HORSE PILL--一種新型的linux rootkit

資料

ppt：https://www.blackhat.com/docs/us-16/materials/us-16-Leibowitz-Horse-Pill-A-New-Type-Of-Linux-Rootkit.pdf

github：https://github.com/r00tkillah/HORSEPILL

介紹

先看一下linux啓動過程，網上抄來的一張圖

問題就在ramdisk啓動init進程的時候，插入惡意代碼

本來ramdisk的運行邏輯應該是這樣，加載驅動，掛載根文件系統，而後去啓動根文件系統的init進程：

在這個邏輯之上，讓init進程運行在新建的容器以內，邏輯成爲這樣

這樣，在容器內的進程就看不到主機系統了