Анти-руткит для Userland-RootKit Azazel «на коленке»

[RPG]

Собственно, сам автор (руткита, разумеется) уже написал статью о менее изощрённом способе его детектить. Впрочем, на него тоже найдётся анти-анти-руткит:)

[ValdikSS]

Да, в общем-то, было очевидно, что такие руткиты из-под ядра легко детектить. Гораздо интересней, на мой взгляд, все-таки детектить в юзерленде. Есть как минимум еще один способ детекта — детектить скрытые файлы по несовпадению количества инодов.

[milabs]

Ну а количество инодов вы как хотите узнавать?

[ValdikSS]

Как угодно. Azazel не скрывает иноды, как и не перехватывает libdl (ну, это пока).

[qw1]

Можно ли снять общее кол-во инод и всё дерево каталогов одним снепшотом, транзакционно?

[mblp]

Вы действительно, считаете, что Ваш пост:

может служит источником информации о том, как работать с ядром, а именно перехватывать его функции и модифицировать поведение системы.

?

[newdya]

Так не «может служить» же, а «может, служит».

[milabs]

Исправил :)

[milabs]

Вообще-то, да

[iscsi]

Познавательно, но почему бы не использовать systemtap?

[milabs]

Познавательно же :)