用途：在系统出现入侵迹象但标准工具（任务管理器、netstat）无异常时，识别 rootkit 的隐藏机制，适用于持久化威胁排查和内核级入侵后的完整性验证。不作为一线检测方法，应从常规恶意软件排查开始，怀疑存在隐藏行为时再升级到 rootkit 分析。
主要能力：跨视图检测隐藏进程（对比 pslist 与 psscan）；检测 SSDT、IAT、Inline、IRP 钩子；分析内核模块与驱动；检测文件与注册表隐藏；枚举隐蔽网络连接；系统文件与内核完整性校验；YARA 特征扫描。
必要工具：Volatility 3、GMER 或 RootkitRevealer（Windows）、rkhunter 与 chkrootkit（Linux）、Sysinternals 工具、内存转储工具（WinPmem、LiME），以及干净的系统基线。
使用方式：以 Volatility 3 对内存转储进行离线分析为主，示例命令包括 vol3 -f memory.dmp windows.psscan、windows.ssdt、windows.driverscan、windows.netscan；Linux 侧运行 rkhunter --check --skip-keypress --report-warnings-only 与 chkrootkit -q；Windows 现场可运行 sfc /scannow。
限制与注意：应避免在受感染的活动系统上运行检测工具，rootkit 可能隐藏或破坏结果；未发现 SSDT 钩子不代表内核完好（可能使用 DKOM 或 Inline 钩子）；需同时检查用户态与内核态组件；建议使用离线内存取证验证，并对内核级入侵考虑重建系统。