Barrapunto

Ya lo hice. ;)

Pues yo creo que no. Porque para decir que algo que corre en modo núcleo puede hacer lo que quiera, ya lo sabemos todos y no hace falta el ring 0 nada más que para tu gloria personal. Con el modo real 8086 del micro también tienes lo mismo y existen SO no muy lejanos que lo hacían.

como prueba que sí me leo el código fuente del núcleo linux

Gracias por explicarme como funcionan los rootkits.

demás con windows no porque no tienes acceso a las estructuras de base.

Anda y comprate libros de windows, de un tal Russinovich, que ese mito ya cayó.

Por eso, deberías usar snort o tripwire (si todavía existe) para comprobar la integridad de los ficheros de tu sistema.

Ahora volvemos a la noticia, y al hecho. El hecho de tener el código fuente no garantiza nada. Con tener el diseño es suficiente.

Y confiar en la fiabilidad de un SO monolítico como linux comparandolo con otro similar como windows cuanto menos un disparate.

Y es que el opensource puede producir ideas muy buenas, y otras no tan buenas.

Leete un poco a Minix3, y verás de lo que hablo.

Con el modo real 8086 del micro también tienes lo mismo y existen SO no muy lejanos que lo hacían.

Lástima que los sistemas operativos (todos salvo msdos) no usen el modo real sino el protegido (que es donde existen los rings).

Anda y comprate libros de windows, de un tal Russinovich, que ese mito ya cayó.

Mándamelo por correo o cuélgalo en algún lado y a lo mejor hasta me lo leo. Si no has depurado en tu vida memoria dudo que sepas que lo único que encontrarás son cadenas de bytes sin nada más y que si no sabes como están conformadas las estructuras y si los componentes de dichas estructuras son de tipo int, long, char etc es prácticamente imposible reconstruirlas, además a cada actualización del núcleo eso cambia.

Primero haz un análisis forense y luego habla.

Por eso, deberías usar snort o tripwire (si todavía existe) para comprobar la integridad de los ficheros de tu sistema.

Sigues sin saber de lo que hablas un rootkit en ring 0 te permite no tener que modificar binarios en espacio de usuario, en efecto tripwire no vería nada extraño. A snort se le podría engañar fácilmente sacando la conexión del tcp_hash pero permaneciendo intacta la conexión en sí pero siendo perfectamente invisible a nivel local.