| 命令 | lsmod / modinfo / cat /proc/sys/kernel/tainted |
|---|---|
| 线索 | 非发行版模块、路径异常、加载时间 |
核查
核查
lsmod | head -20
cat /proc/sys/kernel/tainted
modinfo <模块名> | grep -E 'filename|version'tainted 非 0 表示内核已加载非 GPL 或树外模块，需要逐项解释来源。
内核模块与 taint 状态核查
内核模块可以隐藏进程、网络与文件；lsmod 列出已加载模块，配合 taint 标记与模块路径时间可发现非发行版来源的模块。
易错点
- 业务驱动与安全产品也会导致 taint，属正常基线的一部分
- rootkit 可能从模块列表隐藏自身，需结合 /sys/module 交叉验证
数据来源与参考
- Linux 内核文档（tainted kernels）
- man 8 lsmod（kmod）