[发明专利]基于Linux系统内核层Rootkit的取证方法与装置

说明书

本发明提供一种基于Linux系统内核层Rootkit的取证方法、装置、电子设备及存储介质，该方法包括：获取Rootkit的内核模块内存地址值，根据内核模块的内存地址值获取隐藏内核模块；根据隐藏内核模块，获取内核模块结构体；根据内核模块结构体和内核模块的内存数据，完成对Rootkit的取证。只针对Rootkit内核模块进行检测和分析，可以极大的避免实现的复杂性，实现简单，保证易于多系统移植适配；同时，检测手段在内核层实现，通过较高的权限操作内核内存等底层信息，可以保证检测的准确和可靠；最后，内核模块是内核Rootkit实现隐藏信息的根本，从内核模块检测和分析入手，有利于了解恶意软件通过何种手段实现Rootkit及获取到隐藏的信息数据，完成取证。

技术领域

本发明涉及网络终端安全技术领域，尤其涉及一种基于Linux系统内核层Rootkit的取证方法、装置、电子设备及存储介质。

背景技术

Linux是一种开源的操作系统内核，目前大量的发行版系统使用Linux内核。而且伴随着越来越多国产操作系统的出现，Linux下的计算机安全面临更大的挑战，因此，针对基于Linux内核系统下的病毒木马检测技术越来越受到重视。

木马等恶意软件入侵系统后，一般会通过技术手段，隐藏自身的进程、文件、端口等信息，称之为Rootkit。Rootkit按照实现的技术途径一般分为两种，应用层Rootkit和内核层Rootkit。应用层Rootkit通过在系统用户空间编程实现，比较容易检测识别，目前技术研究比较成熟。内核层Rootkit是一种更高级的手段，通过在具有更高权限的内核层编程达成目的，隐蔽性更强、伪装性更好。

但是，目前针对Linux系统下的内核层Rootkit研究还相对较少，理论性居多，类似基于内核栈检测及内核挂钩检测的手段在实现上较为困难繁琐，涉及大量的内核实现细节，不易实现跨系统平台兼容；而一些相对容易实现的检测方案，则很容易被恶意诱导，导致检测结果不准确，例如基于内核kallsyms 符号表检测，该机制存在借助应用层System.map文件的情况，该文件很容易被恶意软件修改伪装，误导检测结果；与此同时，针对Linux内核Rootkit取证的技术手段和方法更是少之又少。

发明内容

有鉴于此，本发明提供了一种基于Linux系统内核层Rootkit的取证方法、装置、电子设备及存储介质，以解决或部分解决上述技术问题。

根据本发明的一个方面，提供了一种基于Linux系统内核层Rootkit的取证方法，所述方法包括：

获取所述Rootkit的内核模块内存地址值，根据所述内核模块的内存地址值获取隐藏内核模块；

根据所述隐藏内核模块，获取内核模块结构体；

根据所述内核模块结构体和所述内核模块的内存数据，完成对所述Rootkit 的取证。

可选地，所述获取所述Rootkit的内核模块内存地址值，所述根据所述内核模块的内存地址值获取隐藏内核模块包括：

外部循环遍历所述Rootkit的所有内核模块内存分配链表，逐个分析每个内核模块内存信息，获取内核模块的第一内存地址值；

内部循环遍历所述Rootkit的内核模块结构体链表，获取内核模块结构体，进而获取所述内核模块的第二内存地址值；

将第一内存地址值与第二内存地址值逐一比较判断，判断是否存在第一内存地址值与第二内存地址值相等的情况；如果是，则跳转至外部循环步骤，如果否，则判断所述内核模块结构体链表是否遍历结束；

如果否，跳转至内部循环步骤；如果是，则将与第二内存地址值不相等的第一内存地址值对应的内核模块记录为隐藏内核模块。

可选地，所述根据所述隐藏内核模块，获取内核模块结构体包括：