通过分析sys_getdents64代码的实现，我们可以了解到通过hook内核函数的方法，来完成rootkit的功能是很简单和方便的。 关键你能了解它的实现逻辑。 对linux平台来说，阅读内核源代码是开发rootkit的根本。 如何hook？ 最简单的就是修改函数的前几个字节，jmp到我们的新函数中去， 在新函数完成类似函数的功能。 根本不必在跳回原函数了， 有了内核源代码在手，原函数怎么实现，我们就怎么copy过去给它在实现一次。 所在linux实现rk也有很方便的一点，就是它的内核源代码是公开的， 好好阅读源代码吧， 你会有更多的收获。
Author: wzt
EMail: wzt@xsec.org
Site: &
Date: 2008-9-23