jieh 《騎士團團長》 文章: 6897 v3.8.8

何謂 Rootkits?

• fix — 改變檔案的 timestamp 和 checksum，用來把竄改過的程式的 timestamp和checksum ，更動為和原先的系統中的程式相同。
  
• linsniffer — 竊取特定網路訊息（ftp / telnet / imap..）的 sniffer 。
  
• sniffchk — 檢查 linsniffer 是否在運作。
  
• wted — 查閱或移除 wtmp 中指定的欄位。
  
• z2 — 移除某個使用者最後的 utmp/wtmp/lastlog 紀錄

• inetd — 會 listen 在某個port（預設是5002），任何人只要利用這個 port 進入系統就擁有 root 權限。
  
• bindshell — 將 root shell bind 在某個 port。
  
• chfn / chsh / login / passwd / su—輸入特定密碼就能擁有 root shell。
  
• rshd — 讓入侵者以特定帳號登入就能以 root 權限執行程式。
  
• sshd — 入侵者以特定帳號密碼登入就能擁有 root shell。

• crontab — 執行特定的 crontab 檔案，並且隱藏這些欄位。
  
• du / find / ls — 隱藏特定的檔案，通常是與 rootkit 相關的檔案。
  
• ifconfig — 當啟動 PROMISC 時（sniffing），不顯示 PROMISC flag。
  
• netstat — 隱藏指定 address / uid / port 的連線。
  
• killall — 無法刪除指定的行程。
  
• pidof / ps / top — 輸出結果時濾掉指定的行程，例如以 root 執行的行程，或行程名稱內有特定字串的行程。
  
• syslogd — 移除系統紀錄檔中包含特定字串的訊息。
  
• tcpd — 不會紀錄以及允許特定連線。

• 將放置系統程式的檔案系統設定為唯讀或是使用 chattr 將重要檔案設定為唯讀。
  
• 不要啟用 kernel module 的功能。
  
• 重要的程式使用 static-link 的方式避免連結到被竄改過的 library。
  
• 使用 md5 或是 pgp 等嚴密的驗證演算法確認檔案的正確性。