一、什么是"rootkit"？
入侵者入侵后往往會進行清理腳印和留后門等工作，最常使用的后門創建工具就是rootkit。不要被名字所迷惑，這個所謂的“rootkit”可不是給超級用戶root用的，它是入侵者在入侵了一太主機后，用來做創建后門并加以偽裝用的程序包。這個程序包里通常包括了日志清理器，后門等程序。同時，程序包里通常還帶有一些偽造的ps、ls、who、w、netstat等原本屬于系統本身的程序，這樣的話，程序員在試圖通過這些命令查詢系統狀況的時候，就無法通過這些假的系統程序發覺入侵者的行蹤。
在一些黑客組織中,rootkit (或者backdoor) 是一個非常感興趣的話題。各種不同的rootkit被開發并發布在internet上。在這些rootkit之中, LKM尤其被人關注, 因為它是利用現代操作系統的模塊技術。作為內核的一部分運行,這種rootkit將會越來越比傳統技術更加強大更加不易被發覺。一旦被安裝運行到目標機器上, 系統就會完全被控制在hacker手中了。甚至系統管理員根本找不到安全隱患的痕跡, 因為他們不能再信任它們的操作系統了。后門程序的目的就是甚至系統管理員企圖彌補系統漏洞的時候也可以給hacker系統的訪問權限。
入侵者通過：設置uid程序, 系統木馬程序, cron后門等方法來實現入侵者以后從非特權用戶使用root權限。
1、設置uid程序。 黑客在一些文件系統理放一些設置uid腳本程序。無論何時它們只要執行這個程序它們就會成為root。
2、系統木馬程序。黑客替換一些系統程序,如"login"程序。因此, 只要滿足一定的條件，那些程序就會給黑客最高權限。
3、Cron后門。黑客在cron增加或修改一些任務,在某個特定的時間程序運行，他們就可以獲得最高權限。
具體可能通過以下方法給予遠程用戶以最高訪問權限: ".rhost" 文件, ssh認證密鑰, bind shell, 木馬服務程序。
1、".rhosts" 文件。一旦 "+ +"被加入某個用戶的.rhosts文件里, 任何人在任何地方都可以用這個賬號來登陸進來而不需要密碼。
2、ssh認證密鑰。黑客把他自己的公共密鑰放到目標機器的ssh配置文件"authorized_keys"里, 他可以用該賬號來訪問機器而不需要密碼。
3、Bind shell。黑客綁定一個shell到一個特定的tcp端口。任何人telnet這個端口都可以獲得交互的shell。更多精巧的這種方式的后門可以基于udp,或者未連接的tcp, 甚至icmp協議。
4、Trojaned服務程序。任何打開的服務都可以成為木馬來為遠程用戶提供訪問權限。例如, 利用inetd服務在一個特定的端口來創建一個bind shell，或者通過ssh守護進程提供訪問途徑。
在入侵者植入和運行后門程序之后, 他會設法隱藏自己存在的證據，這主要涉及到兩個方面問題: 如何來隱藏他的文件且如何來隱藏他的進程。
為了隱藏文件, 入侵者需要做如下事情: 替換一些系統常用命令如"ls", "du", "fsck"。在底層方面, 他們通過把硬盤里的一些區域標記為壞塊并把它的文件放在那里。或者如果他足夠瘋狂，他會把一些文件放入引導塊里。
為了隱藏進程, 他可以替換 "ps"程序, 或者通過修改argv[]來使程序看起來象一個合法的服務程序。有趣的是把一個程序改成中斷驅動的話，它就不會出現在進程表里了。
二、RootKit－Knark的歷史
Knark是第二代的新型rootkit工具－其基于LJM(loadable kernel module)技術，使用這種技術可以有效地隱藏系統的信息。作者在代碼和README文件中都標注有不承擔責任的聲明，聲明該代碼不可以被用作非法活動。然而該軟件可以容易地被用于這種目的。
Knark是由creed@sekure.net編寫的，主要基于http://www.dataguard.no/bugtraq/1997_4/0059.html中Runar Jensen編寫的代碼heroin.c，設計思想主要來自于Phrack 52中plaguez發表的文章Weakening the Linux Kernel"。在重新編寫了heroin.c的大部分代碼以后，Creed決定重新命名為"Knark"，在瑞典語中是指吸毒者。Creed編寫的其他軟件可以在www.sekure.net/~happy-h/得到，但是由于該站點只有瑞典語版本，因此應用并不廣泛。
Knark的第一個公開版本是0.41，發布于June, 1999。可以在B4B0 #9中索引到它：改變一個運行進程的UID/GID的工具
非授權地、特權程序遠程執行守護進程
Kill –31來隱藏運行的進程
聯合使用程序執行重新定向和文件隱藏，入侵者能提供各種后門程序執行。由于執行重定向是在內核級別進行的，因此文件檢測工具不會發現程序文件被修改－原始的執行程序并沒有被修改，因此配置檢測工具在路徑環境中也不會發現任何異常。
如果Knark結合另外一個用來隱藏系統當前加載的模塊的LKM工具modhide，就可能實現甚至通過lsmod命令也不能發現knark的存在。
