Rootkit隐藏进程和端口检测

一、引言

创新互联是一家专注于成都网站建设、网站设计与策划设计,西畴网站建设哪家好?创新互联做网站,专注于网站建设十多年,网设计领域的专业建站公司;建站业务涵盖:西畴等地区。西畴做网站价格咨询:18980820575

Rootkit是一种特殊的恶意软件，它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。

rootkit检测也成为主机安全一项重要功能，针对rootkit中最常见隐藏进程、端口检测，主要分为两种检测思路，一种基于内核内存分析，一种基于应用层分析。

基于内存分析Rootkit检测可参考Rootkit检测，该方案缺点是需要增加内核模块，风险高，检测效果相对较好。

本文介绍第二种方案，unhide在应用层发现隐藏进程、端口，该方案风险小，可集成到主机安全agent中。

二、应用层隐藏进程检测

1. 进程隐藏和检测方式

进程隐藏两种方式：

  • 替换ps命令，在读取/proc/pid目录时，过滤掉需隐藏进程信息
  • 加载内核模块，通过拦截proc文件系统的回调函数，过滤掉需隐藏进程信息

检测核心思想：

通过libc系统函数盲测进程pid的存活状态，再根据ps结果对比差异，判断该pid是隐藏进程。

unhide提供如下19种检测方式，大致可分为四类：一类通过procfs下的进程目录信息，第二类通过系统调用函数， 第三类通过前两类组合方式，第四类通过爆力破解(不推荐)。

 
 
 
    
  
  
  
  1. tab_test[TST_PROC].func = checkproc;  
    2. 
  
  
  
  2.    tab_test[TST_CHDIR].func = checkchdir;  
    3. 
  
  
  
  3.    tab_test[TST_OPENDIR].func = checkopendir;  
    4. 
  
  
  
  4.    tab_test[TST_READDIR].func = checkreaddir;  
    5. 
  
  
  
  5.    tab_test[TST_GETPRIO].func = checkgetpriority;  
    6. 
  
  
  
  6.    tab_test[TST_GETPGID].func = checkgetpgid;  
    7. 
  
  
  
  7.    tab_test[TST_GETSID].func = checkgetsid;  
    8. 
  
  
  
  8.    tab_test[TST_GETAFF].func = checksched_getaffinity;  
    9. 
  
  
  
  9.    tab_test[TST_GETPARM].func = checksched_getparam;  
    10. 
  
  
  
  10.    tab_test[TST_GETSCHED].func = checksched_getscheduler;  
    11. 
  
  
  
  11.    tab_test[TST_RR_INT].func = checksched_rr_get_interval;  
    12. 
  
  
  
  12.    tab_test[TST_KILL].func = checkkill;  
    13. 
  
  
  
  13.    tab_test[TST_NOPROCPS].func = checkallnoprocps;  
    14. 
  
  
  
  14.    tab_test[TST_BRUTE].func = brute;  
    15. 
  
  
  
  15.    tab_test[TST_REVERSE].func = checkallreverse;  
    16. 
  
  
  
  16.    tab_test[TST_QUICKONLY].func = checkallquick;  
    17. 
  
  
  
  17.    tab_test[TST_SYS_INFO].func = checksysinfo;  
    18. 
  
  
  
  18.    tab_test[TST_SYS_INFO2].func = checksysinfo2;  
    19. 
  
  
  
  19.    tab_test[TST_SYS_INFO3].func = checksysinfo3; 
    20.

从名字上可以看出，unhide使用chdir,opendir,readdir,getpriority,getpgid,getsid,sched_getaffinity,kill,sysinfo等libc函数。

下面分别从三类中各选择一种检测方式分析。

2. procfs检测

抽取checkreaddir检测分析：

  • 遍历/proc目录, 子文件名如果是数字，代表是一个进程pid
  • 读取进程状态task目录(/proc/pid/task)， 获取各子线程号
  • 通过ps命令查找是否存在该线程
  • 对比差异，不存在判断为隐藏进程
    •   
  
  
      
   
   
   
    1. procdir = opendir("/proc");  
      2. 
   
   
   
    2. dirproc = readdir(procdir));  
      3. 
   
   
   
    3. taskdir = opendir(task);  
      4. 
   
   
   
    4. dir = readdir(taskdir)  
      5. 
   
   
   
    5. checkps(procpids,PS_THREAD) 
      6.

该类方法能检测出对第二种无效。

3. syscall检测

抽取checkgetsid检测分析:

max_pid通过读取 /proc/sys/kernel/pid_max获取：

  • 从1到max_pid遍历进程, 通过getsid返回值和错误码探测进程存活状态
  • 通过ps命令查找是否存在该进程
  • 再次通过getsid确认进程存活状态，防止在执行ps这时间内，进程退出了
  • 对比差异，不存在判断为隐藏进程
    •   
  
  
      
   
   
   
    1. ret = getsid(syspids) 
      2. 
   
   
   
    2. checkps(syspids,PS_PROC | PS_THREAD); 
      3. 
   
   
   
    3. ret = getsid(syspids) 
      4.

该类方法都能检测上述两种隐藏进程方式。

4. compund检测

抽取checkallquick检测分析：

  • 从1到max_pid遍历进程
  • 通过kill返回值和错误码探测进程存活状态
  • 通过getpriority返回值和错误码探测进程存活状态
  • 通过getpgid返回值和错误码探测进程存活状态
  • 通过getsid返回值和错误码探测进程存活状态
  • 通过sched_getaffinity返回值和错误码探测进程存活状态
  • 通过sched_getparam返回值和错误码探测进程存活状态
  • 通过sched_getscheduler返回值和错误码探测进程存活状态
  • 通过sched_rr_get_interval返回值和错误码探测进程存活状态
  • 通过chdir,opendir读取进程目录(/proc/pid)
  • 通过ps命令查找是否存在该进程
  • 再次通过kill确认进程存活状态，防止在执行ps这时间内，进程退出
  • 对比差异，只有进程不存在(found=0)或者进程经过11项检测(found == 11)认为是正常的，其余都判断为隐藏进程
    •   
  
  
      
   
   
   
    1. ret = kill(syspids, 0); 
      2. 
   
   
   
    2. ret = getpriority(PRIO_PROCESS, syspids); 
      3. 
   
   
   
    3. ret = getpgid(syspids); 
      4. 
   
   
   
    4. ret = getsid(syspids); 
      5. 
   
   
   
    5. ret = sched_getaffinity(syspids, sizeof(cpu_set_t), &mask); 
      6. 
   
   
   
    6. ret = sched_getparam(syspids, ¶m); 
      7. 
   
   
   
    7. ret = sched_getscheduler(syspids); 
      8. 
   
   
   
    8. statstatusproc = stat(directory, &buffer); 
      9. 
   
   
   
    9. statusdir = chdir(directory); 
      10. 
   
   
   
    10. dir_fd = opendir(directory) ; 
      11. 
   
   
   
    11. checkps(syspids,PS_PROC | PS_THREAD) 
      12. 
   
   
   
    12. ret = kill(syspids, 0); 
      13. 
   
   
   
    13. if (found_killbefore == found_killafter) { 
      14. 
   
   
   
    14.      if ( ! ((found_killbefore == 0 && found == 0) || 
      15. 
   
   
   
    15.              (found_killbefore == 1 && found == 11)) ) { 
      16. 
   
   
   
    16.         printbadpid(syspids); 
      17. 
   
   
   
    17.      } 
      18.

三、应用层隐藏端口检测

核心思想：通过libc系统函数bind,listen盲测端口

1. tcp隐藏端口检测

  • 从1到65535遍历端口
  • 创建一个基于tcp协议SOCK_STREAM的socket
  • 通过bind返回值和错误码探测端口状态
  • 如果被占用，通过listen 错误码是EADDRINUSE确定端口占用
  • 通过ss或netstat命令过滤tcp协议，查看端口情况
  • 对比差异，确认该端口为隐藏端口
    •   
  
  
      
   
   
   
    1. socketsocket_desc=socket(AF_INET,SOCK_STREAM,0); 
      2. 
   
   
   
    2. bind(socket_desc,(struct sockaddr *)&address,sizeof(address)); 
      3. 
   
   
   
    3. listen(socket_desc,1); 
      4. 
   
   
   
    4. if(EADDRINUSE == errno) { 
      5. 
   
   
   
    5.     checkoneport(i, tcpcommand, TCP); 
      6. 
   
   
   
    6. } 
      7.

2. udp隐藏端口检测

相比tcp, udp使用SOCK_DGRAM的socket， 缺少listen这步，其余检测步骤类似

 
 
 
    
  
  
  
  1. socketsocket_desc=socket(AF_INET,SOCK_DGRAM,0); 
    2. 
  
  
  
  2. bind(socket_desc,(struct sockaddr *)&address,sizeof(address)); 
    3. 
  
  
  
  3. if(EADDRINUSE == errno) { 
    4. 
  
  
  
  4.     checkoneport(u, udpcommand, UDP); 
    5. 
  
  
  
  5. } 
    6.

四、结论

本文提供的通过应用层方式检测rootkit中最常见的隐藏进程和端口，风险性小，可无缝集成到主机安全agent中。

分享名称：Rootkit隐藏进程和端口检测
本文链接：http://www.shufengxianlan.com/qtweb/news48/297698.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

网站导航知识

同城分类信息

眉山网站建设　　 　微信小程序开发　　 　全网整合营销推广　　 　青羊总部基地　　 　眉山主机托管　　 　网站营销推广　　 　乐山企业网站设计　　 　做手机网站　　 　温江服务器托管　　 　成都服务器租赁　　 　成都名片印刷　　 　微信小程序开发　　 　托管服务器　　 　网站建设方案　　 　成都SEO优化公司　　 　成都网站建设　　 　成都网站推广营销　　 　成都免费做网站　　 　成都印刷厂　　 　成都网站制作