标签： Rootkit猎手

rkhunter（Rootkit猎手）安装使用

一、rkhunter简介：

1、中文名叫”Rootkit猎手”,

rkhunter是Linux系统平台下的一款开源入侵检测工具，具有非常全面的扫描范围，除了能够检测各种已知的rootkit特征码以外，还支持端口扫描、常用程序文件的变动情况检查。

2、rootkit是什么？

rootkit是Linux平台下最常见的一种木马后门工具，它主要通过替换系统文件来达到入侵和和隐蔽的目的，这种木马比普通木马后门更加危险和隐蔽，普通的检测工具和检查手段很难发现这种木马。rootkit攻击能力极强，对系统的危害很大，它通过一套工具来建立后门和隐藏行迹，从而让攻击者保住权限，以使它在任何时候都可以使用root 权限登录到系统。

3、rootkit主要有两种类型：文件级别和内核级别。

文件级别的rootkit: 一般是通过程序漏洞或者系统漏洞进入系统后，通过修改系统的重要文件来达到隐藏自己的目的。在系统遭受rootkit攻击后，合法的文件被木马程序替代，变成了外壳程序，而其内部是隐藏着的后门程序。通常容易被rootkit替换的系统程序有login、ls、ps、ifconfig、du、find、netstat等。文件级别的rootkit，对系统维护很大，目前最有效的防御方法是定期对系统重要文件的完整性进行检查，如Tripwire、aide等。

内核级rootkit: 是比文件级rootkit更高级的一种入侵方式，它可以使攻击者获得对系统底层的完全控制权，此时攻击者可以修改系统内核，进而截获运行程序向内核提交的命令，并将其重定向到入侵者所选择的程序并运行此程序。内核级rootkit主要依附在内核上，它并不对系统文件做任何修改。以防范为主。

二、在Linux系统中安装rkhunter

1、下载rkhunter

wget http://jaist.dl.sourceforge.net/project/rkhunter/rkhunter/1.4.6/rkhunter-1.4.6.tar.gz

2、安装rkhunter

sudo tar -zxf rkhunter-1.4.6.tar.gz 

cd rkhunter-1.4.6

sudo ./installer.sh --install

3、为基本系统程序建立校对样本

taiji@taiji:~/rkhunter-1.4.6$ sudo rkhunter --propupd
[ Rootkit Hunter version 1.4.6 ]
File created: searched for 181 files, found 145

4、在线升级rkhunter

rkhunter是通过一个含有rootkit名字的数据库来检测系统的rootkits漏洞, 所以经常更新该数据库非常重要, 你可以通过下面命令来更新该数据库:

sudo rkhunter --update

三、rkunter使用

常用参数列表
参数 含义
-c, –check 必选参数，表示检测当前系统
–configfile 使用特定配置文件
–cronjob 作为cron任务定期运行
–sk, –skip-keypress 自动完成所有检测，跳过键盘输入
–summary 显示检测结果的统计信息
–update 检测更新内容
-V, –version 显示版本信息
–versioncheck 检测最新版本
–propupd [file | directory ] 建立样本文件，建议安装完系统就建立

1、运行rkhunter检查系统，它主要执行下面一系列的测试:

  1. MD5校验测试, 检测任何文件是否改动.
  2. 检测rootkits使用的二进制和系统工具文件.
  3. 检测特洛伊木马程序的特征码.
  4. 检测大多常用程序的文件异常属性.
  5. 执行一些系统相关的测试 – 因为rootkit hunter可支持多个系统平台.
  6. 扫描任何混杂模式下的接口和后门程序常用的端口.
  7. 检测如/etc/rc.d/目录下的所有配置文件, 日志文件, 任何异常的隐藏文件等等. 例如, 在检测/dev/.udev和/etc/.pwd.lock文件时候, 我的系统被警告.
  8. 对一些使用常用端口的应用程序进行版本测试. 如: Apache Web Server, Procmail等.

2、执行检测命令：

sudo rkhunter --check

如果您不想要每个部分都以 Enter 来继续，想要让程序自动持续执行，可以使用：

sudo rkhunter --check --sk

3、命令中的-check选项告诉命令扫描系统，-sk选项会跳过选项按回车键继续扫描，-rwo则是在扫描系统后只显示警告信息：

taiji@taiji:~/rkhunter-1.4.6$ sudo rkhunter --check --rwo
Warning: The command '/usr/sbin/adduser' has been replaced by a script: /usr/sbin/adduser: Perl script text executable
Warning: The command '/usr/bin/egrep' has been replaced by a script: /usr/bin/egrep: POSIX shell script, ASCII text executable
Warning: The command '/usr/bin/fgrep' has been replaced by a script: /usr/bin/fgrep: POSIX shell script, ASCII text executable
Warning: The command '/usr/bin/ldd' has been replaced by a script: /usr/bin/ldd: Bourne-Again shell script, ASCII text executable
Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: Perl script text executable
Warning: The command '/usr/bin/which.debianutils' has been replaced by a script: /usr/bin/which.debianutils: POSIX shell script, ASCII text executable
Warning: The following processes are using suspicious files:
         Command: cupsd
           UID: 0    PID: 1824
           Pathname: 
           Possible Rootkit: Spam tool component
         Command: snapd-desktop-i
           UID: 1000    PID: 3591
           Pathname: 
           Possible Rootkit: Spam tool component
         Command: snapd-desktop-i
           UID: 1000    PID: 3675
           Pathname: 
           Possible Rootkit: Spam tool component
         Command: snapd-desktop-i
           UID: 3676    PID: 3675
           Pathname: 7526
           Possible Rootkit: Spam tool component
         Command: snapd-desktop-i
           UID: 3677    PID: 3675
           Pathname: 7526
           Possible Rootkit: Spam tool component
         Command: snapd-desktop-i
           UID: 3678    PID: 3675
           Pathname: 7526
           Possible Rootkit: Spam tool component
Warning: Hidden file found: /etc/.resolv.conf.systemd-resolved.bak: ASCII text

4、扫描完成后可以查看以下路径中的日志查看警告。

sudo cat /var/log/rkhunter.log

5、有关更多信息和选项，请运行以下命令。

sudo rkhunter --help