How to Detect Rootkits on Linux

「Rootkit」即「root kit」，中文直译为「根工具包」，通常指代一类具有较高权限的恶意软件，其通常以内核模块的形式存在，在网络攻防当中被用作权限维持的目的. 本系列文章将对 Linux 下基于 LKM 的 rootkit 实现技术进行汇总，主要基于 x86 架构， 仅供实验与学习，请勿用作违法犯罪： ( 同时笔者将本文所涉及的技术实现整合为一个教学用 Rootkit 并开源于 63dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x

A collection of Linux kernel rootkits found across the internet taken and put together, with a short report on how they work. The README's in each folder contain the report about the rootkit sample.

Rootkit根據層級可以分成不同的類型，比較常被提及的是「User Mode Rootkit」和「Kernel Mode Rootkit」，但也有像是Bootkits、Hypervisor level、Firmware and hardware等不同類型的Rootkit。

Linux rootkit 是一种特别设计用来隐藏其存在并提供未经授权的系统访问权限的恶意软件。 它们对系统的危害很大，通常非常难以检测，因为它们能够修改操作系统的核心组件或关键文件，使得标准的安全检查工具无法发现它们的存在。

Linux 下的 rootkit 主要以「可装载内核模块」的形式存在，作为内核的一部分直接以 ring0 权限向入侵者提供服务。 由于rootkit本身作为内核的一部分运行于内核态，其可以实现很多特殊的功能。