Bellekte rootkit avı
Çekirdek düzeyinde saklanan kodu SSDT, IDT, geri çağırma ve modül listelerindeki tutarsızlıklardan yakalar, Linux’ta yüklenebilir çekirdek modülü rootkit’lerini bellek dökümünden tespit edersin.
Seviye 501 · 12 ders · 12 pratik lab
Dersler
Çekirdek ve gizlenme
- Analist için çekirdek: kullanıcı alanı, çekirdek alanı, sistem çağrısı
- Rootkit’ler nasıl saklanır: kanca, liste oynama, filtre
- Çapraz görünüm: iki farklı listeyi karşılaştırmak
- Kısa görev: modül listesi ile taramayı karşılaştırıp gizli modülü bul
Windows çekirdeği
- windows.ssdt ile sistem çağrısı kancaları
- windows.callbacks ve sürücü incelemesi: driverscan, modscan
- Sürücü IRP kancaları ve şüpheli imzasız sürücüler
- Kısa görev: kanca kuran sürücüyü bul ve diskteki karşılığını çıkar
Linux çekirdeği
- Linux çekirdek modülü rootkit’leri: lsmod’da görünmeyen modül
- linux.check_syscall ve linux.check_idt ile kancalar
- eBPF programlarının kötüye kullanımını bellekte görmek
- Bitirme görevi: bir sunucunun belleğinde gizlenen rootkit’i kanıtla ve temizleme planı çıkar
Pratik lablar
- İki süreç görünümünü karşılaştır: Liste ve tarama çıktılarını karşılaştır ve yalnızca birinde görünen girdiyi bul.
- Gizli modülü bul: Modül listesi ile modül taramasını karşılaştırarak gizlenen modülü belirle.
- Gizlenme yöntemini sınıflandır: Üç hazır dökümde gizlenmenin kanca, liste oynama ya da filtre ile yapıldığını kanıtlarıyla sınıflandır.
- Sistem çağrısı tablosunu denetle: windows.ssdt çıktısında çekirdek dışı bir modüle işaret eden girdileri listele.
- Geri çağrıları ve sürücüleri incele: callbacks, driverscan ve modscan ile tanınmayan sürücünün kaydettiği geri çağrıları bul.
- Kanca kuran sürücüyü bul ve diskte eşle: Kanca kuran imzasız sürücüyü belirle, bellekten dışa aktar ve diskteki dosyasıyla özetini karşılaştır.
- lsmod'da görünmeyen modülü ara: Linux dökümünde modül listesi ile gizli modül denetimini karşılaştır.
- Sistem çağrısı ve IDT kancalarını denetle: linux.check_syscall ve linux.check_idt ile değiştirilmiş girdileri ve işaret ettikleri adresi bul.
- Bellekte yüklü eBPF programlarını incele: Dökümde yüklü eBPF programlarını listele ve beklenen izleme programlarından ayrılan şüpheli olanı gerekçelendir.
- Bulguyu temiz referansla doğrula: Şüpheli çekirdek girdisini aynı sürümün temiz dökümüyle karşılaştır.
- Kanıt paketini hazırla: Gizli modül bulgusunu eklenti çıktıları, dışa aktarılan bölge ve özetlerle paketle.
- Kanıtla ve temizleme planı çıkar: Selvikent Belediyesi'nin hazır sunucu dökümünde gizlenen bileşeni kanıtla ve yeniden kurulum ile kimlik yenileme içeren plan yaz.
Kurs hakkında
Çekirdek düzeyinde saklanan kodu SSDT, IDT, geri çağırma ve modül listelerindeki tutarsızlıklardan yakalar, Linux’ta yüklenebilir çekirdek modülü rootkit’lerini bellek dökümünden tespit edersin.
Ne öğreneceksin
- Çekirdek ve gizlenme
- Windows çekirdeği
- Linux çekirdeği
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.