17、网络安全扫描工具：OpenVAS 与 Rootkit Hunter 详解

网络安全扫描工具：OpenVAS 与 Rootkit Hunter 详解

1. Rootkit Hunter 简介

Rootkit Hunter 虽并非严格意义上的漏洞扫描器，但它能在本地系统运行，用于检测系统是否被入侵以及是否安装了 root 工具包。root 工具包是一种旨在协助恶意软件的软件包，可能包含替换操作系统实用程序，以隐藏正在运行的恶意软件。例如， ps 程序可能被修改，不显示与恶意软件相关的进程； ls 可能隐藏恶意软件文件的存在。此外，root 工具包还可能实现后门，允许攻击者远程访问。

1.1 运行原理

Rootkit Hunter 的可执行文件名为 rkhunter ，在当前 Kali Linux 发行版的默认构建中并未安装。它通过以下方式检测 root 工具包：
- 文件权限检查 ：检查文件权限是否存在异常。
- 模式搜索 ：搜索已知 root 工具包的签名模式。

不过，它和大多数杀毒程序一样，只能检测已知的 root 工具包，对于未知的则无法检测。

1.2 运行示例

以下是运行 Rootkit Hunter 的示例：

┌──(kilroy@badmilo)-[~]
└─$ sudo rkhunter --check
[ Rootkit Hunter version 1.4.6 ]

Checking system commands...

  Performing 'st