[port139:00513] Re: LKM rootkit の検知方法

[Sonoda Michio <sonoda_michio@xxxxxxxxxxxxxxxx>]

園田です。

じっさいどういう動きをしているの？というあたりは、
http://packetstormsecurity.org/groups/thc/LKM_HACKING.html
とかにあったと思いますが、今うちからは見られないです（苦笑）。
上のネタのネタ元は、
http://www.securityfocus.com/templates/forum_message.html?forum=2&head=4871&id=4871
ですが、その記事そのものとその中での触れられている、
http://www.phrack.org/
の５２号の６と１８あたりが参考になるのではないでしょうか？

>Hideaki Ihara さんは書きました:
>>LKM としてロードされた rootkit が、システムコールのテーブルを書き換
>>えるので、テーブル値の変化から検知できるってことでしょうかね？
>
>一般的に？よく”フックする”という言い方がされると思いますが、これは
>内部的な処理としてはどう動いているのでしょうか？
>
>UNIX では システムコールのテーブルを書き換えて、それが呼ばれた時に
>別の処理がされることを フック と表現するのでしょうか？
>
>Windows NT/2000 の場合も同じことがされてるのでしょうか？それとも、
>なにかトリガーのようなものを仕掛けておくんでしょうか？
-- 
園田道夫
株式会社アイ・ティ・フロンティア（旧三菱事務機械株式会社）
TEL:03-5611-5878  FAX:03-5611-5893
http://www.mom.co.jp/sec/