一、rkhunter简介：
1、中文名叫”Rootkit猎手”,
rkhunter是Linux系统平台下的一款开源入侵检测工具，具有非常全面的扫描范围，除了能够检测各种已知的rootkit特征码以外，还支持端口扫描、常用程序文件的变动情况检查。
2、rootkit是什么？
rootkit是Linux平台下最常见的一种木马后门工具，它主要通过替换系统文件来达到入侵和和隐蔽的目的，这种木马比普通木马后门更加危险和隐蔽，普通的检测工具和检查手段很难发现这种木马。rootkit攻击能力极强，对系统的危害很大，它通过一套工具来建立后门和隐藏行迹，从而让攻击者保住权限，以使它在任何时候都可以使用root 权限登录到系统。
3、rootkit主要有两种类型：文件级别和内核级别。
文件级别的rootkit: 一般是通过程序漏洞或者系统漏洞进入系统后，通过修改系统的重要文件来达到隐藏自己的目的。在系统遭受rootkit攻击后，合法的文件被木马程序替代，变成了外壳程序，而其内部是隐藏着的后门程序。通常容易被rootkit替换的系统程序有login、ls、ps、ifconfig、du、find、netstat等。文件级别的rootkit，对系统维护很大，目前最有效的防御方法是定期对系统重要文件的完整性进行检查，如Tripwire、aide等。
内核级rootkit: 是比文件级rootkit更高级的一种入侵方式，它可以使攻击者获得对系统底层的完全控制权，此时攻击者可以修改系统内核，进而截获运行程序向内核提交的命令，并将其重定向到入侵者所选择的程序并运行此程序。内核级rootkit主要依附在内核上，它并不对系统文件做任何修改。以防范为主。
二、在Linux系统中安装rkhunter
1、下载rkhunter
wget http://jaist.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz
2、安装rkhunter
sudo tar -zxf rkhunter-1.4.6.tar.gz
cd rkhunter-1.4.6
sudo ./installer.sh --install3、为基本系统程序建立校对样本
taiji@taiji:~/rkhunter-1.4.6$ sudo rkhunter --propupd
[ Rootkit Hunter version 1.4.6 ]
File created: searched for 181 files, found 1454、在线升级rkhunter
rkhunter是通过一个含有rootkit名字的数据库来检测系统的rootkits漏洞, 所以经常更新该数据库非常重要, 你可以通过下面命令来更新该数据库:
sudo rkhunter --update三、rkunter使用
常用参数列表
参数 含义
-c, –check 必选参数，表示检测当前系统
–configfile 使用特定配置文件
–cronjob 作为cron任务定期运行
–sk, –skip-keypress 自动完成所有检测，跳过键盘输入
–summary 显示检测结果的统计信息
–update 检测更新内容
-V, –version 显示版本信息
–versioncheck 检测最新版本
–propupd [file | directory ] 建立样本文件，建议安装完系统就建立
1、运行rkhunter检查系统，它主要执行下面一系列的测试:
- MD5校验测试, 检测任何文件是否改动.
- 检测rootkits使用的二进制和系统工具文件.
- 检测特洛伊木马程序的特征码.
- 检测大多常用程序的文件异常属性.
- 执行一些系统相关的测试 – 因为rootkit hunter可支持多个系统平台.
- 扫描任何混杂模式下的接口和后门程序常用的端口.
- 检测如/etc/rc.d/目录下的所有配置文件, 日志文件, 任何异常的隐藏文件等等. 例如, 在检测/dev/.udev和/etc/.pwd.lock文件时候, 我的系统被警告.
- 对一些使用常用端口的应用程序进行版本测试. 如: Apache Web Server, Procmail等.
2、执行检测命令：
sudo rkhunter --check如果您不想要每个部分都以 Enter 来继续，想要让程序自动持续执行，可以使用：
sudo rkhunter --check --sk3、命令中的-check选项告诉命令扫描系统，-sk选项会跳过选项按回车键继续扫描，-rwo则是在扫描系统后只显示警告信息：
taiji@taiji:~/rkhunter-1.4.6$ sudo rkhunter --check --rwo
Warning: The command '/usr/sbin/adduser' has been replaced by a script: /usr/sbin/adduser: Perl script text executable
Warning: The command '/usr/bin/egrep' has been replaced by a script: /usr/bin/egrep: POSIX shell script, ASCII text executable
Warning: The command '/usr/bin/fgrep' has been replaced by a script: /usr/bin/fgrep: POSIX shell script, ASCII text executable
Warning: The command '/usr/bin/ldd' has been replaced by a script: /usr/bin/ldd: Bourne-Again shell script, ASCII text executable
Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: Perl script text executable
Warning: The command '/usr/bin/which.debianutils' has been replaced by a script: /usr/bin/which.debianutils: POSIX shell script, ASCII text executable
Warning: The following processes are using suspicious files:
Command: cupsd
UID: 0 PID: 1824
Pathname:
Possible Rootkit: Spam tool component
Command: snapd-desktop-i
UID: 1000 PID: 3591
Pathname:
Possible Rootkit: Spam tool component
Command: snapd-desktop-i
UID: 1000 PID: 3675
Pathname:
Possible Rootkit: Spam tool component
Command: snapd-desktop-i
UID: 3676 PID: 3675
Pathname: 7526
Possible Rootkit: Spam tool component
Command: snapd-desktop-i
UID: 3677 PID: 3675
Pathname: 7526
Possible Rootkit: Spam tool component
Command: snapd-desktop-i
UID: 3678 PID: 3675
Pathname: 7526
Possible Rootkit: Spam tool component
Warning: Hidden file found: /etc/.resolv.conf.systemd-resolved.bak: ASCII text4、扫描完成后可以查看以下路径中的日志查看警告。
sudo cat /var/log/rkhunter.log5、有关更多信息和选项，请运行以下命令。
sudo rkhunter --help
