Linux下基于交叉视图的隐蔽恶意代码检测

摘要

Rootkit是攻击者入侵操作系统后，用于秘密保留对目标机器的超级访问权限的一项技术.首先分析了内核级rootkit的原理，分析了现有的Iinux rootkit的检测方法并指出其中的不足.在此基础上，提出一种基于交叉视图的隐藏恶意代码自动检测方法，并提出了系统恢复的机制.提及的检测和恢复系统以可加载内核模块的形式实现，可还原被恶意修改的系统调用表的内容，终止隐藏的进程，移除隐藏的文件，阻止攻击网络流.实验数据表明提出的方法是有效可行的.