* kill - 向进程发送信号，通常是杀掉进程。修改过的调用将使用无用的信号31，触发设置进程为"hidden"状态。当进程在hidden状态时，它在/proc中的纪录被删除，从而实现了对ps命令隐身。信号32被用来解除隐藏状态。
* read - 读取目标文件的内容。knark通过修改此调用实现对netstat隐藏入侵者的连接。
* ioctl - 改变文件和设备的状态。通过修改此调用，knark能够隐藏网卡的混杂位，同时在调用中插入了隐藏文件的函数。
* fork - 派生新进程。knark修改用来隐藏一个隐藏的父进程所派生的所有子进程。
* execve - 执行一个程序。每次用户在命令行下输入命令时调用。一旦此调用被劫持，内核模块可以控制命令的选择和运行。knark使入侵者可以把一个程序指向另一个，如同符号连接一样，而不留下罪证。knark控制了execve后，任何你希望执行的程序都有可能是入侵者的替代品。
* settimeofday - 设置系统时间。knark用来监控预定的时间。当这些预定时间之一被送给此系统调用时，knark可以触发某些管理任务或者立即赋予当前用户root的用户和组id。这样就无需更改到suid的shell而直接获得root权限。
由于系统调用被更改，那些管理工具的功能也被更改了。netstat将永远不报告网卡的混杂模式，来自特定地点的连接也被隐藏。ps和top命令不会报告隐藏的进程，因为/proc中没有信息。ls将跳过隐藏的文件和目录。所有这些，都是因为此类工具依靠操作系统提供信息，而入侵者在控制了操作系统后就能够向来自用户空间的请求反馈虚假情报，并且无需改动netstat,ps,top和 ls程序的二进制文件。因此，tripwire一类的文件系统校验工具对这类工具将失效，也无法防备knark的执行重定向功能。如果入侵者将 hackme连接到cat上，每次cat被调用，实际上是hackme在执行。这样，cat仍然保留在系统上，md5校验码也没有改变，但执行的功能却改变了。
更糟糕的是，将一套新的工具上传到被knark入侵的主机也无济于事。即使是可信的工具一样要使用系统调用，于是他们也变得不再可信。目前还无法绕过入侵者在内核级别的陷阱，除非我们也进入内核空间。基于此，我开发了检测系统是否安装了恶意LKM的工具。