信息收集插件
chkrootkit: Rootkit 检测
使用 chkrootkit 检测 Rootkit
| 类型 | recon |
| 支持平台 | linux_amd64、linux_arm64 |
| 依赖 | gcc、make、tar、curl/wget（安装时自动处理） |
使用 chkrootkit 检查系统中的 Rootkit 特征。它是用户显式选择的检测型 recon 插件，不属于 Recon 核心采集能力，也不会自动加入预置 default 或 quick Profile。
安装
./siren plugins install chkrootkit安装过程中会自动执行 setup 脚本：
- 检查系统中是否已安装 chkrootkit
- 若未安装，下载 chkrootkit 源码并编译
- 若编译依赖缺失，自动安装
build-essential（Debian/Ubuntu）或glibc-static（CentOS/RHEL） - 将编译产物安装到
/usr/local/chkrootkit/
编译环境
setup 脚本需要 gcc、make 等编译工具。如果目标主机无法联网安装依赖包，可以提前手动安装 chkrootkit 到 /usr/local/chkrootkit/，插件会自动检测并使用。
使用
先启用插件，并把 plugin:chkrootkit 加入自定义 Profile：
recon:
defaultProfile: default
profiles:
default: [user, ssh, process, network, cron, service, env, file, rootkit, application]
with-chkrootkit: [user, ssh, process, network, cron, service, env, file, rootkit, application, "plugin:chkrootkit"]
plugins:
chkrootkit: true然后显式选择该 Profile：
./siren recon --profile with-chkrootkit禁用插件后，仍引用它的 Profile 会在采集开始前报错。若要跳过检查，请改用不包含该插件的 default 或 quick Profile：
./siren recon --profile quick