Исходное сообщение
"Хостинговая компания Hetzner уведомила клиентов о обнаружени..." Отправлено vle, 07-Июн-13 13:22
> А как происходит изменение процесса в памяти? Сегменты кода должны быть read-only. > Или все это дело живет внутри подгруженного модуля? например через область REL, в этой области хранятся адреса вызываемых из shared objects функций. Достаточно подменить адреса в этой области и будут вызываться твои функции, скажем, system(3) с нужными параметрами ;-). Гугли на предмет RELRO. Но если речь идет о rootkit-е, то там уже по барабану, константный сегмент памяти *был* или нет ;-)