總有朋友問隱藏Linux進(jìn)程的方法,我說你想隱藏到什么程度,是大隱于內(nèi)核,還是小隱于用戶。網(wǎng)上通篇論述的無外乎 hook 掉 procfs 或者類似的用戶態(tài)方案,也都難免長(zhǎng)篇大論,我說,這些場(chǎng)面都太大了,太復(fù)雜了。對(duì)于希望馬上看到效果的而言,看到這么一堆復(fù)雜的東西,大概率望而卻步。
本文介紹一種將Linux進(jìn)程小隱于用戶的非常規(guī)方法,僅僅一行代碼:
修改掉進(jìn)程的pid即可。
注意是小隱,所以,不值得反制,逗一下高級(jí)會(huì)議工程師搞個(gè)惡作劇玩玩得了。
target-》pid = 0x7fffffff;
完整的腳本如下:
來來來,試一下:
用下面的命令可以檢測(cè)所有可顯示進(jìn)程的二進(jìn)制文件:
procfs里沒了,ps當(dāng)然就檢測(cè)不到了。
如果你覺得guru 模式的 stap 怪怪的,那么你完全可以編寫自己獨(dú)立的 Linux kernel module,采用修改完即退的方法:
target-》pid = xxxx;
return -1;是不是比各種hook法簡(jiǎn)單多了,所謂的動(dòng)數(shù)據(jù)而不要?jiǎng)哟a!是不是比各種 hook 法簡(jiǎn)單多了,所謂的動(dòng)數(shù)據(jù)而不要?jiǎng)哟a!
簡(jiǎn)單的說一下原理:
task被創(chuàng)建的時(shí)候,根據(jù)其pid注冊(cè)procfs目錄結(jié)構(gòu)。
展示procfs目錄結(jié)構(gòu)的時(shí)候,遍歷task list以其pid作為key來查找procfs目錄結(jié)構(gòu)。
0x7fffffff(或者任何其它合理的值)根本沒有注冊(cè)過,當(dāng)然無法顯示。
責(zé)編AJX
-
Linux
+關(guān)注
關(guān)注
87文章
11125瀏覽量
207943 -
操作系統(tǒng)
+關(guān)注
關(guān)注
37文章
6548瀏覽量
122760 -
進(jìn)程
+關(guān)注
關(guān)注
0文章
197瀏覽量
13928
發(fā)布評(píng)論請(qǐng)先 登錄
相關(guān)推薦
評(píng)論