如何检测基于rootkit的linux内核模块？

Question

我发现这个小型rootkit源代码是作为Linux内核模块实现的。

https://github.com/mfontanini/Programs-Scripts/tree/master/rootkit

基本上，如您所见，它从inode文件中更改file_operations结构，并覆盖readdir函数以避免ls和lsmod。

在这种情况下，如何才能检测到这个rootkit？

Answer 1

查看proc/kallsyms它包含大多数内核符号，并随着LKM的添加而动态更新。