6、系统性发现潜在内核钩子，有效对抗持久化内核Rootkit

系统性发现潜在内核钩子，有效对抗持久化内核Rootkit

1. 实验概述

为了对抗持久化内核Rootkit，进行了两组实验。第一组是监控各类安全程序的执行，识别可能被劫持用于隐藏目的的内核钩子；第二组是通过分析多个真实世界的Rootkit，对识别出的钩子进行实证评估，查看使用的内核钩子是否在发现的范围内。

2. 内核钩子识别

• 目标资源与选择程序 ：Rootkit主要针对文件、进程和网络连接这三种资源。为枚举相关内核钩子，选择了Red Hat Linux Fedora Core 5默认安装的三个实用程序：ls、ps和netstat。测试平台是运行Scientific Linux 4.4的Dell PowerEdge 2950服务器。选择这些程序的依据是，持久化内核Rootkit若要隐藏文件、进程或网络连接，需破坏ls、ps或netstat程序的内核端执行。
• 评估重点 ：评估时，关注与安全程序正常功能相关的收集跟踪部分，排除无关部分。假设所选安全程序及其依赖库未被破坏。

程序	监控目的
ls	识别文件相关内核钩子
ps	识别进程相关内核钩子
netstat	识别网