关于Casper-fs Casper-fs是一款功能强大的自定义隐藏Linux内核模块生成器，其中的每一个模块都可以在文件系统中工作并利用系统资源，然后根据YAML规则文件的自定义规则列表来保护和隐藏各种敏感文件。
值得注意的是，即使你拥有root权限，你也无法查看、访问、编辑、修改和删除受到Casper-fs保护的文件。只有当用户向自定义设备发送正确的密钥以释放文件系统中的操作时，才能查看、编辑和删除文件。
工具下载 研究人员可以使用以下命令将该项目源码克隆至本地：
git clone https://www.php.cn/link/a9dbfcad63c454a4e096bbe334b8e45d.git
工具使用 准备工作 首先，我们需要运行以下命令来验证内核版本是否为3.x、4.x或5.x：
$ uname -r
接下来，进入项目目录，然后安装Python 3模块：
$ cd casper-fs/module_generator $ sudo python3 -m pip install -r requirements.txt
然后编辑“module_generator/rules/fs-rules.yaml”文件中的YAML规则，Python脚本将使用这个文件来生成一个新的Casper-fs自定义模块：
$ cat module_generator/rules/fs-rules.yaml binary_name: casperfs module_name: Casperfs unhide_module_key: AbraKadabra hide_module_key: Shazam fake_device_name: usb15 unhide-hide-file-key: Alakazam unprotect-protect-file-key: Sesame fs-rules: - hidden: 1: secret.txt 2: my_vault.db - protect: 1: backup_httpd.log
我们可以在文件的上下文插入大量需要保护和隐藏的元素，例如：
- protect: 1: backup_httpd.log 2: secret_img.iso 3: secret_file.img 4: secret_file2.img 5: secret_file3.img
如果你想了解静态代码相关的生成方法，可以查看项目中“templates”目录下的内容。
生成模块 如果你想按照YAML文件规则生成一个内核模块，可以直接运行以下命令：
$ python3 casper-fs-gen.py --rules rules/fs-rules.yaml
上述代码将使用fs-rules.yaml来生成一个通用模块。
安装模块 如果你使用的是Fedora Linux，可以使用以下命令为开发人员安装内核包：
# dnf update # dnf install kernel-headers.x86_64 kernel-modules.x86_64 kernel.x86_64 kernel-devel kmod
Ubuntu Linux安装方式如下：
apt install linux-headers-generic gcc make
以下命令可以测试模块功能：
# cd output; make clean; make # insmod casperfs.ko
运行自定义模块 我们需要向目标设备发送密码（例如“usb15”）来测试文件系统中的隐藏和解隐藏资源：
$ touch secret.txt $ ls -- no results -- $ echo "Alakazam" > /dev/usb15 $ ls secret.txt $ echo "Alakazam" > /dev/usb15 $ ls -- no results --
工具使用样例 在下列样例中，我们将尝试删除受Casper-fs保护的文件。注意，我们需要使用lsmod命令将Casper-fs调整为可见，因此需要先执行以下操作：
# ls test.txt log.txt backup_httpd.log # rm backup_httpd.log # ls test.txt log.txt backup_httpd.log # echo "Sesame" > /dev/usb15 // to remove protection # rm backup_httpd.log # ls test.txt log.txt # echo "Sesame" > /dev/usb15 // to active protection again
然后才可以执行删除操作：
# rmmod casperfs rmmod: ERROR: ../libkmod/libkmod-module.c:799 kmod_module_remove_module() could not remove 'casperfs': No such file or directory rmmod: ERROR: could not remove module casperfs: No such file or directory # lsmod | grep casper # echo "Shazam" > /dev/usb15 # lsmod | grep casper casperfs # rmmod casperfs
工具运行截图
工具演示视频 https://www.php.cn/link/2ad3359808b5f313661461e2ed10cc06
许可证协议 本项目的开发与发布遵循GPL-3.0开源许可证协议。
项目地址 https://www.php.cn/link/a9dbfcad63c454a4e096bbe334b8e45d
参考资料 https://www.php.cn/link/2810641ad4fe0ef85b460df52d7a48e8
