linux – 通过直接读取内核内存来删除隐藏的内核模块？

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了linux – 通过直接读取内核内存来删除隐藏的内核模块？，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1076字，纯文字阅读大概需要2分钟。

内容图文

是否可以通过直接读取内核内存来找到隐藏的内核模块？

通过隐藏我的意思是从内核模块列表中删除自己的LKM.

如果是这样,我应该期待什么样的结构,或者我应该读什么文件？

解决方法:

在@Eugene之后,我找到了一种直接读取内核内存以找到所谓的不那么聪明的隐藏模块的方法：只需从procfs透视图和sysfs透视图中比较模块：

static int detect_hidden_mod_init(void)
{
    char *procfs_modules[MAX_MODULE_SIZE];
    char *sysfs_modules[MAX_MODULE_SIZE];
    int proc_module_index = 0, sys_module_index = 0;

    struct module *mod;
    struct list_head *p;

    // get modules from procfs perspective
    list_for_each(p, &__this_module.list){
        mod = list_entry(p, struct module, list);
        procfs_modules[proc_module_index++] = mod->name;
    }


    // get modules from sysfs perspective
    struct kobject *kobj;
    struct kset *kset = __this_module.mkobj.kobj.kset;
    list_for_each(p, &kset->list) {
        kobj = container_of(p, struct kobject, entry);
        sysfs_modules[sys_module_index++] = kobj->k_name;
    }

    //compare the procfs_modules and sysfs_modules
    ...
}

实际上,它可以检测大多数当前模块隐藏的rootkit,但正如Eugene所说,“一个聪明的rootkit也可能试图隐藏这些数据”.所以这不是一个完美的方式.

内容总结

以上是互联网集市为您收集整理的linux – 通过直接读取内核内存来删除隐藏的内核模块？全部内容，希望文章能够帮你解决linux – 通过直接读取内核内存来删除隐藏的内核模块？所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

---