ROOTKITS是计算机安全领域中的一个关键话题，尤其在Windows操作系统环境下。Rootkit是一种恶意软件，设计用于隐藏其存在并控制目标系统，通常通过侵入系统内核来实现。本资源"ROOTKITS——Windows内核的安全防护"的配套光盘，提供了深入探讨rootkit技术和如何防御它们的专业知识。 我们要理解Windows内核的角色。内核是操作系统的核心部分，它管理硬件资源，调度进程，以及提供系统服务。由于内核拥有最高级别的权限，任何在内核层面上运行的代码都有可能对系统造成广泛的影响。Rootkit通过植入内核，能够避开常规的安全检查，使得攻击者能持久地控制系统而不被察觉。 在描述中提到的书籍《ROOTKITS——Windows内核的安全防护》，很可能是详细讲解了rootkit的工作原理、检测方法以及防范策略。这包括但不限于： 1. **Rootkit分类**：根据其工作层次，rootkit可以分为用户模式rootkit和内核模式rootkit。前者在用户空间运行，而后者则直接操作内核，因此更难以检测和移除。 2. **Rootkit技术**：书中可能会介绍rootkit如何隐藏进程、文件、网络连接等，以及如何修改系统调用来规避监控。 3. **检测技术**：学习如何使用工具和方法（如内存分析、行为基线比较、系统日志分析等）来发现rootkit的存在。 4. **防御策略**：这包括系统加固，例如最小权限原则、更新补丁、使用安全软件等。此外，也会涉及入侵检测系统（IDS）和入侵预防系统（IPS）的应用。 5. **应急响应与清除**：一旦发现rootkit，如何制定应急计划，安全地移除恶意代码，以及修复被篡改的系统状态。 6. **案例分析**：通过真实世界的案例，了解rootkit是如何被利用的，以及这些攻击如何被发现和阻止。 7. **法律与合规性**：讨论在处理rootkit时的法律问题，以及如何符合行业标准和法规要求。 8. **最新趋势与研究**：rootkit技术持续进化，书中的内容可能会涵盖最新的研究进展和未来可能出现的威胁。 这个配套光盘可能包含相关的工具、实用程序、示例代码或实验环境，供读者实践所学知识，加深理解。通过实际操作，读者可以更好地掌握rootkit的检测和防御技巧。 "ROOTKITS——Windows内核的安全防护"的配套光盘为IT专业人员提供了一个全面的平台，以深入学习rootkit技术，提升系统安全防护能力，对抗日益复杂的网络安全威胁。无论是对个人还是组织，理解和掌握这些知识都是保障网络安全不可或缺的一部分。

这是我学习rootkit攻击时候选的 几篇比较好的资料，有助于深入理解和学习rootkit攻击的原理。

Rootkit：系统灰色地带的潜伏者 第2版 中文.part3.rar 还有part1 和 part2， 需要全部下载才能解压，由于等级低，只能上传小于60MB 的资料，所以分开了。

Rootkit：系统灰色地带的潜伏者 第2版 中文.part1.rar 还有part1 和 part3， 需要全部下载才能解压，由于等级低，只能上传小于60MB 的资料，所以分开了。

Rootkit：系统灰色地带的潜伏者 第2版 中文.part1.rar 还有part2 和 part3， 需要全部下载才能解压，由于等级低，只能上传小于60MB 的资料，所以分开了。

13 套ROOTKITS源码—Windows内核的安全防护

chkrootkit是一个Linux系统下的查找检测rootkit后门的工具

碎纸机 Brokepkg是Linux Kernels 2.6.x / 3.x / 4.x / 5.x和ARM64的LKM rootkit，在内核5.7之后支持，没有kallsyms_lookup_name 。 经过测试 Kali Linux ：5.10.0-kali3-amd64 Linux薄荷：4.19.0-8-amd64 特征 通过发送信号63隐藏/取消隐藏任何进程； 发送信号31（到任何PID）使模块变为（不可见）； 发送信号64（到任何pid）使给定的用户成为root； 以PREFIX开头的文件或目录不可见； 安装 sudo apt install build-essential libncurses-dev linux-headers- $( uname -r ) git clone https://github.com/R3tr074/brokepkg cd brok

D:. │ Read me.txt │ 目录里面的文件.txt │ └─Rootkit ├─1。 内核hook │ ├─1）object hook │ │ 1）object hook.doc │ │ │ ├─2）ssdt hook │ │ 2）ssdt hook.doc │ │ SSDT Hook的妙用－对抗ring0 inline hook .doc │ │ swk0207.rar │ │ │ ├─3）inline-hook │ │ 360SuperKill学习之--恢复FSD的IRP处理函数.doc │ │ 3）inline-hook.doc │ │ cnnic.rar │ │ ExpLookupHandleTableEntry.rar │ │ ExpLookupHandleTableEntry2.rar │ │ kill_SecuritySoftware.rar │ │ PsLookupProcessByProcessId执行流程学习笔记.doc │ │ 句柄啊，3层表啊，ExpLookupHandleTableEntry啊.doc │ │ 干掉KV 2008, Rising等大部分杀软.doc │ │ 搜索未导出的函数地址.doc │ │ │ ├─4）idt hook │ │ bhwin_keysniff.rar │ │ IDT Hook .doc │ │ │ ├─5）IRP hook │ │ 5）IRP hook.doc │ │ irphook1.rar │ │ irphook2.rar │ │ irphook3.rar │ │ │ ├─6）SYSENTER hook │ │ 6）SYSENTER hook.doc │ │ SysEnterHook.rar │ │ │ ├─7）IAT HOOK │ │ 7）IAT HOOK.doc │ │ HybridHook.rar │ │ testtest.rar │ │ │ └─8）EAT HOOK │ 8）EAT HOOK.doc │ 利用导出表来禁止一些驱动程序的加载.doc │ 导出表钩子.rar │ ├─2。保护模式篇章第一部分： ring3进ring0之门 │ ├─1)通过调用门访问内核 │ │ 1)通过调用门访问内核.doc │ │ myCallGate.rar │ │ test.rar │ │ │ ├─2)通过中断门访问内核 │ │ 2)通过中断门访问内核.doc │ │ myIntGate.rar │ │ │ ├─3)通过任务门访问内核 │ │ 3)通过任务门访问内核.doc │ │ MyTaskGate.rar │ │ │ └─4)通过陷阱门访问内核 │ 4)通过陷阱门访问内核.doc │ exe.rar │ src.rar │ ├─3。保护模式篇章第二部分：windows分页机制 │ 1）windows分页机制.doc │ ├─4。保护模式篇章第三部分：直接访问硬件 │ ├─1）修改iopl，ring3直接访问硬件 │ │ 1）修改iopl，ring3直接访问硬件.doc │ │ drv.rar │ │ exe.rar │ │ │ ├─2）追加tss默认IO许可位图区域 │ │ 2）追加tss默认IO许可位图区域.doc │ │ drv.rar │ │ │ └─3）更改tss IO许可位图指向 │ 3）更改tss IO许可位图指向.doc │ modifyiopmbase.rar │ porttalk.rar │ ├─5。detour 修改函数执行路径，可用于对函数的控制流程进行重定路径。 │ └─1）detour补丁 │ 1）detour补丁.doc │ Inline HOOK SeSinglePrivilegeCheck.rar │ ├─6. 隐身术 │ ├─1）文件隐藏 │ │ 1）文件隐藏.doc │ │ │ ├─2）进程隐藏 │ │ 2）进程隐藏.doc │ │ │ ├─3）注册表键值隐藏 │ │ 3）注册表键值隐藏.doc │ │ BypassRegMon.rar │ │ BypassRegMon2[1].idb.rar │ │ BypassRegMon_src.rar │ │ drv.rar │ │ HIVE文件读写.rar │ │ HIVE格式.rar │ │ HIVE格式解析.doc │ │ 注册表监控弱点演示程序 v0.2 逆向ASM源码及相关资料.doc │ │ │ ├─4）驱动隐藏 │ │ 4）驱动隐藏.doc │ │ │ ├─5）进程中dll模块隐藏 │ │ 5）进程中dll模块隐藏.doc │ │ │ ├─6）更绝的隐藏进程中的dll模块，绕过IceSword的检测 │ │ 6）更绝的隐藏进程中的dll模块，绕过IceSword的检测.doc │ │ │ └─7）端口隐藏 │ 7）端口隐藏.doc │ ├─7。ring0中调用ring3程序 │ ├─1) apc方式 │ │ 1) apc方式 .doc │ │ KernelExec.rar │ │ │ └─2) deviceiocontrol 方式 ├─8。进程线程监控 │ ├─1）监控进程创建 │ │ 1）监控进程创建.doc │ │ protect.rar │ │ │ ├─2）杀线程 │ │ 2）杀线程.doc │ │ │ └─3）保护进程和屏蔽文件执行 │ 3）保护进程和屏蔽文件执行 .doc │ sysnap.rar │ └─9。其他 ├─10）另一种读写进程内存空间的方法 │ 10）另一种读写进程内存空间的方法.doc │ ├─11）完整驱动感染代码 │ 11）完整驱动感染代码.doc │ 驱动感染成功[1].V 1.0.080528_sudami.rar │ ├─12）Hook Shadow SSDT │ 12）Hook Shadow SSDT.doc │ HookShadowSSDT.rar │ ├─13）ring0检测隐藏进程 │ 13）ring0检测隐藏进程.doc │ Ring0下搜索内存枚举隐藏进程.doc │ ├─1）获取ntoskrnl.exe模块地址的几种办法 │ 1）获取ntoskrnl.exe模块地址的几种办法.doc │ ├─2）驱动感染技术扫盲 │ 2）驱动感染技术扫盲.doc │ InfectDriver.rar │ ├─3）shadow ssdt学习笔记 │ 3）shadow ssdt学习笔记.doc │ ├─4）高手进阶windows内核定时器之一 │ 4）高手进阶windows内核定时器之一.doc │ WorkItem.rar │ ├─5）高手进阶windows内核定时器之二 │ 5）高手进阶windows内核定时器之二.doc │ TimerWorks.rar │ ├─6）运行期修改可执行文件的路径和Command Line │ 6）运行期修改可执行文件的路径和Command Line.doc │ ImgPathChanger.rar │ ├─7）查找隐藏驱动 │ 7）查找隐藏驱动.doc │ ├─8）装载驱动的几种办法 │ 8内核模式下装载驱动和原生态应用程序.pdf │ 8）装载驱动的几种办法.doc │ Loading drivers and Native applications from kernel mode, withou t touching registry.rar │ └─9）内核中注入dll的一种流氓方法 9）内核中注入dll的一种流氓方法.doc Apc.rar

Rootkit是一种奇特的程序，它具有隐身功能：无论静止时（作为文件存在），还是活动时，（作为进程存在），都不会被察觉。换句话说，这种程序可能一直存在于我们的计算机中，但我们却浑然不知，这一功能正是许多人梦寐以求的——不论是计算机黑客，还是计算机取证人员。黑客可以在入侵后置入Rootkit，秘密地窥探敏感信息，或等待时机，伺机而动；取证人员也可以利用Rootkit实时监控嫌疑人员的不法行为，它不仅能搜集证据，还有利于及时采取行动。而本文的目的，就是同读者一起踏上Windows内核级Rootkit之旅！