LKRG对正在运行的Linux内核进行检测，并希望能够及时响应对正在运行的进程用户id等凭证未经授权的修改(完整性检查)。对于进程凭据，LKRG尝试检测漏洞，并在内核根据未经授权的凭据授予访问权限(例如打开文件)之前采取行动。Juho Junnila的论文题为“Linux Rootkit检测工具的有效性”，显示了LKRG可以作为有效的内核Rootkit检测器。LKRG挫败了许多预先存在的Linux内核漏洞的利用，并且很可能会检测并防御许多未来没有特意试图绕过LKRG的利用(包括未知的漏洞)。虽然LKRG在设计上是可以绕过的，但这种绕过需要更复杂和/或更不可靠的漏洞。

三、LKRG流程

为了跟踪正在运行的内核，LKRG创建了一个数据库，其中包含关于系统及其上运行的内核的各种类型信息的散列。它跟踪系统中可用的和活动的cpu，以及它们的中断描述符表(idt)和特定于模型的寄存器(MSRs)的位置和内容。由于插入(或从系统中拔出)的cpu数量的变化，内核可能会修改自己，所以LKRG必须准备好根据这些事件重新计算一些哈希值。

LKRG除了跟踪内核.text、.rodata和异常向量表之外，也会跟踪每个加载的内核模块，包括它的struct模块指针、名称、.text的大小和哈希值等信息，以及模块特定的信息。为了检测修改，需要定期验证存储的值。这是通过许多机制实现的：

1. 首先是定时检查计时器，检测周期可以通过sysctl接口设置；

2. 当检测到模块加载或cpu热插拔活动，并且可以通过另一个sysctl手动触发时，它也会运行该检查；

3. 系统中的其他事件(例如CPU空闲、网络活动、USB更改等)将触发验证，尽管只有一定百分比的时间来降低性能影响。例如，CPU空闲将触发0.005%的时间验证，而USB更改将触发50%的时间验证；

所有这些都是为了保护运行时内核本身的完整性，但漏洞利用通常会针对系统上运行的进程，以提高特权等，这些信息保存在内核的内存中。因此LKRG还会跟踪每个进程的一系列不同属性，并维护自己的任务列表，用于验证内核的列表。如果两个进程发生分歧，则终止受影响的进程，目的是在被漏洞利用差异之前进行防御。

LKRG跟踪的目标包括task属性，如task_struct的地址、进程名称和ID、cred和real_cred凭据结构的地址、与之关联的各种用户和组ID、SELinux设置以及seccomp配置。所有这些信息在每次系统调用(例如setuid()， execve())或系统中发生其他事件(例如，在打开文件之前检查权限)时被验证。此外，每次运行内核验证时都要执行进程列表验证。每次都要验证所有进程，而不仅仅是进行系统调用的进程，任何差异都会导致终止有差异的进程。

LKRG测试了一些已知内核漏洞 (如CVE-2014-9322, CVE-2017-6074)，性能的影响约为6.5%。

四、LKRG防御种类

非法提权（Illegal Elevation of Privileges）

1. Token / pointer swapping

2. 非法调用comit_creds()

3. 覆写cred/read_cred结构体

沙箱逃逸

1. Namespace逃逸

2. 容器逃逸

五、绕过LKRG防御

为了说明LKRG的漏洞检测能力，在对发行版内核的测试中，LKRG成功检测到CVE-2014-9322 (badret)、CVE-2017-5123 (waitid(2) missing access_ok)、CVE-2017-6074(在DCCP协议中使用后free)的某些预先存在的漏洞。

但是，它无法检测到CVE-2016-5195 (Dirty COW)的漏洞，因为这些漏洞直接针对用户空间，即使是通过内核来进行操作。在Dirty COW中，LKRG的“绕过”是由于漏洞的性质和利用它的方式，这也是未来利用类似的直接针对用户空间绕过LKRG的一种方式。

从检测端避开LKRG:

1. 覆盖LKRG不保护的关键元数据

2. 将攻击移动到用户空间

3. 赢得竞态

从正面攻击LKRG角度：

1. 攻击LKRG内部的同步机制和锁机制

2. 找到LKRG所有的上下文并禁用它们

3. 通过内核直接攻击用户空间(如DirtyCOW)

六、增强LKRG防御

root@ubuntu:~/lkrg# sysctl -a|grep lkrglkrg.block_modules = 0lkrg.heartbeat = 0lkrg.hide = 0lkrg.interval = 15lkrg.kint_enforce = 2lkrg.kint_validate = 3lkrg.log_level = 3lkrg.msr_validate = 1lkrg.pcfi_enforce = 1lkrg.pcfi_validate= 2lkrg.pint_enforce = 1lkrg.pint_validate= 3lkrg.profile_enforce = 2lkrg.profile_validate = 9lkrg.smap_enforce = 2lkrg.smap_validate= 1lkrg.smep_enforce = 2lkrg.smep_validate = 1lkrg.trigger = 0lkrg.umh_enforce = 1lkrg.umh_validate = 1

		

			


		
七、结论