搜索

[8502] 2014-12-17_LinuxRootkit系列一：LKM的基础编写及隐藏

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-17
2014-12-17_LinuxRootkit系列一：LKM的基础编写及隐藏 L i n u x   R o o t k i t 系 列 一 ： L K M 的 基 础 编 写 及 隐 藏 F r e e B u f   2 0 1 4 - 1 2 - 1 7 免 责 声 明 ： 本 文 介 绍 的 安 全 知 识 方 法 以 及 代 码 仅 用 于 渗 透 测 试 及 安 全 教 学 使 用 ， 禁 止 任 何 非 法 用 途 ， 后 果 自 负 免 责 声 明 ： 本 文 介 绍 的 安 全 知 识 方 法 以 及 代 码 仅 用 于 渗 透 测 试 及 安 全 教 学 使 用 ， 禁 止 任 何 非 法 用 途 ， 后 果 自 负 前 言 ： 前 言 ： 作 者 最 近 在 学 习 有 关 l i n u x   r o o t k i t 的 原 理 与 防 范 ， 在 搜 索 资 料 中 发 现 ， 在 f r e e b u f 上 ， 对 r o o t k i t 进 行 介 绍 的 文 章 并 不 是 很 多 。 在 此 我 斗 胆 献 丑 ， 总 结 了 下 我 最 近 的 学 习 收 获 ， 打 算 发 表 一 系 列 关 于 l i n u x   r o o t k i t 的 文 章 在 f r e e b u f 上 ， 希 望 能 够 帮 助 到 大 家 。 对 于 这 个 系 列 文 章 ， 我 的 规 划 如 下 ： 这 一 系 列 文 章 的 重 点 集 中 在 介 绍 对 于 这 个 系 列 文 章 ， 我 的 规 划 如 下 ： 这 一 系 列 文 章 的 重 点 集 中 在 介 绍 l i n u x   r o o t k i t 中 最 讨 论 最 多 也 是 最 受 欢 迎 的 一 中 最 讨 论 最 多 也 是 最 受 欢 迎 的 一 种 ： 种 ： l o a d a b l e   k e r n e l   m o d u l e   r o o t k i t ( L K M   r o o t k i t ) 。 。 首 先 介 绍 最 基 础 的 首 先 介 绍 最 基 础 的 l k m 模 块 的 编 写 与 加 载 以 及 如 何 让 模 块 的 编 写 与 加 载 以 及 如 何 让 l s m o d 命 令 无 法 发 现 我 们 的 模 块 （ 也 就 是 本 文 的 内 容 ） ， 然 后 是 命 令 无 法 发 现 我 们 的 模 块 （ 也 就 是 本 文 的 内 容 ） ， 然 后 是 介 绍 介 绍 l k m   r o o t k i t 中 最 重 要 的 技 术 ， 系 统 调 用 挂 钩 ， 我 将 会 给 大 家 介 绍 三 种 不 同 的 系 统 调 用 挂 钩 技 术 ， 以 便 于 在 不 同 的 中 最 重 要 的 技 术 ， 系 统 调 用 挂 钩 ， 我 将 会 给 大 家 介 绍 三 种 不 同 的 系 统 调 用 挂 钩 技 术 ， 以 便 于 在 不 同 的 场 景 中 选 择 最 恰 当 的 一 种 。 接 下 来 便 是 系 统 实 战 ， 使 用 我 们 之 前 的 知 识 来 进 一 步 完 善 我 们 的 场 景 中 选 择 最 恰 当 的 一 种 。 接 下 来 便 是 系 统 实 战 ， 使 用 我 们 之 前 的 知 识 来 进 一 步 完 善 我 们 的 r o o t k i t ， 包 括 如 何 隐 藏 ， 包 括 如 何 隐 藏 进 程 ， 隐 藏 端 口 ， 彻 底 隐 藏 进 程 ， 隐 藏 端 口 ， 彻 底 隐 藏 l k m ， 以 及 如 何 向 现 有 的 系 统 ， 以 及 如 何 向 现 有 的 系 统 L K M 模 块 注 射 我 们 的 代 码 来 改 造 成 我 们 自 己 的 模 块 注 射 我 们 的 代 码 来 改 造 成 我 们 自 己 的 l k m 模 块 。 模 块 。 L K M （ 可 加 载 内 核 模 块 ） （ 可 加 载 内 核 模 块 ） L K M 的 全 称 为 的 全 称 为 L o a d a b l e   K e r n e l   M o d u l e s ， 中 文 名 为 可 加 载 内 核 模 块 ， 主 要 作 用 是 用 来 扩 展 ， 中 文 名 为 可 加 载 内 核 模 块 ， 主 要 作 用 是 用 来 扩 展 l i n u x 的 内 核 功 能 。 的 内 核 功 能 。 L K M 的 优 点 在 于 可 以 动 态 地 加 载 到 内 存 中 ， 无 须 重 新 编 译 内 核 。 由 于 L K M 具 有 这 样 的 特 点 ， 所 以 它 经 常 被 用 于 一 些 设 备 的 驱 动 程 序 ， 例 如 声 卡 ， 网 卡 等 等 。 当 然 因 为 其 优 点 ， 也 经 常 被 骇 客 用 于 r o o t k i t 技 术 当 中 。 1 . 基 本 的 基 本 的 L K M 的 编 写 的 编 写 下 面 是 一 个 最 基 本 的 L K M 的 实 现 ， 接 下 来 我 会 对 这 个 例 子 进 行 讲 解 / * l k m . c * /   # i n c l u d e   < l i n u x / m o d u l e . h >         # i n c l u d e   < l i n u x / k e r n e l . h >       # i n c l u d e   < l i n u x / i n i t . h >                   s t a t i c   i n t   l k m _ i n i t ( v o i d ) {         p r i n t k ( " A r c i r y a s : m o d u l e   l o a d e d n " ) ;         r e t u r n   0 ;         }   s t a t i c   v o i d   l k m _ e x i t ( v o i d ) {         p r i n t k ( " A r c i r y a s : m o d u l e   r e m o v e d n " ) ; }   m o d u l e _ i n i t ( l k m _ i n i t ) ; m o d u l e _ e x i t ( l k m _ e x i t ) ; 这 个 程 序 并 不 是 很 复 杂 ： 其 中 我 们 的 l k m _ i n i t ( ) 是 初 始 化 函 数 ， 在 该 模 块 被 加 载 时 ， 这 个 函 数 被 内 核 执 行 ， 有 点 构 造 函 数 的 感 觉 ； 与 之 相 对 应 的 ， l k m _ i n i t ( ) 是 清 除 函 数 ， 当 模 块 被 卸 载 时 ， 内 核 将 执 行 该 函 数 ， 有 点 类 似 析 构 函 数 的 感 觉 ， 注 意 ， 如 果 一 个 模 块 未 定 义 清 除 函 数 ， 则 内 核 不 允 许 卸 载 该 模 块 。 为 什 么 我 们 的 初 始 化 与 清 除 函 数 中 ， 使 用 的 是 p r i n t k ( ) 函 数 ， 而 并 非 是 我 们 熟 悉 的 p r i n t f ( ) 函 数 呢 ？ 注 意 下 我 们 这 个 程 序 包 含 的 头 文 件 ， 在 L K M 中 ， 是 无 法 依 赖 于 我 们 平 时 使 用 的 C 库 的 ， 模 块 仅 仅 被 链 接 到 内 核 ， 只 可 以 调 用 内 核 所 导 出 的 函 数 ， 不 存 在 可 链 接 的 函 数 库 。 这 是 内 核 编 程 与 我 们 平 时 应 用 程 序 编 程 的 不 同 之 一 。 p r i n t k ( ) 函 数 将 内 容 纪 录 在 系 统 日 志 文 件 里 ， 当 然 我 们 也 可 以 用 p r i n t k ( ) 将 信 息 输 出 至 控 制 台 ： p r i n t k ( K E R N _ A L E R T   " o u t p u t   m e s s a g e s " ) ; 其 中 K E R N _ A L E R T 指 定 了 消 息 的 优 先 级 。 m o d u l e _ i n i t 和 m o d u l e _ e x i t 是 内 核 的 特 殊 宏 ， 我 们 需 要 利 用 这 两 个 特 殊 宏 告 诉 内 核 ， 我 们 所 定 义 的 初 始 化 函 数 和 清 除 函 数 分 别 是 什 么 。 代 码 的 描 述 就 到 这 里 ， 接 下 来 我 们 需 要 对 我 们 的 L K M 程 序 进 行 编 译 ， 下 面 是 编 译 所 需 的 M a k e f i l e ： o b j - m       : =   l k m . o   K D I R         : =   / l i b / m o d u l e s / $ ( s h e l l   u n a m e   - r ) / b u i l d P W D         : =   $ ( s h e l l   p w d )
  d e f a u l t : $ ( M A K E )   - C   $ ( K D I R )   S U B D I R S = $ ( P W D )   m o d u l e s 接 下 来 我 们 键 入 m a k e 命 令 开 始 编 译 ， 除 去 编 译 的 中 间 产 物 外 ， 我 们 仅 仅 需 要 的 是 l k m . k o 。 装 载 L K M 我 们 需 要 i n s m o d 命 令 。 键 入 i n s m o d   l k m . k o 回 车 ， 这 时 你 会 发 现 什 么 都 没 有 发 生 ， 没 有 关 系 ， 这 是 因 为 我 们 并 没 有 对 于 我 们 的 消 息 指 定 K E R N _ A L E R T 优 先 级 , 此 时 p r i n t k 将 消 息 传 输 到 了 系 统 日 志 s y s l o g 中 ， 我 们 可 以 在 / v a r / l o g / m e s s a g e s 中 查 看 ， 当 然 ， 在 不 同 的 发 行 版 以 及 不 同 的 s y s l o g 配 置 中 ， 该 文 件 的 路 径 不 同 。 我 们 可 以 c a t   / v a r / l o g / m e s s a g e s 或 者 利 用 d m e s g 命 令 查 看 p r i n t k 输 出 的 消 息 ， 如 下 图 所 示 ： 为 了 方 便 起 见 我 只 显 示 了 最 后 一 条 信 息 ， 也 就 是 我 们 L K M 中 初 始 化 函 数 所 输 出 的 信 息 。 我 们 再 输 入 l s m o d 命 令 查 看 我 们 的 模 块 。 l s m o d 命 令 的 作 用 是 显 示 已 载 入 系 统 的 模 块 。 如 下 图 ： 其 中 l k m 当 然 是 我 们 的 模 块 名 称 ， 6 7 6 则 代 表 的 是 模 块 大 小 ， 0 表 示 模 块 的 被 使 用 次 数 。 有 兴 趣 的 同 学 可 以 自 己 试 试 l s m o d 命 令 查 看 下 系 统 所 加 载 的 其 他 模 块 。 O K ， 现 在 我 们 可 以 对 我 们 的 L K M 进 行 卸 载 了 ， 卸 载 L K M 的 命 令 是 r m m o d 。 键 入 r m m o d   l k m . k o 后 ， 我 们 再 查 看 下 系 统 日 志 ： 可 以 看 出 清 除 函 数 中 的 信 息 也 成 功 输 出 ， 这 时 再 试 试 l s m o d 命 令 ， 你 会 发 现 我 们 的 模 块 在 其 中 不 复 存 在 了 。 2 . 从 从 l s m o d 命 令 中 隐 藏 我 们 的 模 块 命 令 中 隐 藏 我 们 的 模 块 现 在 有 个 小 问 题 ， 如 果 我 们 既 不 想 让 d m e s g 也 不 想 让 l s m o d 这 两 个 命 令 察 觉 到 我 们 的 模 块 呢 ？ 对 于 r o o t k i t 来 说 ， 隐 蔽 性 是 非 常 重 要 的 ， 一 个 l s m o d 命 令 就 可 以 让 我 们 的 l k m 遁 形 ， 这 显 然 谈 不 上 隐 蔽 。 对 于 d m e s g 命 令 ， 我 们 只 要 删 除 掉 p r i n t k ( ) 函 数 就 好 ， 这 个 函 数 所 起 的 仅 仅 是 示 范 作 用 。 但 是 如 何 让 l s m o d 命 令 无 法 显 示 我 们 的 模 块 呢 。 在 这 里 我 简 单 介 绍 下 l s m o d 原 理 ， 以 便 于 读 者 理 解 之 后 我 是 如 何 在 l s m o d 命 令 中 隐 藏 我 的 模 块 的 。 l s m o d 命 令 是 通 过 / p r o c / m o d u l e s 来 获 取 当 前 系 统 模 块 信 息 的 。 而 / p r o c / m o d u l e s 中 的 当 前 系 统 模 块 信 息 是 内 核 利 用 s t r u c t   m o d u l e s 结 构 体 的 表 头 遍 历 内 核 模 块 链 表 、 从 所 有 模 块 的 s t r u c t   m o d u l e 结 构 体 中 获 取 模 块 的 相 关 信 息 来 得 到 的 。 结 构 体 s t r u c t   m o d u l e 在 内 核 中 代 表 一 个 内 核 模 块 。 通 过 i n s m o d ( 实 际 执 行 i n i t _ m o d u l e 系 统 调 用 ) 把 自 己 编 写 的 内 核 模 块 插 入 内 核 时 ， 模 块 便 与 一 个   s t r u c t   m o d u l e 结 构 体 相 关 联 ， 并 成 为 内 核 的 一 部 分 ， 所 有 的 内 核 模 块 都 被 维 护 在 一 个 全 局 链 表 中 ， 链 表 头 是 一 个 全 局 变 量 s t r u c t   m o d u l e * m o d u l e s 。 任 何 一 个 新 创 建 的 模 块 ， 都 会 被 加 入 到 这 个 链 表 的 头 部 ， 通 过 m o d u l e s - > n e x t 即 可 引 用 到 。 为 了 让 我 们 的 模 块 在 l s m o d 命 令 中 的 输 出 里 消 失 掉 ， 我 们 需 要 在 这 个 链 表 内 删 除 我 们 的 模 块 ： l i s t _ d e l _ i n i t ( & _ _ t h i s _ m o d u l e . l i s t ) ; l i s t _ d e l _ i n i t 函 数 定 义 于 i n c l u d e / l i n u x / l i s t . h 中 ， 我 们 可 以 看 下 它 的 实 现 ： s t a t i c   i n l i n e   v o i d   l i s t _ d e l _ i n i t   ( s t r u c t   l i s t _ h e a d   *   e n t r y ) {
          _ _ l i s t _ d e l   ( e n t r y - > p r e v ,   e n t r y - > n e x t ) ;           I N I T _ L I S T _ H E A D   ( e n t r y ) ; }   s t a t i c   i n l i n e   v o i d   _ _ l i s t _ d e l   ( s t r u c t   l i s t _ h e a d   *   p r e v ,   s t r u c t   l i s t _ h e a d   *   n e x t ) {           n e x t - >   p r e v   =   p r e v ;           p r e v - >   n e x t   =   n e x t ; }   s t a t i c   i n l i n e   v o i d   I N I T _ L I S T _ H E A D   ( s t r u c t   l i s t _ h e a d   *   l i s t ) {           l i s t - >   n e x t   =   l i s t ;           l i s t - >   p r e v   =   l i s t ; } 现 在 我 们 将 " l i s t _ d e l _ i n i t ( & _ _ t h i s _ m o d u l e . l i s t ) ； " 加 入 到 我 们 的 初 始 化 函 数 中 ， 保 存 ， 编 译 ， 装 载 模 块 ， 再 输 入 l s m o d ， 这 时 你 会 发 现 ， 输 出 中 我 们 的 模 块 已 经 找 不 到 了 ， 我 们 在 l s m o d 命 令 中 成 功 的 隐 藏 了 我 们 的 模 块 ！ 3 . 从 从 s y s f s 中 隐 藏 我 们 的 模 块 中 隐 藏 我 们 的 模 块 当 然 我 们 还 不 能 高 兴 的 太 早 ， 除 了 l s m o d 命 令 和 相 对 应 的 查 看 / p r o c / m o d u l e s 以 外 ， 我 们 还 可 以 在 s y s f s 中 ， 也 就 是 通 过 查 看 / s y s / m o d u l e / 目 录 来 发 现 现 有 的 模 块 。 ​ 这 个 问 题 也 很 好 解 决 ， 在 初 始 化 函 数 中 添 加 一 行 代 码 即 可 解 决 问 题 ： k o b j e c t _ d e l ( & T H I S _ M O D U L E - > m k o b j . k o b j ) ; T H I S _ M O D U L E 在 i n c l u d e / l i n u x / m o d u l e . h 中 的 定 义 如 下 e x t e r n   s t r u c t   m o d u l e   _ _ t h i s _ m o d u l e ; # d e f i n e   T H I S _ M O D U L E   ( & _ _ t h i s _ m o d u l e ) 可 以 看 出 T H I S _ M O D U L E 的 作 用 是 指 向 当 前 模 块 。 & T H I S _ M O D U L E - > m k o b j . k o b j 则 代 表 的 是 s t r u c t   m o d u l e 结 构 体 的 成 员 s t r u c t m o d u l e _ k o b j e c t 的 一 部 分 ， 结 构 体 的 定 义 如 下 ： s t r u c t   m o d u l e _ k o b j e c t {             s t r u c t   k o b j e c t   k o b j ;             s t r u c t   m o d u l e   * m o d ; } ; 其 中 其 中 k o b j 是 一 个 是 一 个 s t r u c t   k o b j e c t 结 构 体 ， 而 结 构 体 ， 而 k o b j e c t 是 组 成 设 备 模 型 的 基 本 结 构 。 这 时 我 们 又 要 简 单 介 绍 下 是 组 成 设 备 模 型 的 基 本 结 构 。 这 时 我 们 又 要 简 单 介 绍 下 s y s f s 这 个 概 这 个 概 念 ， 念 ， s y s f s 是 一 种 基 于 是 一 种 基 于 r a m 的 文 件 系 统 ， 它 提 供 了 一 种 用 于 向 用 户 空 间 展 现 内 核 空 间 里 的 对 象 、 属 性 和 链 接 的 方 法 。 的 文 件 系 统 ， 它 提 供 了 一 种 用 于 向 用 户 空 间 展 现 内 核 空 间 里 的 对 象 、 属 性 和 链 接 的 方 法 。 s y s f s 与 与 k o b j e c t 层 次 紧 密 相 连 ， 它 将 层 次 紧 密 相 连 ， 它 将 k o b j e c t 层 次 关 系 表 现 出 来 ， 使 得 用 户 空 间 可 以 看 见 这 些 层 次 关 系 。 通 常 ， 层 次 关 系 表 现 出 来 ， 使 得 用 户 空 间 可 以 看 见 这 些 层 次 关 系 。 通 常 ， s y s f s 是 是 挂 在 在 挂 在 在 / s y s 目 录 下 的 ， 而 目 录 下 的 ， 而 / s y s / m o d u l e 是 一 个 是 一 个 s y s f s 的 一 个 目 录 层 次 的 一 个 目 录 层 次 ,   包 含 当 前 加 载 模 块 的 信 息 包 含 当 前 加 载 模 块 的 信 息 .   我 们 通 过 我 们 通 过 k o b j e c t _ d e l ( ) 函 数 函 数 删 除 我 们 当 前 模 块 的 删 除 我 们 当 前 模 块 的 k o b j e c t 就 可 以 起 到 在 就 可 以 起 到 在 / s y s / m o d u l e 中 隐 藏 中 隐 藏 l k m 的 作 用 。 的 作 用 。 好 了 ， 这 时 再 将 " k o b j e c t _ d e l ( & T H I S _ M O D U L E - > m k o b j . k o b j ) ; " 也 添 加 在 初 始 化 函 数 里 ， 保 存 ， 编 译 ， 装 载 模 块 ， 然 后 再 去 看 看 / s y s / m o d u l e ， 是 不 是 什 么 也 看 不 到 了 ？ 结 语 结 语 对 于 对 于 l k m 的 入 门 以 及 的 入 门 以 及 l k m 的 简 单 隐 藏 办 法 已 经 介 绍 完 了 ， 但 是 这 只 是 通 向 的 简 单 隐 藏 办 法 已 经 介 绍 完 了 ， 但 是 这 只 是 通 向 l k m   r o o t k i t 的 长 征 路 上 第 一 步 ， 在 下 次 的 文 章 的 长 征 路 上 第 一 步 ， 在 下 次 的 文 章 中 ， 我 会 介 绍 中 ， 我 会 介 绍 l k m   r o o t k i t 编 写 中 最 为 关 键 的 技 术 ： 编 写 中 最 为 关 键 的 技 术 ： s y s t e m   c a l l   h o o k ， 也 就 是 系 统 调 用 挂 钩 技 术 。 ， 也 就 是 系 统 调 用 挂 钩 技 术 。 参 考 资 料 参 考 资 料 关 于 l k m 的 编 写 ， 《 l i n u x 设 备 驱 动 程 序 （ 第 三 版 ） 》 的 第 二 章 " 构 造 和 运 行 模 块 " 里 有 基 础 的 讲 解 。 关 于 p r o c 和 s y s f s 文 件 系 统 ， 可 以 参 考 《 深 入 l i n u x 内 核 架 构 》 中 的 第 十 章 " 无 持 久 存 储 的 文 件 系 统 " 。 作 者 g m a i l 邮 箱 ： a r c i r y a s . y a n g [ 作 者 作 者 / a r c i r y a s ， 本 文 属 ， 本 文 属 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e b u f . C O M ） 独 家 发 布 ， 未 经 允 许 禁 止 转 载 ） 独 家 发 布 ， 未 经 允 许 禁 止 转 载 ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理