[发明专利]基于Linux系统内核层Rootkit的取证方法与装置

权利要求书

1.一种基于Linux系统内核层Rootkit的取证方法，其特征在于，所述方法包括：

获取所述Rootkit的内核模块内存地址值，根据所述内核模块的内存地址值获取隐藏内核模块；

根据所述隐藏内核模块，获取内核模块结构体；

根据所述内核模块结构体和所述内核模块的内存数据，完成对所述Rootkit的取证。

2.如权利要求1所述的方法，其特征在于，所述获取所述Rootkit的内核模块内存地址值，根据所述内核模块的内存地址值获取隐藏内核模块包括：

外部循环遍历所述Rootkit的所有内核模块内存分配链表，逐个分析每个内核模块内存信息，获取内核模块的第一内存地址值；

内部循环遍历所述Rootkit的内核模块结构体链表，获取内核模块结构体，进而获取所述内核模块的第二内存地址值；

将第一内存地址值与第二内存地址值逐一比较判断，判断是否存在第一内存地址值与第二内存地址值相等的情况；如果是，则跳转至外部循环步骤，如果否，则判断所述内核模块结构体链表是否遍历结束；

如果否，则跳转至内部循环步骤；如果是，则将与第二内存地址值不相等的第一内存地址值对应的内核模块记录为隐藏内核模块。

3.如权利要求2所述的方法，其特征在于，所述根据所述隐藏内核模块，获取内核模块结构体包括：

循环遍历所述隐藏内核模块对应的第一内存地址值，每次加1；

假设内核模块结构体存于所述隐藏内核模块对应的第一内存地址值指向的内存，获取内存数据，将所述内存数据与假设的所述内核模块结构体进行特征比对；

判断特征比对是否成功，如果否，则跳转至所述循环遍历所述隐藏内核模块对应的第一内存地址值，每次加1的步骤；如果是，则获得所述内核模块结构体。

4.如权利要求3所述的方法，其特征在于，所述判断特征比对是否成功包括：

判断假设的所述内核模块结构体地址域的值是否等于所述隐藏内核模块对应的第一内存地址值；

所述假设的内核模块结构体状态域的值是否小于3；

所述假设的内核模块结构体大小域的值是否大于0；

所述假设的内核模块结构体名称域中的值是否属于ASCII可显示字符。

5.如权利要求1所述的方法，其特征在于，所述根据所述内核模块结构体和所述内核模块的内存数据，完成对所述Rootkit的取证包括：

获取所述内核模块的全部内存数据，恢复所述隐藏内核模块结构体链表，并对所述隐藏内核模块进行卸载操作；

分析所述内核模块的全部内存数据，获取恶意程序信息，完成对所述Rootkit的取证。

6.一种基于Linux系统内核层Rootkit的取证装置，其特征在于，所述装置包括：

隐藏内核模块获取单元，用于获取所述Rootkit的内核模块内存地址值，根据所述内核模块的内存地址值获取隐藏内核模块；

内核模块结构体获取单元，用于根据所述隐藏内核模块，获取内核模块结构体；

取证单元，用于根据所述内核模块结构体和所述内核模块的内存数据，完成对所述Rootkit的取证。

7.如权利要求6所述的装置，其特征在于，所述隐藏内核模块获取单元具体用于：

外部循环遍历所述Rootkit的所有内核模块内存分配链表，逐个分析每个内核模块内存信息，获取内核模块的第一内存地址值；

内部循环遍历所述Rootkit的内核模块结构体链表，获取内核模块结构体，进而获取所述内核模块的第二内存地址值；

将第一内存地址值与第二内存地址值逐一比较判断，判断是否存在第一内存地址值与第二内存地址值相等的情况；如果是，则跳转至外部循环步骤，如果否，则判断所述内核模块结构体链表是否遍历结束；

如果否，则跳转至内部循环步骤；如果是，则将与第二内存地址值不相等的第一内存地址值对应的内核模块记录为隐藏内核模块。