狠狠撸

Rootkit 101 - 僅適合新?手的 rootkit
cmj @ 2015.07.19
1

適合新?手
? 如果你會寫 rootkit - 你可能太晚聽了～
? 如果你沒?用過 Linux - 你可能太早聽了～
2

內容 - 這次獻給?大家的～
? 根據經驗，我所看過的 rootkit
? 延伸 rootkit 原本的概念
? 概念性的 rootkit
3

能不能用，我也不知道 >.^
4

WARNING
投影?片內容可能包含不適合您閱讀的成?人?文章，請確定擁
有?足夠的?心智與判斷能?力，了解並分析接下來的內容是否
正確與合法。??本著作的作者不負擔任何您，因本著作?而衍
伸的任何法律問題：包含但不限於因任意?文字的排列組合
與圖?示造成?心智與/或財產的損失。??
5

在開始之前，讓我們欣賞～
6

我是誰：沒有絕對安全的系統
德國電影
9

rootkit - wiki
Rootkit是指其主要功能為：隱藏其他程式?行程的軟體，可
能是?一個或?一個以上的軟體組合；廣義?而?言，Rootkit也可
視為?一項技術。??
10

Simple Rootkit Design - lv1
? 簡單的欺騙 User
? 替換掉常?用的指令
? ls / ps / top / … etc
? 你不需要太多程式技巧
13

Simple Rootkit Design - lv2
? 替換程式
? 需要點程式技巧
? ?方法
? 直接替換程式 (直接換掉 binary)
? 寫個 wrapper (多疊?一層)
16

しかし
? 除?非使?用者不跟主機直接互動
? 明顯的操作上差異
? ?用起來會怪怪的
19

設計點有點難度的 rootkit
23

Useful Rootkit Design - lv3
? 修改程式底層
? 修改程式的函式庫
? 概念
? strace / dtruss / debuger / … etc
24

程式設計師的?自我修養：連結、載?入、程式庫
來點修養吧～
25

C
? C 程式執?行的時候，可以：
? 呼叫?自?己撰寫的邏輯 (function)
? 呼叫現成的邏輯 (Library)
? 你會?自?己寫 open ?le 嘛 …
26

C
? C 程式執?行的時候，可以：
? 呼叫?自?己撰寫的邏輯 (function)
? 呼叫現成的邏輯 (Library)
? 你會?自?己寫 open function 嘛 …
27

Shared Library Hook
using LD_PRELOAD
28

rootkit 的世界
朕不給你，你不能搶！
32

基本概念
劫持
? 指令
? 資料
? syscall
33

依然是劫持 ls
? 如果你看到的資料其實不是你看到的
? FUSE (File system in USEr space)
35

啊～再深一點～～～
36

如果就根本上 (OS) 資料就不存在．．．
37

Program Bugs
User-Space
? crash - Segment Fault / Abort
? core-dump
Kernel-Space
? Call-Trace
39

Robust is more important than you expected
40

Kernel Rootkit Design - lv4
1. 開發環境
2. 決定 rootkit 的核?心技巧
3. 開發與除錯
41

Kernel Rootkit Design - lv4
1. 開發環境
2. 決定 rootkit 的核?心技巧
3. 開發與除錯
42

Hook Syscall
流程
? 找到 syscall_table
? 竄改呼叫的 callback function
44

sys_call_table
1. Easily way
2. Normal way
3. Violent way
45

sys_call_table
1. Easily way - Find it out in System.map
2. Normal way
3. Violent way
46

sys_call_table
2. Normal way - Dump on /proc/kallsyms
3. Violent way
48

sys_call_table
2. Normal way - Dump on /proc/kallsyms
3. Violent way - Force search all kernel-level memory
50

假設我們找到 syscall_table
52

syscall_table
實作上
? syscall_table 是?一個 function pointer 陣列
? 根據 syscall 編號依序排列
53

BIOS rootkit design - lv5
我要很誠實的說：我不會
?而且今天是 rootkit - 101，講 BIOS 就太誇張了～
58

Q & A
Thanks for your attention ~
59

Rootkit 101