rootkit：实现隐藏进程
实现隐藏进程一般有两个方法： 1，把要隐藏的进程PID设置为0，因为系统默认是不显示PID为0的进程。 2，修改系统调用sys_getdents（）。 Linux系统中用来查询文件信息的系统调用是sys_getdents，这一点可以通过strace来观察到，例如strace ls ...
原文：unhide 搜索隐藏进程和 TCP/UDP 端口——通过修改加载的so文件来实现隐藏，待研究实现思路
问题现象：服务器负载很高，top和ps 无法查看进程，有异常任务计划但是查不到进程排查困难 排查还在 etc hosts发现增加了如下异常映射 猜测是，但是没有进程最终核实到是 etc ld.so.preload 设置了隐藏进程 尝试直接删除或编辑此文件无效， 最终尝试echo gt etc ld.so.preload 可以正常输入 然后查看可以查看到具体进程了 OK 能看到进程就方便排查了 此问 ...
2022-02-26 15:29 0 1533 推荐指数：
相关推荐
windows：3环自行加载PE文件实现进程隐藏
1、windows下运行一个exe程序，一般都是直接双击exe，然后就能运行了，对于普通小白用户来说非常简单易用，所以windows能垄断桌面个人PC领域几十年是有原因的！对于业内的人士而言，当用 ...
linux如和对其他用户隐藏进程？
Linux kernel 3.2以上，root用户可以设置内核，让普通用户看不到其它用户的进程。适用于有多个用户使用的系统。该功能由内核提供，因此本教程适用于Debian/Ubuntu/RHEL/CentOS等。 原理 Linux中，可以通过/proc文件系统访问到许多内核的内部信息 ...
Linux查看隐藏进程工具
_sysdig 如何安装 unhide 并搜索隐藏的进程和 TCP/UDP 端口-电子发烧友网 ...
进程隐藏的实现
通过Hook SSDT (System Service Dispatch Table) 隐藏进程 1.原理介绍: Windows操作系统是一种分层的架构体系。应用层的程序是通过API来访问操作系统。而API又是通过ntdll里面的核心API来进行系统服务的查询。核心API通过对int ...
遍历进程活动链表（ActiveProcessLinks）、DKOM隐藏进程
1.EPROCESS结构体 EPROCESS块来表示。EPROCESS块中不仅包含了进程相关了很多信息，还有很多指向其他相关结构数据结构的指针。例如每一个进程里面都至少有一个ETHREAD块表示的线程。进程的名字，和在用户空间的PEB（进程环境）块等等。EPROCESS中除了PEB成员块 ...
遍历PspCidTable表检测隐藏进程
一、PspCidTable概述 PspCidTable也是一个句柄表，其格式与普通的句柄表是完全一样的，但它与每个进程私有的句柄表有以下不同： 1.PspCidTable中存放的对象是系统中所有的进程线程对象，其索引就是PID和TID。 2.PspCidTable中存放的直接 ...
断链隐藏进程及恢复（附代码）
首先，我们知道，进程体EPROCESS是被系统维护在一个双向链表LIST_ENTRY中的，那么，我们只要把进程的EPROCESS从这个链表中摘除，就可以实现进程隐藏了，当然，这只能瞒过进程管理器和zwQuerySystemInformation，暴力枚举依旧可以发现断链隐藏的进程，因为进程体还在 ...