1.当一个恶意内核模块将自己存在内核中的双向链表标记删除,我们使用lsmod就看不到该恶意模块了,即使插入一个内核模块遍历记录内核模块的双向链表,也找不到该模块,但他实际是存在的
2.除了一些交叉试图的根据经验的模糊猜测方法,我们能否通过载入内核模块,遍历内核模块所存在的内存范围,根据内核模块在内存中的特征来把,所有内核模块识别出来(包括隐藏的,因为即使隐藏也在特定的内存范围),这个问题感觉比较复杂,也许还需要做实验,希望有人能够解答
1.当一个恶意内核模块将自己存在内核中的双向链表标记删除,我们使用lsmod就看不到该恶意模块了,即使插入一个内核模块遍历记录内核模块的双向链表,也找不到该模块,但他实际是存在的
2.除了一些交叉试图的根据经验的模糊猜测方法,我们能否通过载入内核模块,遍历内核模块所存在的内存范围,根据内核模块在内存中的特征来把,所有内核模块识别出来(包括隐藏的,因为即使隐藏也在特定的内存范围),这个问题感觉比较复杂,也许还需要做实验,希望有人能够解答
7 回答5.3k 阅读
4 回答4k 阅读
2 回答5.9k 阅读✓ 已解决
2 回答2.5k 阅读✓ 已解决
1 回答2.3k 阅读✓ 已解决
1 回答3.3k 阅读
2 回答3.2k 阅读
这个我已经实现了,就是这个思路