Linux中工具rootkit的chkrootkit的缺点是什么？

chkrootkit在检查rootkit的过程中使用了部分系统命令，因此，如果服务器被黑客入侵，那么依赖的系统命令可能也已经被入侵者替换，此时chkrootkit的检测结果将变得完全不可信。为了避免chkrootkit的这个问题，可以在服务器对外开放前，事先将chkrootkit使用的系统命令进行备份，在需要的时候使用备份的原始系统命令让chkrootkit对rootkit进行检测。这个过程可以通过下面的操作实现：　　

　　　　[root@server ~]# mkdir /usr/share/.commands 　　　　[root@server ~]# cp which --skip-alias awk cut echo find egrep id head ls netstat ps strings sed uname /usr/share/.commands 　　　　[root@server ~]# /usr/local/chkrootkit/chkrootkit -p /usr/share/.commands/ 　　　　[root@server share]# cd /usr/share/ 　　　　[root@server share]# tar zcvf commands.tar.gz .commands 　　　　[root@server share]# rm -rf commands.tar.gz

　　上面这段操作是在/usr/share/下建立了一个.commands隐藏文件，然后将chkrootkit使用的系统命令进行备份到这个目录下。为了安全起见，可以将.commands目录压缩打包，然后下载到一个安全的地方进行备份，以后如果服务器遭受入侵，就可以将这个备份上传到服务器任意路径下，然后通过chkrootkit命令的“-p”参数指定这个路径进行检测即可。