 是 恶 意 软 件 的 开 发 者 也 在 不 断 寻 找 新 的 途 径 来 掩 盖 他 们 的 踪 迹 。 R o o t k i t   的 目 的 在 于 隐 藏 自 己 以 及 其 他 软 件 不 被 发 现 。 它 可 以 通 过 阻 止 用 户 识 别 和 删 除 攻 击 者 的 软 件 来 达 到 这 个 目 的 。 R o o t k i t   几 乎 可 以 隐 藏 任 何 软 件 ， 包 括 文 件 服 务 器 、 键 盘 记 录 器 、 B o t n e t   和   R e m a i l e r 。 许 多   R o o t k i t   甚 至 可 以 隐 藏 大 型 的 文 件 集 合 并 允 许 攻 击 者 在 您 的 计 算 机 上 保 存 许 多 文 件 ， 而 您 无 法 看 到 这 些 文 件 。 R o o t k i t   本 身 不 会 像 病 毒 或 蠕 虫 那 样 影 响 计 算 机 的 运 行 。 攻 击 者 可 以 找 出 目 标 系 统 上 的 现 有 漏 洞 。 漏 洞 可 能 包 括 ： 开 放 的 网 络 端 口 、 未 打 补 丁 的 系 统 或 者 具 有 脆 弱 的 管 理 员 密 码 的 系 统 。 在 获 得 存 在 漏 洞 的 系 统 的 访 问 权 限 之 后 ， 攻 击 者 便 可 手 动 安 装 一 个 R o o t k i t 。 这 种 类 型 的 偷 偷 摸 摸 的 攻 击 通 常 不 会 触 发 自 动 执 行 的 网 络 安 全 控 制 功 能 ， 例 如 入 侵 检 测 系 统 。 找 出   R o o t k i t   十 分 困 难 。 有 一 些 软 件 包 可 以 检 测   R o o t k i t 。 这 些 软 件 包 可 划 分 为 以 下 两 类 ： 基 于 签 名 的 检 查 程 序 和 基 于 行 为 的 检 查 程 序 。 基 于 签 名 （ 特 征 码 ） 的 检 查 程 序 ， 例 如 大 多 数 病 毒 扫 描 程 序 ， 会 检 查 二 进 制 文 件 是 否 为 已 知 的   R o o t k i t 。 基 于 行 为 的 检 查 程 序 试 图 通 过 查 找 一 些 代 表   R o o t k i t   主 要 行 为 的 隐 藏 元 素 来 找 出   R o o t k i t 。 一 个 流 行 的 基 于 行 为 的   R o o t k i t   检 查 程 序 是   R o o t k i t   R e v e a l e r ， 在 发 现 系 统 中 存 在   R o o t k i t   之 后 ， 能 够 采 取 的 补 救 措 施 也 较 为 有 限 。 由 于   R o o t k i t   可 以 将 自 身 隐 藏 起 来 ， 所 以 您 可 能 无 法 知 道 它 们 已 经 在 系 统 中 存 在 了 多 长 的 时 间 。 而 且 您 也 不 知 道   R o o t k i t   已 经 对 哪 些 信 息 造 成 了 损 害 。 对 于 找 出 的   R o o t k i t ， 最 好 的 应 对 方 法 便 是 擦 除 并 重 新 安 装 系 统 。 虽 然 这 种 手 段 很 严 厉 ， 但 是 这 是 得 到 证 明 的 唯 一 可 以 彻 底 删 除   R o o t k i t   的 方 法 。 # 正 文 正 文 我 们 先 简 要 分 析 一 下 内 核 模 块 的 加 载 过 程 ， 相 关 代 码 位 于 内 核 源 码 树 的 k e r n e l / m o d u l e . c   我 们 从   i n i t _ m o d u l e   开 始 看 。 我 们 先 简 要 分 析 一 下 内 核 模 块 的 加 载 过 程 。 相 关 代 码 位 于 内 核 源 码 树 的 k e r n e l / m o d u l e . c   。 我 们 从   i n i t _ m o d u l e   开 始 看 。
模 块 加 载 的 主 要 工 作 都 是   l o a d _ m o d u l e   完 成 的 ， 这 个 函 数 比 较 长 ， 这 里 只 贴 我 们 关 心 的 一 小 段 。
说 的 具 体 点 ， 我 们 注 册 的 通 知 链 处 理 函 数 是 在   n o t i f i e r _ c a l l _ c h a i n 函 数 里 被 调 用 的 ， 调 用 层 次 为 ：   b l o c k i n g _ n o t i f i e r _ c a l l _ c h a i n   - > _ _ b l o c k i n g _ n o t i f i e r _ c a l l _ c h a i n   - >   n o t i f i e r _ c a l l _ c h a i n   。 有 疑 惑 的 读 者 可 以 细 致 地 看 看 这 部 分 代 码 ， 位 于 内 核 源 码 树 的 k e r n e l / n o t i f i e r . c   。 代 码 分 析 告 一 段 落 ， 接 下 来 我 们 看 看 如 何 注 册 模 块 通 知 处 理 函 数 。 用 于 描 述 通 知 处 理 函 数 的 结 构 体 是   s t r u c t n o t i f i e r _ b l o c k   ， 定 义 如 下 。
注 册 或 者 注 销 模 块 通 知 处 理 函 数 可 以 使 用   r e g i s t e r _ m o d u l e _ n o t i f i e r   或 者 u n r e g i s t e r _ m o d u l e _ n o t i f i e r   ， 函 数 原 型 如 下 。 编 写 一 个 通 知 处 理 函 数 ， 然 后 填 充   s t r u c t n o t i f i e r _ b l o c k   结 构 体 ， 最 后 使 用 r e g i s t e r _ m o d u l e _ n o t i f i e r   注 册 就 可 以 了 。 代 码 片 段 如 下 。 上 面 的 代 码 是 声 明 处 理 函 数 并 填 充 所 需 结 构 体 ； 下 面 是 处 理 函 数 具 体 实 现 。
说 好 的 重 点 内 容 文 件 隐 藏 来 了 。 不 过 说 到 文 件 隐 藏 ， 我 们 不 妨 先 看 看 文 件 遍 历 的 实 现 ， 也 就 是 系 统 调 用 g e t d e n t s   /   g e t d e n t s 6 4   ， 简 略 地 浏 览 它 在 内 核 态 服 务 函 数 （ s y s _ g e t d e n t s ） 的 源 码 （ 位 于 f s / r e a d d i r . c   ） ， 我 们 可 以 看 到 如 下 调 用 层 次 ，   s y s _ g e t d e n t s   - > i t e r a t e _ d i r   - >   s t r u c t   f i l e _ o p e r a t i o n s   里 的   i t e r a t e   - > 这 儿 省 略 若 干 层 次   - >   s t r u c t d i r _ c o n t e x t   里 的   a c t o r   ， 也 就 是 f i l l d i r   。 f i l l d i r   负 责 把 一 项 记 录 （ 比 如 说 目 录 下 的 一 个 文 件 或 者 一 个 子 目 录 ） 填 到 返 回 的 缓 冲 区 里 。 如 果 我 们 钩 掉   f i l l d i r   ， 并 在 我 们 的 钩 子 函 数 里 对 某 些 特 定 的 记 录 予 以 直 接 丢 弃 ， 不 填 到 缓 冲 区 里 ， 上 层 函 数 与 应 用 程 序 就 收 不 到 那 个 记 录 ， 也 就 不 知 道 那 个 文 件 或 者 文 件 夹 的 存 在 了 ， 也 就 实 现 了 文 件 隐 藏 。 具 体 说 来 ， 我 们 的 隐 藏 逻 辑 如 下 ： 篡 改 根 目 录 （ 也 就 是 “ / ” ） 的   i t e r a t e 为 我 们 的 假   i t e r a t e   ， 在 假 函 数 里 把   s t r u c t d i r _ c o n t e x t   里 的   a c t o r 替 换 成 我 们 的 假   f i l l d i r   ， 假   f i l l d i r   会 把 需 要 隐 藏 的 文 件 过 滤 掉 。
这 一 层 一 层 的 剥 开 ， 我 们 来 到 了   s t r u c t f i l e _ o p e r a t i o n s   里 面 的   i t e r a t e ， 这 个   i t e r a t e   在 不 同 的 文 件 系 统 有 不 同 的 实 现 ， 下 面 （ 位 于 f s / e x t 4 / d i r . c   ） 是 针 对   e x t 4 文 件 系 统 的   s t r u c t f i l e _ o p e r a t i o n s   ， 我 们 可 以 看 到 e x t 4   文 件 系 统 的   i t e r a t e   是 e x t 4 _ r e a d d i r   。 e x t 4 _ r e a d d i r   经 过 各 种 各 样 的 操 作 之 后 会 通 过   f i l l d i r 把 目 录 里 的 项 目 一 个 一 个 的 填 到   g e t d e n t s 返 回 的 缓 冲 区 里 ， 缓 冲 区 里 是 一 个 个 的   s t r u c t   l i n u x _ d i r e n t   。 我 们 的 隐 藏 方 法 就 是 在   f i l l d i r   里 把 需 要 隐 藏 的 项 目 给 过 滤 掉 。
编 译 一 个 t e s t   的 文 件   ( 其 实 什 么 文 件 都 行 只 要 是 文 件 名 对 应 上 就 行 ) 下 面 俩 个 是 目 标

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理