[port139:00618] Re: rootkit に関するメモβ1

[Sonoda Michio <sonoda_michio@xxxxxxxxxxxxxxxx>]

園田です。

システム付属kstatを試そうと思ったんですが、Solaris7にはツール、コマンドとし 
ては見あたらないみたいです。８にゃあるんですけど、このslkmなrootkitというや 
つが動作確認はsolaris2.5 solaris2.6 solaris7なんでまだ試してません。
ドライバとインタフェースは用意されているようですが、動作方法がよくわからず確 
認できません（泣）。プログラムベースで構造体呼び出せばいいみたいですが、そん 
なことやってるのどっかにないかなあ？と探したら、Pythonな
http://www.biostat.wisc.edu/~annis/creations/pykstat.html
というのがありました。これを入れて試してみようと思っています。

>また、現在rootkitモジュールがロードされているのかどうか確かめる場合、 
>modinfoコマンドを利用しますが、モジュールのマップから特定モジュールを隠蔽す 
>るツールは、同じslkmにあるflkmというものになる。能書きではmodinfoに対し隠蔽 
>可能となっているが、試している環境（x86Solaris7）ではどうもちゃんと動かない 
>（？）ため追試中です。
>これからシステム付属kstatとどちらが強いか試してみるつもりです。
-- 
園田道夫
株式会社アイ・ティ・フロンティア（旧三菱事務機械株式会社）
TEL:03-5611-5878  FAX:03-5611-5893
http://www.mom.co.jp/sec/