边学习边更新这专题,随手记录一下用到的思路,给自己看的(所以读者看可能有些懵,不好意思...) RootKit随手记(一)RootKit的驱动隐藏.读取配置.卸载安装 一.驱动隐藏 1. 隐藏原理 一款好的ROOTKIT一定会隐藏自己,检测驱动时经过一串链表,该链表的结点在 DRIVER_OBJECT->DriverSection 中,数据结构如下图. kd> dt _DRIVER_OBJECT ntdll!_DRIVER_OBJECT   +0x000 Type             :

2015-12-21 正宗好PT 正宗好PT 今天公司年会,又木有抽到奖,求安慰/(ㄒoㄒ)/~~ 言归正传,我曾经在推特发过一个Skill CheatSheet,被转发和点赞了几百次,我又更新了一下,在公众号首发^_^ 由于内容比较多,简单的的逐一点评一下: 动态调试技能 沙箱技术,Cuckoo Sandbox是一个开源的病毒自动分析框架,著名的malwr就是基于这套沙盒框架. 网络分析,主要是抓包,分析各种通信协议,还原网络通信的内容. 虚拟化技术主要是使用虚拟机比如VirtualBox,V

原文链接:[原创]NT系统信息察看工具 : NtInfoGuy 对于windows的内部,我们有太多的东西需要了解,认知.我们非凡的.从不知足的探求本性驱使我们要 拨开迷雾得见青天.太多的木马,病毒,Rootkit隐藏在系统中,这需要我们去侦查.洞悉.对于一些系统程序员来说,了解当前NT系统的内部状态,信息同样也是相当有用和重要的. 虽然目前有不少这样的小工具, 但是它们都只是涉及到系统信息的各个不同子集.在这样一个背景下非常有必要有一个可以查看NT系统完整状态信息的工具,于是NtInfoGuy

i春秋作家:lem0n 原文来自:浅谈内存取证 0x00 前言 网络攻击内存化和网络犯罪隐遁化,使部分关键数字证据只存在于物理内存或暂存于页面交换文件中,这使得传统的基于文件系统的计算机取证不能有效应对.内存取证作为传统文件系统取证的重要补充,是计算机取证科学的重要组成部分,通过全面获取内存数据.详尽分析内存数据,并在此基础上提取与网络攻击或网络犯罪相关的数字证据,近年来,内存取证已赢得安全社区的持续关注,获得了长足的发展与广泛应用,在网络应急响应和网络犯罪调查中发挥着不可替代的作用.首先回顾了

工具网站 : http://www.ntsecurity.nu/toolbox/ 命令行历史 :命令行模式 CMD 中使 doskey /history 命令可以显示前面输入的命令情况(例如使用 cls 命令清屏之后可以用此察看之前的命令),但是如果是关闭 CMD 之后运行则无法查到关闭之前输入的命令. 共享 :在系统注册表的 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/lanmanserver/Shares (针对 Windows

1.前言 The Art of Memory Forensics真是一本很棒的书籍,其中使用volatility对内存进行分析的描述可以辅助我们对更高级类的木马进行分析和取证,这里对书中的命令进行了笔记记录. 2.volatility-Windows命令 与分析Linux镜像相似,而Windows系统的profile都是volatility自带的,无需再制作. 选择元数据 imageinfo 查看正在分析的内存样本的摘要信息.显示主机所使用的操作系统版本.服务包以及硬件结构(32位或64位).页

官网:https://github.com/trimpsyw/adore-ng 安装: [root@xuegod63 ~]# unzipadore-ng-master.zip [root@xuegod63 ~]# cdadore-ng-master [root@xuegod63 adore-ng-master]#rpm  -ivh/mnt/Packages/kernel-devel-2.6.32-220.el6.x86_64.rpm yum install gcc* [root@xuegod63

目录 简介 linux虚拟文件系统VFS rootkit的功能 隐藏文件 基本方法 高级方法 系统调用流程 hook sys_getdents sys_getdents的调用树 最底层的方法 隐藏进程 日志修改 @ 简介 Rootkit是一套工具,用于长期获取root权限以及隐藏自己和后门程序.攻击者通过漏洞临时获得root权限后,一般会安装后门和rootkit,以便长期获取权限.收集信息. linux虚拟文件系统VFS 虚拟文件系统(Virtual File System, 简称 VFS),

Rootkit是指其主要功能为隐藏其他程式进程的软件,可能是一个或一个以上的软件组合:广义而言,Rootkit也可视为一项技术.   目录 1 rootkit是什么 2 rootkit的功能 rootkitrootkit是什么 编辑 Rootkit是什么?估计很多朋友并不明白,简单的说,Rootkit是一种特殊的恶意软件,它的功能是在安装目标上隐藏自身及指定的文件.进程和网络链接等信息,比较多见到的是Rootkit一般都和木马.后门等其他恶意程序结合使用.Rootkit通过加载特殊的驱动,修改系

---恢复内容开始--- rkhunter简介: 中文名叫"Rootkit猎手", rkhunter是Linux系统平台下的一款开源入侵检测工具,具有非常全面的扫描范围,除了能够检测各种已知的rootkit特征码以外,还支持端口扫描.常用程序文件的变动情况检查. rkhunter的官方网站位于http://www.rootkit.nl/,目前最新的版本是rkhunter-1.4.2. rootkit是什么? rootkit是Linux平台下最常见的一种木马后门工具,它主要通过替换系统文

catalog . 引言 . Pam后门 . SSH后门 . Hijacking SSH . Hijacking SSH By Setup A Tunnel Which Allows Multiple Sessions Over The Same SSH Connection Without Re-Authentication . Hijacking Active SSH Screen Sessions 0. 引言 0x1: 安全攻防观点 . Know Your Enemy : Know You

目录 . The Purpose Of Rootkit . Syscall Hijack . LKM Module Hidden . Network Communication Hidden . File Hidden . Process Hidden . Hidden Port Remote Reverse Connections . Programe Replacing 1. The Purpose Of Rootkit Basically, the purpose of rootkit i

目录 . 引言 . LRK5 Rootkit . knark Rootkit . Suckit(super user control kit) . adore-ng . WNPS . Sample Rootkit for Linux . suterusu . Rootkit Defense Tools . Linux Rootkit Scanner: kjackal 1. 引言 This paper attempts to analyze the characteristics from the

目录 . Rootkit Hunter Introduce() . Source Code Frame() . do_system_check_initialisation() . do_system_commands_checks() . do_rootkit_checks() . do_network_checks() . do_local_host_checks() . do_app_checks() 1. Rootkit Hunter Introduce rkhunter (Rootki

目录 . 学习Rootkit需要了解的基础知识 . 挂钩(HOOKING) . 直接内核对象操作 . LSM框架(Linux Security Module)于LKM安全 . rootkit检测技术及工具 1. 学习Rootkit需要了解的基础知识 0x1: 什么是rootkit rootkit是允许某人控制操作系统的特定方面而不暴露他或她的踪迹的一组代码.从根本上说来,用户无法察觉这种特性构成了rootkit.rootkit会想尽办法去隐藏自己的网络.进程.I/O等信息(注意,这里所谓的隐藏,

唉,一开始在纠结起个什么名字,感觉名字常常的很装逼,于是起了个这<手把手教你写LKM rookit> 我觉得: 你们觉得:...... 开始之前,我们先来理解一句话:一切的操作都是系统调用.系统通过陷入或者库的方式,让你跟内核的函数交互.当然啦,平时我们都处在用户态的情况下,系统调用调用的是内核态的函数,ps:这个系列完了,我们从内核级的rookit脱离出来,升级到bios级别的rootkit,哇卡卡-- 那么我在这傻了吧唧的讲了半天,什么是LKM,Loadable Kernel Module

进程对比实验用得到rootkit: 1.FU rootkit 简单的来说,FU是一个隐藏进程的工具.,FU_Rootkit是开源的,用C语言编写.FU_Rootkit主程序包括2个部分:Fu.exe和Msdirectx.sys. Msdirectx.sys能直接载入核心内存,Fu.exe则是相应的应用程序.该工具只能用在win NT中,后续版本无效. 推荐系统:Windows XP 待补充... 2.NTRootkit 不会隐藏自身 推荐系统:Windows XP 待补充... 3.Hacker

PHP 配置默认允许服务器在 HTTP 响应头 X-Powered-By 中显示安装在服务器上的 PHP 版本.出于服务器安全原因(虽然不是主要的要担心的威胁),建议你禁用或隐藏此信息,避免那些针对你的服务器的攻击者知道你是否运行了 PHP.在本文中,我们将解释如何隐藏或关闭服务器 HTTP 响应头中的 PHP 版本号. PHP 配置默认允许服务器在 HTTP 响应头 X-Powered-By 中显示安装在服务器上的 PHP 版本. 出于服务器安全原因(虽然不是主要的要担心的威胁),建议你禁用或

-------------------------------------------------------- 在 rootkit 与恶意软件开发中有一项基本需求,那就是 hook Windows 内核的系统服务描述符表(下称 SSDT),把该表中的 特定系统服务函数替换成我们自己实现的恶意例程:当然,为了确保系统能够正常运作,我们需要事先用一个函数指针保存原始 的系统服务,并且在我们恶意例程的逻辑中调用这个函数指针,此后才能进行 hook,否则损坏的内核代码与数据结构将导致 一个 BugCh

### 前言 Linux系统中存在用户态与内核态,当用户态的进程需要申请某些系统资源时便会发起系统调用.而内核态如何将系统的相关信息实时反馈给用户态呢,便是通过proc文件系统.如此便营造了一个相对隔离的环境. 那么proc文件系统是如何呈现我们平时最关心的进程/网络连接信息的呢?在/proc目录下存在着一些以数字命名的目录,这些数字便对应了系统中正在运行的进程的pid.自然,对应进程的一些相关信息便保存在/proc/{pid}目录下.比如/proc/{pid}/fd目录中就保存了进程打开的文件