Linux Rootkit 详解

Rootkit 是一类以获取并维持系统最高权限（root 权限）为核心目标，并通过隐蔽手段隐藏自身及相关恶意行为的恶意软件。在 Linux 系统中，Rootkit 利用其开源特性、内核架构及用户空间机制，实现持久化控制与深度隐蔽，对服务器、嵌入式设备等 Linux 环境构成严重威胁。

一、Linux Rootkit 的核心特性

1. 权限终极化：核心目标是获取 root 权限，后续所有操作（如文件篡改、进程控制）均基于最高权限执行。
2. 行为隐蔽性：通过篡改系统工具、Hook 内核函数、隐藏进程 / 文件 / 网络连接等方式，规避管理员检测（如 ps、ls、netstat 等命令无法发现其存在）。
3. 持久化生存：通过修改启动项、定时任务、内核模块加载机制等，确保系统重启后仍能自动激活，无法通过简单重启清除。
4. 扩展性攻击：通常预留后门（如隐藏端口、加密 Shell），支持后续植入其他恶意代码（如勒索软件、数据窃取模块）。

二、Linux Rootkit 的分类

Linux 系统从底层到上层分为固件层、内核层、用户层、虚拟化层，Rootkit 可在不同层级实现攻击，隐蔽性与危害程度随层级降低而提升。

分类	作用层级	核心技术手段	隐蔽性	危害程度	典型案例
用户级	用户空间（User Space）	替换系统命令（ps/ls）、Hook 库函数	较低	中等	Reptile（早期版本）、Cydoor
内核级	内核空间（Kernel Space）	加载恶意内核模块、Hook 内核函数 / 系统调用	较高	高	Azazel、Kedgr、Reptile
固件级	硬件固件（BIOS/UEFI/ROM）	篡改主板 BIOS、硬盘固件、网卡固件	极高	极高	LoJax、FinFisher
虚拟化级	hypervisor 层（如 KVM）	构建隐蔽虚拟机监控系统（rootkit VM）	极高	极高	Blue Pill、SubVirt

各层级 Rootkit 关键区别

• 用户级 Rootkit：无需修改内核，仅通过替换用户空间工具（如 /bin/ps、/usr/bin/ls）或注入共享库（如 LD_PRELOAD 劫持）实现隐蔽。优点是实现简单，缺点是易被静态文件校验（如 md5sum）发现。
• 内核级 Rootkit：需加载恶意内核模块（.ko 文件），通过 Hook 内核函数（如 sys_ps、sys_getdents）篡改系统调用结果，隐蔽性远高于用户级，且可直接控制硬件资源（如内存、网络）。
• 固件级 Rootkit：攻击目标是硬件固件（如 BIOS），系统重装、硬盘格式化均无法清除，仅能通过固件刷写修复，是目前最难检测与清除的类型。

三、Linux Rootkit 的工作原理

Rootkit 的攻击流程通常分为 “权限获取→隐蔽植入→持久化→后门控制” 四步，具体细节如下：

1. 第一步：获取 Root 权限（入侵入口）

Rootkit 本身不直接 “破解” 权限，需依赖前置漏洞或社会工程手段获取初始权限，常见方式包括：

• 漏洞利用：
  • 内核漏洞：如 Dirty COW（CVE-2016-5195，权限提升）、SockFS UAF（CVE-2022-2588，内核提权）。
  • 用户空间漏洞：如 sudo 权限绕过（CVE-2021-3156）、SUID 程序缓冲区溢出（如 pkexec 漏洞 CVE-2021-4034）。
• 社会工程：通过钓鱼邮件、恶意脚本诱导管理员执行（如伪装成 “系统更新脚本” 的恶意 Shell 脚本）。
• 物理接触：通过 U 盘等外设植入（如利用 udev 规则自动执行恶意代码）。

2. 第二步：隐蔽植入

获取 root 权限后，Rootkit 开始隐藏自身，不同层级的实现方式差异显著：

层级	隐蔽手段具体实现
用户级	1. 替换系统命令：将 /bin/ps、/usr/bin/netstat 替换为恶意版本（过滤自身进程 / 端口）；2. 劫持动态库：通过 LD_PRELOAD 环境变量注入恶意共享库，Hook readdir、getpid 等库函数；3. 隐藏文件：在文件名前加特殊字符（如 \0），使 ls 无法显示。
内核级	1. 内核函数 Hook：通过 kallsyms 获取内核函数地址，替换函数入口为恶意代码（如篡改 sys_ps 输出）；2. 隐藏内核模块：修改 kernel/modules 链表，使 lsmod 无法检测；3. 篡改进程链表：从 task_struct 链表中移除自身进程，规避 ps 检测。
固件级	1. 篡改 BIOS 固件：在系统启动阶段（GRUB 加载前）注入恶意代码，控制内核初始化；2. 劫持硬盘固件：修改硬盘控制器固件，隐藏特定分区（存放 Rootkit 核心文件）。

3. 第三步：持久化

Rootkit 通过修改 Linux 系统的启动机制、定时任务、配置文件等，实现 “系统重启后自动激活”：

持久化方式	具体实现（Linux 常见路径）
启动项篡改	1. Systemd 系统：修改 /etc/systemd/system/ 新增恶意服务，执行 systemctl enable 设为开机启动；2. SysVinit 系统：修改 /etc/rc.d/rc.local 或 /etc/init.d/ 目录下脚本。
定时任务（Cron）	1. 系统级：/etc/crontab、/etc/cron.d/ 目录添加恶意定时任务；2. 用户级：/var/spool/cron/root（root 用户的定时任务）。
内核模块自动加载	修改 /etc/modules 或 /etc/modprobe.d/，使恶意 .ko 文件开机自动加载。
登录劫持（PAM 模块）	篡改 /etc/pam.d/sshd 或 /etc/pam.d/login，加载恶意 PAM 模块，监控登录行为。

4. 第四步：建立后门

Rootkit 预留隐蔽后门，供攻击者长期控制目标系统：

• 端口后门：监听非标准端口（如 65534），接受加密连接（如自定义协议），规避 netstat/ss 检测。
• SSH 后门：修改 sshd 配置（如 /etc/ssh/sshd_config）或替换 sshd 二进制文件，允许攻击者用隐藏密钥登录。
• 命令后门：在系统命令（如 bash）中植入 “触发式” 代码，输入特定指令（如 bash -c "secret"）即可获取 root Shell。

四、常见 Linux Rootkit 案例

名称	类型	核心特点	危害场景
Reptile	内核级	支持 x86/x86_64/ARM 架构，Hook 内核函数隐藏进程 / 文件 / 端口，可动态加载卸载	服务器持久化控制、数据窃取
Azazel	内核级	无文件落地（内存中执行），支持隐藏网络连接、篡改日志，规避 rkhunter 检测	高隐蔽性渗透测试、APT 攻击
LoJax	固件级	篡改 UEFI 固件，系统重装 / 硬盘格式化后仍存活，由 NSA 泄露工具改编而来	关键基础设施长期控制
Cydoor	用户级	替换 ps/ls/netstat 命令，通过 crontab 实现持久化，早期流行	个人 Linux 设备控制
Kedgr	内核级	利用内核漏洞（如 CVE-2022-0847）自动提权，支持隐藏进程树和网络流量	自动化批量入侵服务器

五、Linux Rootkit 的检测方法

Rootkit 隐蔽性强，需结合静态文件校验、动态行为监控、内存取证等多维度检测，单一工具无法覆盖所有场景。

1. 基础检测工具

• chkrootkit：经典用户级 Rootkit 检测工具，通过对比系统命令（如 ps）的 MD5 值、检查隐藏文件 / 端口实现检测，缺点是误报率高，不支持内核级 Rootkit。
• rkhunter：比 chkrootkit 更全面，支持检测内核模块篡改、启动项异常、隐藏用户，可定期更新恶意特征库（rkhunter --update）。
• Lynis：开源安全审计工具，通过扫描系统配置、内核参数、文件权限，间接发现 Rootkit 痕迹（如异常 SUID 文件、可疑 cron 任务）。

2. 手动深度检测技巧

（1）检测隐藏进程

• 对比 ps aux 与 /proc 目录：Rootkit 可能篡改 ps 输出，但 /proc 是内核维护的进程信息目录，直接读取 /proc 下的进程 ID（PID）可发现异常：

  # 列出所有实际运行的 PID（/proc 下的数字目录）
  ls -d /proc/[0-9]* | awk -F/ '{print $3}' | sort -n > /tmp/real_pids
  # 列出 ps 显示的 PID
  ps aux | awk '{print $2}' | sort -n > /tmp/ps_pids
  # 对比差异（real_pids 中有但 ps_pids 中没有的即为隐藏进程）
  diff /tmp/real_pids /tmp/ps_pids
  

（2）检测内核模块异常

• 检查内核模块完整性：lsmod 可能被篡改，直接读取 /proc/modules 或 /sys/module 目录，对比模块路径是否合法：

  # 查看所有加载的内核模块，检查是否有未知模块（如 reptile.ko）
  cat /proc/modules | grep -vE "lib|kernel|driver"
  # 关闭内核指针隐藏（需 root 权限），辅助检测 Hook
  echo 1 > /proc/sys/kernel/kptr_restrict
  

（3）检测文件篡改

• 校验系统命令完整性：通过 rpm（RHEL/CentOS）或 dpkg（Debian/Ubuntu）校验系统二进制文件是否被替换：

  # RHEL/CentOS 校验 ps 命令
  rpm -V coreutils | grep /bin/ps
  # Debian/Ubuntu 校验 ls 命令
  dpkg -V coreutils | grep /bin/ls
  # 若输出中出现 "5"（MD5 不一致）或 "S"（文件大小变化），则可能被篡改
  

（4）内存取证检测

• Volatility：开源内存取证工具，通过分析 Linux 内存镜像（如 /dev/mem 或 dd 备份的内存文件），提取进程、内核模块、系统调用表等信息，规避 Rootkit 对实时系统的干扰：

  # 备份内存镜像（需 root 权限）
  dd if=/dev/mem of=/tmp/linux_mem.img bs=1M count=4096
  # 用 Volatility 分析内存中的进程
  volatility -f /tmp/linux_mem.img --profile=Linuxx64 -p1 linux_pslist
  

六、Linux Rootkit 的防御策略

Rootkit 防御核心是 “纵深防御”，从系统加固、权限控制、行为监控到应急恢复，构建多层防护体系。

1. 系统加固

• 最小化安装：仅安装必要组件（如服务器不安装 GUI、开发工具），减少攻击面。
• 禁用不必要服务：关闭 telnet、ftp 等明文服务，用 ssh 替代；通过 systemctl disable 禁用无用服务（如 avahi-daemon）。
• 内核安全配置：
  • 启用内核地址空间布局随机化（ASLR）：echo 2 > /proc/sys/kernel/randomize_va_space。
  • 禁用内核模块加载（如需加载需白名单）：echo 1 > /proc/sys/kernel/modules_disabled。
  • 启用 SECURITY_YAMA 内核补丁，限制进程跟踪：echo 1 > /proc/sys/kernel/yama/ptrace_scope。

2. 权限与访问控制

• 禁用 root 远程登录：修改 /etc/ssh/sshd_config，设置 PermitRootLogin no，仅允许普通用户通过 sudo 提权。
• 强化文件权限：
  • 关键文件设为只读：chattr +i /etc/passwd /etc/shadow /bin/ps（chattr -i 可解除）。
  • 限制 SUID 文件：find / -perm -4000 -type f 2>/dev/null | grep -vE "sudo|su|ping"，删除异常 SUID 文件。
• 启用强制访问控制（MAC）：
  • RHEL/CentOS 启用 SELinux：setenforce 1，配置 /etc/selinux/config 设为 SELINUX=enforcing。
  • Debian/Ubuntu 启用 AppArmor：aa-enforce /etc/apparmor.d/*，限制进程访问范围。

3. 动态监控与审计

• 日志监控：启用 auditd 服务，监控关键文件（如 /etc/passwd、/bin/ps）的修改行为：

  # 监控 /bin/ps 的修改
  auditctl -w /bin/ps -p w -k ps_modify
  # 查看审计日志
  ausearch -k ps_modify
  

• 网络监控：用 tcpdump/tshark 抓取原始网络包，对比 ss 命令输出，发现隐藏端口：

  # 抓取所有 TCP 连接，查看是否有未被 ss 显示的端口
  tcpdump -i eth0 tcp -n > /tmp/tcp_traffic
  

• 行为异常检测：部署开源 IDS/IPS（如 Snort、Suricata），监控异常系统调用（如频繁 execve、open 敏感文件）。