[port139:00454] Re: [port139:00441] オフラインでの整合性チェック

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 いはらです。

On Tue, 07 Aug 2001 02:26:03 +0900
Yasuyuki Horikoshi <holly@xxxxxxxxxxxxxxxxx> wrote:

>これ今ダウンロードして見ている最中なんですが、どうも Win32サブシステムと
>カーネルモードの間で動いているように見えるです。

というのは

    Win32 Subsystem
           |
        NTrootkit
           |
         kernel

という構造だろうという推測ってことでしょうか？

んーだとすると、ひょっとして POSIX サブシステムからファイル
システムスキャンすると検知できたりしますかね？

    Win32 Subsystem   POSIX
           |            |
        NTrootkit       |
           |            |
           +------------+
           |
         kernel

という構造だといいのかな？

Cygwin で Tripwire 2.3 のコンパイル試みた人いませんか？

>誰かソース持ってる人、もしくはダウンロードに成功した人いませんか？

昔の 31 のならソース持ってますけど、いります？

>p.s.いや、この話題が「目の前の rootkit にどう対抗するか」という趣旨では
>ないことは判ってるんですけど。うぅ、でも確かめたい。

いやいや、rootkit を研究することは大切なことだと思います B-)


---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/