| 迹象 | lsmod 陌生模块、内核 taint、dmesg 异常 |
|---|---|
| 内核级 | 模块与 hook 难以保证清净 |
| 应用级 | 常规木马可按清除流程处理 |
| 顺序 | 保全数据与证据→重装→加固→恢复 |
检查内核态迹象
检查内核态迹象
lsmod | head -n 30
dmesg | grep -iE 'taint|module' | tail -n 20
cat /proc/sys/kernel/tainted现场清理的结论要写清「已清除可见部分」：没人能保证未发现的内核后门已消失。
rootkit 清除与重装判据
rootkit 处置的核心是判据：内核级污染（模块、hook）无法可靠清除时，重装优于现场清理。
易错点
- 依赖扫描工具下结论：rootkit 会对工具做规避
- 重装不换凭据：旧密钥与密码导致二次入侵
数据来源与参考
- NIST SP 800-61：恢复阶段决策
- chkrootkit / rkhunter 项目文档（初筛用途）