[port139:00533] Re: rootkit に関するメモ β1

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 伊原です。

carbonaite って興味深いですねぇ...

DANNA さんは書きました:
>http://la-samhna.de/library/lkm.html
>
>参照したのはここらあたり。kstatを含めて検出できそうなこと書いてま
>すよね。

私の理解が間違ってなければ、kstat も kern_check もカーネルの syscall
テーブルが変更されていないかをチェックするようになってますよね？

疑問なのは、このチェックの方法なんですけどシステムコールを利用せず
に比較が可能なんでしょうか？
＃あぁーコード読めたらすぐわかるんだろうなぁ(T_T)


---
セキュリティスタジアム 2001 ボランティアの募集
http://sec-stadium.hawkeye.ac/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/