前言

Rootkit木馬是一種系統內核級病毒木馬，其進入內核模塊后能獲取到操作系統高級權限，從而使用各種底層技術隱藏和保護自身，繞開安全軟件的檢測和查殺，通過加載特殊的驅動，修改系統內核，進而達到隱藏信息的目的。rootkit的取證分析是取證工作中的一大難點。

正文

常見的linux rookit取證方式有利用system.map發現_stext、_etext地址異常,檢測加載的異常庫文件，檢測LD_PRELOAD等。常用的軟件包括volatility,其中的插件:linux_apihooks、linux_psenv、linux_proc_maps等都可以幫助我們快速的分析有無惡意軟件，以及惡意軟件使用的手法，快速發現rootkit痕跡。

今天看的兩個項目分別是Babyhids和bpf-hookdetect

先看的是bpf-hookdetect，對這幾個模塊進行檢測

如果存在調用，則記錄。

在結束時判斷有無記錄，通過記錄判斷以及反饋有無hooked,以及一些進程信息

記錄hooked的界面反饋

對于bpf-hookdetect，babyhids可以檢測內核調用模塊文件，能得到更多信息。

babyhids界面hooked反饋

審核編輯：劉清