Linux下rootkit检测工具使用与内核模块完整性

当一台Linux服务器被植入rootkit后，最明显的特征是系统自带的基础命令变得不再可信。ls、ps、netstat、top这些管理员日常依赖的工具，很可能已经被替换成攻击者修改过的版本，用来隐藏恶意进程、文件和网络连接。所以检测的第一步，不是盲目扫描，而是先确保你使用的检测工具本身运行在可信的内核视角下，或者直接绕过被篡改的用户态工具链。

chkrootkit是一个轻量级的shell脚本工具集合，它的工作原理是直接检查系统中已知rootkit留下的特征字符串、异常文件和被篡改的二进制文件。安装后，最直接的用法是执行完整扫描：

sudo chkrootkit

这个命令会逐一运行所有内置检测脚本，输出结果中如果出现“INFECTED”字样，就需要高度警惕。chkrootkit特别擅长检测一些经典的老牌rootkit，比如t0rn、lrk、adore等。但它的缺陷也很明显：依赖系统自带的命令来执行检测。如果rootkit已经替换了grep、find、awk这些基础工具，chkrootkit的检测结果就可能被欺骗。所以更稳妥的做法是在系统刚安装完、确认干净时，用静态编译版本的chkrootkit做一次基线扫描，并把结果保存下来，后续每次扫描都与基线对比。

另一个实用技巧是结合外部可信文件系统来做检测。比如将干净系统的/bin、/sbin、/usr/bin目录挂载到受检系统上，然后用chkrootkit指定使用这些可信二进制文件来运行：

sudo chkrootkit -p /mnt/clean_root/bin:/mnt/clean_root/sbin:/mnt/clean_root/usr/bin

这样即使本机命令被替换，检测依然基于外部可信工具，大幅提高准确性。

rkhunter比chkrootkit更进一步，它不仅检查已知rootkit特征，还会对整个系统的关键文件做哈希校验、检测隐藏进程、检查内核模块签名、扫描异常的网络监听端口。初次使用需要先更新特征库并生成文件属性数据库：

sudo rkhunter --update
sudo rkhunter --propupd

第一条命令从镜像站下载最新的rootkit特征定义，第二条命令为系统中所有关键文件（包括/etc/passwd、/etc/shadow、系统命令等）生成SHA-1哈希值并存入数据库。之后每次执行完整扫描：

sudo rkhunter --check --sk

--sk参数表示跳过按键确认，适合自动化脚本。rkhunter的检测报告会详细列出警告项，比如文件属性变化、隐藏进程、可疑内核模块、异常的系统调用表修改等。其中对内核模块完整性的检查尤为关键，因为现代rootkit越来越倾向于直接在内核空间运行，通过可加载内核模块（LKM）来劫持系统调用、隐藏自身踪迹。

rkhunter会检查当前加载的内核模块列表，并与已知的恶意模块特征比对。同时它还会检查/proc/modules和/sys/module下的信息是否一致，因为某些rootkit会通过修改/proc文件系统来隐藏模块。如果发现某个模块在/sys/module下存在但不在lsmod输出中，或者模块的签名信息缺失或异常，rkhunter会直接告警。

内核模块是rootkit最青睐的藏身之所。攻击者一旦获得root权限，就可以加载一个恶意LKM，直接在内核层面拦截系统调用，比如拦截open、read、write、getdents等，实现文件隐藏、进程隐藏、网络连接隐藏。检测这类威胁，不能只靠用户态工具，需要直接审视内核暴露的接口。

首先，检查当前加载模块的详细信息：

cat /proc/modules

这个文件列出了所有已加载模块的名称、内存占用、依赖关系和加载状态。但要注意，如果rootkit已经在内核中挂钩了文件系统相关的系统调用，这个文件的内容可能已经被过滤。所以更底层的做法是直接读取/sys/module目录，这个sysfs接口相对更难被完全欺骗。每个已加载模块在/sys/module下都有一个对应目录，里面包含parameters、sections、holders等子目录。如果一个模块在/sys/module下存在目录，但在/proc/modules中看不到，几乎可以断定存在隐藏行为。

模块的签名验证是另一个关键点。从Linux内核3.7开始，支持内核模块签名强制验证。可以通过以下命令检查当前内核是否开启了模块签名强制检查：

cat /proc/sys/kernel/modules_disabled
cat /sys/module/module/parameters/sig_enforce

如果modules_disabled返回1，说明内核禁止加载任何新模块，这是最高安全级别。如果sig_enforce返回Y，说明内核会拒绝加载未签名或签名无效的模块。在生产环境中，强烈建议开启这两个选项。对于已经加载的模块，可以使用modinfo查看模块签名信息：

modinfo -F signer module_name
modinfo -F sig_key module_name

如果输出为空或者签名者不是预期的内核编译者，就需要进一步排查。某些rootkit会加载一个完全合法的签名模块，但通过模块参数注入恶意代码，这种情况更隐蔽，需要结合模块的加载参数和内存布局来分析。

内核级rootkit最常见的攻击手法是修改系统调用表（sys_call_table），将其中指向原始系统调用的函数指针替换为恶意函数的地址。直接检查这个表需要内核态工具。kjackal是一个专门用于检测系统调用表劫持的工具，它通过对比当前系统调用表与内核符号表中的原始地址来发现异常：

sudo kjackal -a

输出会列出所有被修改的系统调用条目，包括原始地址和当前地址的差异。如果发现open、kill、getdents、tcp4_seq_show等关键系统调用被重定向，基本可以确认rootkit存在。另一个工具是sysdig，它虽然主要用于系统调用追踪，但也可以用来发现异常的调用模式：

sudo sysdig -c spy_users

这个命令会实时显示所有用户操作，如果发现某些进程在疯狂调用隐藏文件相关的系统调用，或者有进程频繁操作/proc下的特定文件，就值得深入调查。

当rootkit完全运行在内核中，并且成功隐藏了模块、文件和进程后，传统的用户态检测手段基本失效。这时需要内存取证工具直接从物理内存镜像中提取证据。volatility是一个强大的内存取证框架，它的linux模块可以分析Linux内存转储文件。首先需要获取内存镜像：

sudo dd if=/dev/mem of=/tmp/mem.dump bs=1M

或者使用更安全的LiME（Linux Memory Extractor）来获取，因为/dev/mem在现代内核中通常有访问限制。拿到内存镜像后，用volatility分析隐藏进程：

volatility -f mem.dump --profile=LinuxUbuntu2004x64 linux_pslist
volatility -f mem.dump --profile=LinuxUbuntu2004x64 linux_hidden_modules

linux_pslist会列出内存中记录的所有进程，与ps命令的输出对比，就能发现隐藏进程。linux_hidden_modules专门用于检测那些在模块链表中被摘除但仍在内存中运行的内核模块。volatility还会检查内核的模块树结构，如果发现某个模块的list_head指针被从链表中移除但模块结构体仍然完整，就会标记为隐藏模块。这种检测方法不依赖系统调用，直接基于内存数据结构，因此很难被rootkit欺骗。

单次检测无法应对持续性的威胁，需要建立长期监控机制。auditd是Linux审计子系统，可以配置规则监控内核模块加载事件：

sudo auditctl -w /sbin/insmod -p x -k module_load
sudo auditctl -w /sbin/modprobe -p x -k module_load
sudo auditctl -a always,exit -F arch=b64 -S init_module -S delete_module -k kernel_module

这些规则会记录所有加载和卸载内核模块的操作，包括执行insmod、modprobe命令以及直接调用init_module和delete_module系统调用的行为。日志会写入/var/log/audit/audit.log，可以配合集中日志分析系统做实时告警。

另一个实用方案是使用Linux内核的IMA（Integrity Measurement Architecture）子系统。IMA可以在文件被访问或执行时计算其哈希值，并与预先存储的可信列表比对。启用IMA需要在内核启动参数中添加ima=on，并配置策略：

mount -t securityfs securityfs /sys/kernel/security
echo "measure func=FILE_CHECK mask=MAY_EXEC uid=0" > /sys/kernel/security/ima/policy

之后任何root用户执行的文件都会被度量，包括内核模块文件。通过查询/sys/kernel/security/ima/ascii_runtime_measurements可以获取所有度量记录，任何未预期的哈希变化都意味着文件被篡改。

内核模块完整性的检测不是一次性的动作，而是需要结合用户态扫描工具、内核接口直接检查、内存取证和持续监控的多层防御体系。chkrootkit和rkhunter适合快速排查已知威胁，/proc和/sys的直接比对能发现隐藏模块，volatility的内存分析能揪出高度隐蔽的内核级rootkit，而auditd和IMA则提供了持续性的完整性保障。在实际应急响应中，通常需要组合使用这些方法，从不同层面交叉验证，才能最大程度降低误报和漏报。