LKRG對正在運(yùn)行的Linux內(nèi)核進(jìn)行檢測，并希望能夠及時響應(yīng)對正在運(yùn)行的進(jìn)程用戶id等憑證未經(jīng)授權(quán)的修改(完整性檢查)。對于進(jìn)程憑據(jù)，LKRG嘗試檢測漏洞，并在內(nèi)核根據(jù)未經(jīng)授權(quán)的憑據(jù)授予訪問權(quán)限(例如打開文件)之前采取行動。Juho Junnila的論文題為“Linux Rootkit檢測工具的有效性”，顯示了LKRG可以作為有效的內(nèi)核Rootkit檢測器。LKRG挫敗了許多預(yù)先存在的Linux內(nèi)核漏洞的利用，并且很可能會檢測并防御許多未來沒有特意試圖繞過LKRG的利用(包括未知的漏洞)。雖然LKRG在設(shè)計上是可以繞過的，但這種繞過需要更復(fù)雜和/或更不可靠的漏洞。

三、LKRG流程

為了跟蹤正在運(yùn)行的內(nèi)核，LKRG創(chuàng)建了一個數(shù)據(jù)庫，其中包含關(guān)于系統(tǒng)及其上運(yùn)行的內(nèi)核的各種類型信息的散列。它跟蹤系統(tǒng)中可用的和活動的cpu，以及它們的中斷描述符表(idt)和特定于模型的寄存器(MSRs)的位置和內(nèi)容。由于插入(或從系統(tǒng)中拔出)的cpu數(shù)量的變化，內(nèi)核可能會修改自己，所以LKRG必須準(zhǔn)備好根據(jù)這些事件重新計算一些哈希值。

LKRG除了跟蹤內(nèi)核.text、.rodata和異常向量表之外，也會跟蹤每個加載的內(nèi)核模塊，包括它的struct模塊指針、名稱、.text的大小和哈希值等信息，以及模塊特定的信息。為了檢測修改，需要定期驗證存儲的值。這是通過許多機(jī)制實現(xiàn)的：

1. 首先是定時檢查計時器，檢測周期可以通過sysctl接口設(shè)置；

2. 當(dāng)檢測到模塊加載或cpu熱插拔活動，并且可以通過另一個sysctl手動觸發(fā)時，它也會運(yùn)行該檢查；

3. 系統(tǒng)中的其他事件(例如CPU空閑、網(wǎng)絡(luò)活動、USB更改等)將觸發(fā)驗證，盡管只有一定百分比的時間來降低性能影響。例如，CPU空閑將觸發(fā)0.005%的時間驗證，而USB更改將觸發(fā)50%的時間驗證；

所有這些都是為了保護(hù)運(yùn)行時內(nèi)核本身的完整性，但漏洞利用通常會針對系統(tǒng)上運(yùn)行的進(jìn)程，以提高特權(quán)等，這些信息保存在內(nèi)核的內(nèi)存中。因此LKRG還會跟蹤每個進(jìn)程的一系列不同屬性，并維護(hù)自己的任務(wù)列表，用于驗證內(nèi)核的列表。如果兩個進(jìn)程發(fā)生分歧，則終止受影響的進(jìn)程，目的是在被漏洞利用差異之前進(jìn)行防御。

LKRG跟蹤的目標(biāo)包括task屬性，如task_struct的地址、進(jìn)程名稱和ID、cred和real_cred憑據(jù)結(jié)構(gòu)的地址、與之關(guān)聯(lián)的各種用戶和組ID、SELinux設(shè)置以及seccomp配置。所有這些信息在每次系統(tǒng)調(diào)用(例如setuid()， execve())或系統(tǒng)中發(fā)生其他事件(例如，在打開文件之前檢查權(quán)限)時被驗證。此外，每次運(yùn)行內(nèi)核驗證時都要執(zhí)行進(jìn)程列表驗證。每次都要驗證所有進(jìn)程，而不僅僅是進(jìn)行系統(tǒng)調(diào)用的進(jìn)程，任何差異都會導(dǎo)致終止有差異的進(jìn)程。

LKRG測試了一些已知內(nèi)核漏洞 (如CVE-2014-9322, CVE-2017-6074)，性能的影響約為6.5%。

四、LKRG防御種類

非法提權(quán)（Illegal Elevation of Privileges）

1. Token / pointer swapping

2. 非法調(diào)用comit_creds()

3. 覆寫cred/read_cred結(jié)構(gòu)體

沙箱逃逸

1. Namespace逃逸

2. 容器逃逸

五、繞過LKRG防御

為了說明LKRG的漏洞檢測能力，在對發(fā)行版內(nèi)核的測試中，LKRG成功檢測到CVE-2014-9322 (badret)、CVE-2017-5123 (waitid(2) missing access_ok)、CVE-2017-6074(在DCCP協(xié)議中使用后free)的某些預(yù)先存在的漏洞。

但是，它無法檢測到CVE-2016-5195 (Dirty COW)的漏洞，因為這些漏洞直接針對用戶空間，即使是通過內(nèi)核來進(jìn)行操作。在Dirty COW中，LKRG的“繞過”是由于漏洞的性質(zhì)和利用它的方式，這也是未來利用類似的直接針對用戶空間繞過LKRG的一種方式。

從檢測端避開LKRG:

1. 覆蓋LKRG不保護(hù)的關(guān)鍵元數(shù)據(jù)

2. 將攻擊移動到用戶空間

3. 贏得競態(tài)

從正面攻擊LKRG角度：

1. 攻擊LKRG內(nèi)部的同步機(jī)制和鎖機(jī)制

2. 找到LKRG所有的上下文并禁用它們

3. 通過內(nèi)核直接攻擊用戶空間(如DirtyCOW)

六、增強(qiáng)LKRG防御

root@ubuntu:~/lkrg# sysctl -a|grep lkrglkrg.block_modules = 0lkrg.heartbeat = 0lkrg.hide = 0lkrg.interval = 15lkrg.kint_enforce = 2lkrg.kint_validate = 3lkrg.log_level = 3lkrg.msr_validate = 1lkrg.pcfi_enforce = 1lkrg.pcfi_validate= 2lkrg.pint_enforce = 1lkrg.pint_validate= 3lkrg.profile_enforce = 2lkrg.profile_validate = 9lkrg.smap_enforce = 2lkrg.smap_validate= 1lkrg.smep_enforce = 2lkrg.smep_validate = 1lkrg.trigger = 0lkrg.umh_enforce = 1lkrg.umh_validate = 1

		

			


		
七、結(jié)論