Rootkit是一種特殊的惡意軟件，它的功能是在安裝目標(biāo)上隱藏自身及指定的文件、進(jìn)程和網(wǎng)絡(luò)鏈接等信息，比較多見(jiàn)到的是Rootkit一般都和木馬、后門(mén)等其他惡意程序結(jié)合使用。

在懸念迭起的中外諜戰(zhàn)片里，對(duì)戰(zhàn)雙方中的一派勢(shì)力通常會(huì)派遣特工人員潛伏到對(duì)手陣營(yíng)中。這名臥底人員良好的偽裝使得對(duì)手對(duì)此長(zhǎng)時(shí)間毫無(wú)察覺(jué)；為了能夠長(zhǎng)期潛伏他不貿(mào)然采取高風(fēng)險(xiǎn)行為以免過(guò)早暴露自己；他贏得敵人的信任并因此身居要職，這使得他能夠源源不斷地獲取重要情報(bào)并利用其獨(dú)特渠道傳送回去。

從某種意義上說(shuō)這位不速之客就是Rootkit——持久并毫無(wú)察覺(jué)地駐留在目標(biāo)計(jì)算機(jī)中，對(duì)系統(tǒng)進(jìn)行操縱、并通過(guò)隱秘渠道收集數(shù)據(jù)的程序。Rootkit的三要素就是：隱藏、操縱、收集數(shù)據(jù)。

“Rootkit”中root術(shù)語(yǔ)來(lái)自于unix領(lǐng)域。由于unix主機(jī)系統(tǒng)管理員賬號(hào)為root賬號(hào)，該賬號(hào)擁有最小的安全限制，完全控制主機(jī)并擁有了管理員權(quán)限被稱(chēng)為“root”了這臺(tái)電腦。然而能夠“root”一臺(tái)主機(jī)并不意味著能持續(xù)地控制它，因?yàn)楣芾韱T完全可能發(fā)現(xiàn)了主機(jī)遭受入侵并采取清理措施。因此Rootkit的初始含義就在于“能維持root權(quán)限的一套工具”。

簡(jiǎn)單地說(shuō)，Rootkit是一種特殊的惡意軟件，它的功能是在安裝目標(biāo)上隱藏自身及指定的文件、進(jìn)程和網(wǎng)絡(luò)鏈接等信息，比較多見(jiàn)到的是Rootkit一般都和木馬、后門(mén)等其他惡意程序結(jié)合使用。Rootkit通過(guò)加載特殊的驅(qū)動(dòng)，修改系統(tǒng)內(nèi)核，進(jìn)而達(dá)到隱藏信息的目的。

rootkit并不一定是用作獲得系統(tǒng)root訪(fǎng)問(wèn)權(quán)限的工具。實(shí)際上，rootkit是攻擊者用來(lái)隱藏自己的蹤跡和保留root訪(fǎng)問(wèn)權(quán)限的工具。通常，攻擊者通過(guò)遠(yuǎn)程攻擊獲得root訪(fǎng)問(wèn)權(quán)限，或者首先密碼猜測(cè)或者密碼強(qiáng)制破譯的方式獲得系統(tǒng)的訪(fǎng)問(wèn)權(quán)限。進(jìn)入系統(tǒng)后，如果他還沒(méi)有獲得root權(quán)限，再通過(guò)某些安全漏洞獲得系統(tǒng)的root權(quán)限。接著，攻擊者會(huì)在侵入的主機(jī)中安裝rootkit，然后他將經(jīng)常通過(guò)rootkit的后門(mén)檢查系統(tǒng)是否有其他的用戶(hù)登錄，如果只有自己，攻擊者就開(kāi)始著手清理日志中的有關(guān)信息。通過(guò)rootkit的嗅探器獲得其它系統(tǒng)的用戶(hù)和密碼之后，攻擊者就會(huì)利用這些信息侵入其它的系統(tǒng)。