[port139:00540] Re: rootkit に関するメモ β1

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

こんばんは、伊原です。

DANNA さん、kstat はどの OS 上で使ってます？
とりあえず、RedhHat 7.0、7.1 で make に失敗するのでバイナリを検索中。

DANNA さんは書きました:
>modhideでモジュールを隠すと、やっぱりkstatでも参照できません。確実
>な方法は、やはり SystemCallTable の整合性チェックだと思います。以下
>に実行例をあげます。

やっぱり駄目ですかぁ。
Solairs でも同様のツールってあるんでしょうかね？
理論的には同じ仕組みで検出可能ですよね多分・・・

># chkrootkit-0.33ではknarkは検出できませんでした。

というわけで、この手法では駄目ということが判明ですな。


---
セキュリティスタジアム 2001 ボランティアの募集
http://sec-stadium.hawkeye.ac/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/