[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[port139:00511] Re: LKM rootkit の検知方法

いはらです。

もっとプログラミングの勉強しておけばよかったと思う今日この頃・・・

Hideaki Ihara さんは書きました:
>LKM としてロードされた rootkit が、システムコールのテーブルを書き換
>えるので、テーブル値の変化から検知できるってことでしょうかね？

一般的に？よく”フックする”という言い方がされると思いますが、これは
内部的な処理としてはどう動いているのでしょうか？

UNIX では システムコールのテーブルを書き換えて、それが呼ばれた時に
別の処理がされることを フック と表現するのでしょうか？

Windows NT/2000 の場合も同じことがされてるのでしょうか？それとも、
なにかトリガーのようなものを仕掛けておくんでしょうか？


---
セキュリティスタジアム 2001 ボランティアの募集
http://sec-stadium.hawkeye.ac/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/