问题标签 [rootkit]

我问了一个问题，它引用了一种有时称为 ring -2（系统管理模式）的模式，可以利用它来创建 rootkit。甚至还有一个被称为 ring -3（英特尔管理引擎）的 rootkit 候选者。或者，此演示文稿解释了基于软件安装恶意UEFI DXE 驱动程序的 rootkit。

我问的那个问题的回答者基本上认为 0-3 以外的环是愚蠢的，不是真实的，并且系统管理模式只是real-mode。我试图验证这一点，但在任何关于实模式、系统管理模式、英特尔管理引擎或 UEFI 的 Wikipedia 条目中都没有提到它们是在实模式下运行还是在环 0 下运行。所以我正在尝试解决这些差异。

• UEFI DXE 驱动程序是在实模式下运行还是在环 0 下运行？
• 系统管理模式（“ring -2”）是在实模式还是 ring 0 下运行？
• 英特尔管理引擎（“ring -3”）是在实模式下运行还是在 ring 0 下运行？

我确实理解这些-2和-3模式不是真正的特权环，而是指获得的一些特殊特权，例如在-3的情况下在计算机断电时运行。我只是想澄清术语以及哪些事情以哪些特权运行。

当我在特定目录上运行 chkrootkit 时：

我得到了正确的输出，一切都很好。但是当我尝试将输出保存到文件时，如下所示：

我收到此错误：

我已经尝试过使用其他文件夹 - chkrootkit 命令运行良好，但每次我尝试将其保存到文件时它都不起作用。值得一提的是，sudo chkrootkit > /home/ubuntu/test.txt它工作正常。这意味着问题只是在更改根时。问题是，如何在更改根目录后保存 chkrootkit 输出的文件。

（我使用的是 ubuntu 20.04）