Анти-руткит для Userland-RootKit Azazel «на коленке»

[@RPG]

Собственно, сам автор (руткита, разумеется) уже написал статью о менее изощрённом способе его детектить. Впрочем, на него тоже найдётся анти-анти-руткит:)

[@ValdikSS]

Да, в общем-то, было очевидно, что такие руткиты из-под ядра легко детектить. Гораздо интересней, на мой взгляд, все-таки детектить в юзерленде. Есть как минимум еще один способ детекта — детектить скрытые файлы по несовпадению количества инодов.

[@milabs]

Ну а количество инодов вы как хотите узнавать?

[@ValdikSS]

Как угодно. Azazel не скрывает иноды, как и не перехватывает libdl (ну, это пока).

[@qw1]

Можно ли снять общее кол-во инод и всё дерево каталогов одним снепшотом, транзакционно?

[@mblp]

Вы действительно, считаете, что Ваш пост:

может служит источником информации о том, как работать с ядром, а именно перехватывать его функции и модифицировать поведение системы.

?

[@newdya]

Так не «может служить» же, а «может, служит».

[@milabs]

Исправил :)

[@milabs]

Вообще-то, да

[@iscsi]

Познавательно, но почему бы не использовать systemtap?

[@milabs]

Познавательно же :)