中国DOS联盟

一. 何谓 rootkit ?
在说明什么是 rootkit 之前, 要先说明, 什么是 trojaned system commands ?
trojaned system commands 中文或可译为 "特洛伊木马程序" (或, 特洛伊系统指令).
相信大家都应该知道 "特洛伊木马屠城记" 这个典故吧?!
凡是, 在表面上, 伪装成正常的程序, 而实际上, 却偷偷地, 把正常的程序换掉, 并留下一些特殊的系统后门, 以方便往后, 可以在暗地里控制主机运作, 或进行破坏行为的程序, 我们就说, 这是一种特洛伊木马程序, 俗称: 后门程序(backdoor) 或木马程序(trojan).
当系统中, 隐藏着这种程序时, 我们称之为: 中了木马.
木马程序的来源, 大概可分为以下几种:
1. 系统被入侵(root-compromise), 遭 cracker 植入
2. 中了主机系统中, 某位一般权限使用者精心设计的陷井
3. 执行了来路不明的程序
4. 安装了被窜改过的程序套件
5. 被 network worm (网络蠕虫) 感染.
而其中, 又以: 系统被入侵, 感染蠕虫, 执行来路不明的程序, 这三者, 最为常见.
以系统入侵而言, 大部份的 cracker, 在攻入某一部主机之后, 并不会做出, 立即而明显的破坏, 只有下下品的黑客, 或急于炫耀自己, 假装自己, 或满足自己就是黑客一族的 script kids, 才会如此.
(实际上, 这些家伙, 并不是真正的黑客, 仅是捡人现成的工具, 对有漏洞的主机, 进行攻击行为)
通常, 他们会安装数支木马程序, 把正常的程序给换掉, 让系统运作时, 尽量不出现任何异状, 然后, 留下方便的后门, 供往后自由进出, 接着, 他们会在清除留下的痕迹(如记录文件, 指令历史文件) 之后, 悄然地离去. 等到哪天, 需要这部主机的资源时, 它会再进来.....
(上上品的黑客, 不会对系统做任何改变, 并且会通知站主, 该站那些有漏洞? 甚至会帮忙站主, 把漏洞补起来, 而且, 通常的名义是: 教育实验性质, 他们比较在意: 是否能获取黑客社群的敬重和地位)
所谓 rootkit, 就是有心人士, 整理这些常用的木马程序, 做成一组程序套件, 以方便 cracker 攻入主机时, 在受害的主机上, 顺利地编译和安装木马程序.