Linux 取证135 条

rootkit 查杀工具使用要点

chkrootkit 与 rkhunter 通过特征比对检查常见 rootkit 痕迹，适合做初筛；结果中的警告项需要人工复核，不能直接当结论。

工具	chkrootkit、rkhunter
日志	/var/log/chkrootkit/、/var/log/rkhunter.log

运行

chkrootkit -q 2>&1 | tee /mnt/evidence/chkrootkit.txt
rkhunter --check --sk --logfile /mnt/evidence/rkhunter.log

工具在疑似被控主机上运行可能被规避或触发对抗，采集顺序上先做易失性数据留存。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌