0. 引言 0x1: Linux系统攻防思想 在linux下进行"进程kill"和"进程保护"的总体思路有以下几个,我们围绕这几个核心思想展开进行研究 . 直接从外部杀死目标进程 . 进入到目标进程内部,从内部杀死.毁坏目标进程 . 劫持目标进程的正常启动.执行流程,从而杀死进程 . 利用系统原生的机制来"命令"进程结束 . 从内核态进程进程杀死 对于系统级攻防的对抗,我们需要明白,如果防御者和攻击者所处的层次维度是相同的(Ring3 again

1.命令替换 实现方法 替换系统中常见的进程查看工具(比如ps.top.lsof)的二进制程序 对抗方法 使用stat命令查看文件状态并且使用md5sum命令查看文件hash,从干净的系统上拷贝这些工具的备份至当前系统,对比hash是否一致,不一致,则说明被替换了. 注:需要在bin目录下执行. 2.Hook系统调用 以ps 工作原理为例说明这些进程信息查看工具的原理 我们知道/proc是一个虚拟文件系统,是VFS的一个实现形式,/proc中包含了内核信息,硬件信息,进程信息等,ps等工具就是通

Linux进程控制   程序是一组可执行的静态指令集,而进程(process)是一个执行中的程序实例.利用分时技术,在Linux操作系统上同时可以运行多个进程.分时技术的基本原理是把CPU的运行时间划分成一个个规定长度的时间片,让每个进程在一个时间片内运行.当进程的时间片用完时系统就利用调度程序切换到另一个进程去运行.因此实际上对于具体单个CPU的机器来说某一个时刻只能运行一个进程.但由于每个进程运行的时间片很短(例如15个系统滴答=150ms),所以表面看起来好像所有进程在同时运行着. 对于L

linux 进程监控 supervise Supervise是daemontools的一个工具,可以用来监控管理unix下的应用程序运行情况,在应用程序出现异常时,supervise可以重新启动指定程序. 使用: mkdir test cd test vim run 写入希望执行的操作 supervise test (注意这里是的参数是run文件上层的文件夹,改变run的为可执行 chmod +x run) monit      monit是一个小型的开放源码工具来管理和监控Unix系统.Mon

Linux是一个多用户,多任务的系统,可以同时运行多个用户的多个程序,就必然会产生很多的进程,而每个进程会有不同的状态. Linux进程状态:R (TASK_RUNNING),可执行状态. 只有在该状态的进程才可能在CPU上运行.而同一时刻可能有多个进程处于可执行状态,这些进程的task_struct结构(进程控制块)被放入对应 CPU的可执行队列中(一个进程最多只能出现在一个CPU的可执行队列中).进程调度器的任务就是从各个CPU的可执行队列中分别选择一个进程在该 CPU上运行. 很多操作系统

Linux进程或线程绑定到CPU 为了让程序拥有更好的性能,有时候需要将进程或线程绑定到特定的CPU,这样可以减少调度的开销和保护关键进程或线程. 进程绑定到CPU Linux提供一个接口,可以将进程绑定到特定的CPU: #include <sched.h> int sched_setaffinity(pid_t pid, size_t cpusetsize, const cpu_set_t *mask); int sched_getaffinity(pid_t pid, size_t cpu

   众所周知,现在的分时操作系统能够在一个CPU上运行多个程序,让这些程序表面上看起来是在同时运行的.linux就是这样的一个操作系统.在linux系统中,每个被运行的程序实例对应一个或多个进程.linux内核需要对这些进程进行管理,以使它们在系统中“同时”运行.linux内核对进程的这种管理分两个方面:进程状态管理,和进程调度. 进程状态 在linux下,通过ps命令我们能够查看到系统中存在的进程,以及它们的状态: R (TASK_RUNNING),可执行状态. 只有在该状态的进程才可能在C

进程 主要参考: http://www.bogotobogo.com/Linux/linux_process_and_signals.php 信号与进程几乎控制了操作系统的每个任务. 在shell中输入ps -ef命令,我们将得到如下结果: (译者注:-e Select all processes. Identical to -A: -f Do full-format listing. This option can be combined with many other UNIX-style

[教程主题]:进程管理 [1]进程介绍 程序和进程 程序是为了完成某种任务而设计的软件,比如OpenOffice是程序.什么是进程呢?进程就是运行中的程序. 一个运行着的程序,可能有多个进程. 比如自学it网所用的WWW服务器是apache服务器,当管理员启动服务后,可能会有好多人来访问,也就是说许多用户来同时请求httpd服务,apache服务器将会创建有多个httpd进程来对其进行服务. 进程分类: 进程一般分为交互进程.批处理进程和守护进程三类. 值得一提的是守护进程总是活跃的,一般是后台

进程介绍 程序和进程 程序是为了完成某种任务而设计的软件,比如OpenOffice是程序.什么是进程呢?进程就是运行中的程序. 一个运行着的程序,可能有多个进程. 比如自学it网所用的WWW服务器是apache服务器,当管理员启动服务后,可能会有好多人来访问,也就是说许多用户来同时请求httpd服务,apache服务器将会创建有多个httpd进程来对其进行服务. 进程分类 进程一般分为交互进程.批处理进程和守护进程三类. 值得一提的是守护进程总是活跃的,一般是后台运行,守护进程一般是由系统在开机

2017-04-12 前篇文章对Linux进程地址空间的布局以及各个部分的功能做了简要介绍,本文主要对各个部分的具体使用做下简要分析,主要涉及三个方面:1.MMAP文件的映射过程 2.用户 内存的动态分配 Text:进程代码 Data:全局和静态数据区,但是已初始化 BSS:全局和静态数据区,但是未初始化 堆:动态内存分配 栈:函数参数,局部变量 1.MMAP文件映射过程 MMAP文件映射其实就是在磁盘文件和进程虚拟地址空间建立一种关系,用户空间通过调用mmap函数实现,mmap()是C运行库函

进程 主要参考: http://www.bogotobogo.com/Linux/linux_process_and_signals.php 译者:李秋豪 信号与进程几乎控制了操作系统的每个任务. 在shell中输入ps -ef命令,我们将得到如下结果: (译者注:-e Select all processes. Identical to -A: -f Do full-format listing. This option can be combined with many other UNIX

一 进程空间分布概述       对于一个进程,其空间分布如下图所示: 程序段(Text):程序代码在内存中的映射,存放函数体的二进制代码. 初始化过的数据(Data):在程序运行初已经对变量进行初始化的数据. 未初始化过的数据(BSS):在程序运行初未对变量进行初始化的数据. 栈 (Stack):存储局部.临时变量,函数调用时,存储函数的返回指针,用于控制函数的调用和返回.在程序块开始时自动分配内存,结束时自动释放内存,其操作方式类似于数据结构中的栈. 堆 (Heap):存储动态内存分配,需要

Linux进程状态:S (TASK_INTERRUPTIBLE),可中断的睡眠状态. 处于这个状态的进程因为等待某某事件的发生(比如等待socket连接.等待信号量),而被挂起.这些进程的task_struct结构被放入对应事件的等待队列中.当这些事件发生时(由外部中断触发.或由其他进程触发),对应的等待队列中的一个或多个进程将被唤醒. 通过ps命令我们会看到,一般情况下,进程列表中的绝大多数进程都处于TASK_INTERRUPTIBLE状态(除非机器的负载很高).毕竟CPU就这么一两个,进程动

做过Linux开发的人通常遇到过一个进程不能kill掉的情况,即使使用的是kill -9方式,而一般的教课书都只说kill -9能杀死任何进程,遇到这种情况时就会感觉到很矛盾,其它这也是正常的,通常有两种情况是不能kill掉的: 一是进程已经成为僵死进程,当它的父进程将它回收或将它的父进程kill掉即可在ps输出看不到了: 二是进程正处在内核状态中,Linux进程运行时分内核和用户两种状态,当进程进入内核状态后,会屏蔽所有信号,包括SIGKIL,所以这个时候kill -9也变得无效了.   阅读

二.进程的生命周期 进程是一个动态的实体,所以他是有生命的.从创建到消亡,是一个进程的整个生命周期.在这个周期中,进程可能会经历各种不同的状态.一般来说,所有进程都要经历以下的3个状态: 就绪态.指进程已经获得所有所需的其他资源,正在申请处理处理器资源,准备开始执行.这种情况下,称进程处于就绪态. 阻塞态.指进程因为需要等待所需资源而放弃处理器,或者进程本不拥有处理器,且其他资源也没有满足,从而即使得到处理器也不能开始运行.这种情况下,进程处于阻塞态.阻塞状态也称休眠状态或者等待状态. 运行态.

Linux中的保护机制 在编写漏洞利用代码的时候,需要特别注意目标进程是否开启了NX.PIE等机制,例如存在NX的话就不能直接执行栈上的数据,存在PIE 的话各个系统调用的地址就是随机化的. 一:canary(栈保护) 栈溢出保护是一种缓冲区溢出攻击缓解手段,当函数存在缓冲区溢出攻击漏洞时,攻击者可以覆盖栈上的返回地址来让shellcode能够得到执行.当启用栈保护后,函数开始执行的时候会先往栈里插入cookie信息,当函数真正返回的时候会验证cookie信息是否合法,如果不合法就停止程序运行.

1.管理进程状态 当程序运行为进程后,如果希望停止进程,怎么办呢? 那么此时我们可以使用linux的kill命令对进程发送关闭信号.当然除了kill.还有killall,pkill 1.使用kill -l列出当前系统所支持的信号 我们最为常用的3个信号 数字编号 信号含义 信号翻译 1 SIGHUP 通常用来重新加载配置文件 9 SIGKILL 强制杀死进程 15 SIGTERM 终止进程,默认kill使用该信号 2.使用kill命令杀死指定PID的进程 1.给 vsftpd 进程发送信号 1,

Linux进程控制   程序是一组可执行的静态指令集,而进程(process)是一个执行中的程序实例.利用分时技术,在Linux操作系统上同时可以运行多个进程.分时技术的基本原理是把CPU的运行时间划分成一个个规定长度的时间片,让每个进程在一个时间片内运行.当进程的时间片用完时系统就利用调度程序切换到另一个进程去运行.因此实际上对于具体单个CPU的机器来说某一个时刻只能运行一个进程.但由于每个进程运行的时间片很短(例如15个系统滴答=150ms),所以表面看起来好像所有进程在同时运行着. 对于L

文章目录 Windows平台进程内消息总线 如果没有消息总线,会产生什么问题 死循环包含关系 高耦合.低内聚 消息总线 结构图 原理 生产者与总线的关系 总线与消费者的关系 Linux进程内消息总线设计 使用进程间实时信号来实现进程内消息总线 参考文档 整体流程 主线程注册总线消息处理函数 生产者线程产生并发送消息到总线 接收并处理消息 总线接收到消息 总线消息处理函数 消费者总线消息处理虚函数 消费者消息处理实函数 核心原理 sigqueue发送消息 sigaction处理消息 存在的问题 消