对Rootkit的基本概念进行了介绍,然后延伸至内核级Rootkit。在详细剖析内核级Rootkit原理的基础上分析了其他检测Rootkit方法的局限性，提出一种新的方法。该方法分析内核模块加载时是否有可疑行为，结合对比system.map和kmem文件判断其是否为Rootkit。最后用实验证明了此方法的有效性。