STATEMENT

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

分子实验室 https://molecule-labs.com/

NO.1 背景

在测试系统命令对linux隐藏进程的有效性测试，记录的相关知识点。

NO.2 原理

在恶意代码中通过设置具有迷惑性的进程名字，以达到躲避管理员检查的目的。

NO.3 测试环境

ubuntu

NO.4 过程

这里我们参考：linux 修改进程名称的方法伪造进程 

https://www.jb51.net/article/70306.htm

排坑时注意添加声明即可。

# include <stdio.h># include <string.h># include "./util/setproctitle.c"# --这里需要注意规避报错--# 原版这里我测试的时候报错，需要加上下面的函数引用# ifdef _WIN32# include <Windows.h># else# include <unistd.h># endif# --引用完毕--// extern char **environ;// int main(int argc , char *argv[])// {// int i;// printf("argc:%d\n" , argc);// for (i = 0; i < argc; ++i){// printf("0x%x\n" , argv[i]);// printf("argv[%d]:%s\n" , i , argv[i]);// }// printf("evriron=%x\n" , environ[0]);// return 0;// }int main(int argc, char **argv){ spt_init(argc,argv); setproctitle("设置进程名为:this is a test"); sleep(1000); return 0;}

setproctitle.c（这个不变）文件如下：

/* ========================================================================== * setproctitle.c - Linux/Darwin setproctitle. * -------------------------------------------------------------------------- * Copyright (C) 2010 William Ahern * Copyright (C) 2013 Salvatore Sanfilippo * Copyright (C) 2013 Stam He * * Permission is hereby granted, free of charge, to any person obtaining a * copy of this software and associated documentation files (the * "Software"), to deal in the Software without restriction, including * without limitation the rights to use, copy, modify, merge, publish, * distribute, sublicense, and/or sell copies of the Software, and to permit * persons to whom the Software is furnished to do so, subject to the * following conditions: * * The above copyright notice and this permission notice shall be included * in all copies or substantial portions of the Software. * * THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS * OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF * MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN * NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, * DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR * OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE * USE OR OTHER DEALINGS IN THE SOFTWARE. * ========================================================================== */# ifndef _GNU_SOURCE# define _GNU_SOURCE# endif # include <stddef.h>  /* NULL size_t */# include <stdarg.h>  /* va_list va_start va_end */# include <stdlib.h>  /* malloc(3) setenv(3) clearenv(3) setproctitle(3) getprogname(3) */# include <stdio.h>  /* vsnprintf(3) snprintf(3) */# include <string.h>  /* strlen(3) strchr(3) strdup(3) memset(3) memcpy(3) */# include <errno.h>  /* errno program_invocation_name program_invocation_short_name */# if !defined(HAVE_SETPROCTITLE)# define HAVE_SETPROCTITLE (defined __NetBSD__ || defined __FreeBSD__ || defined __OpenBSD__)# endif# if !HAVE_SETPROCTITLE# if (defined __linux || defined __APPLE__)extern char **environ;static struct {  /* original value */  const char *arg0;  /* title space available */  char *base, *end;   /* pointer to original nul character within base */  char *nul;  _Bool reset;  int error;} SPT;# ifndef SPT_MIN# define SPT_MIN(a, b) (((a) < (b))? (a) : (b))# endifstatic inline size_t spt_min(size_t a, size_t b);static int spt_clearenv(void);static int spt_copyenv(char *oldenv[]);static int spt_copyargs(int argc, char *argv[]) ;void spt_init(int argc, char *argv[]);void setproctitle(const char *fmt, ...);static inline size_t spt_min(size_t a, size_t b) {  return SPT_MIN(a, b);} /* spt_min() *//* * For discussion on the portability of the various methods, see * http://lists.freebsd.org/pipermail/freebsd-stable/2008-June/043136.html */static int spt_clearenv(void) {# if __GLIBC__  clearenv();  return 0;# else  extern char **environ;  static char **tmp;  if (!(tmp = malloc(sizeof *tmp)))    return errno;  tmp[0] = NULL;  environ = tmp;  return 0;# endif} /* spt_clearenv() */static int spt_copyenv(char *oldenv[]) {  extern char **environ;  char *eq;  int i, error;  if (environ != oldenv)    return 0;  if ((error = spt_clearenv()))    goto error;  for (i = 0; oldenv[i]; i++) {    if (!(eq = strchr(oldenv[i], '=')))      continue;    *eq = '\0';    error = (0 != setenv(oldenv[i], eq + 1, 1))? errno : 0;    *eq = '=';    if (error)      goto error;  }  return 0;error:  environ = oldenv;  return error;} /* spt_copyenv() */static int spt_copyargs(int argc, char *argv[]) {  char *tmp;  int i;  for (i = 1; i < argc || (i >= argc && argv[i]); i++) {    if (!argv[i])      continue;    if (!(tmp = strdup(argv[i])))      return errno;    argv[i] = tmp;  }  return 0;} /* spt_copyargs() */void spt_init(int argc, char *argv[]) {    char **envp = environ;  char *base, *end, *nul, *tmp;  int i, error;  if (!(base = argv[0]))    return;  nul = &base[strlen(base)];  end = nul + 1;  for (i = 0; i < argc || (i >= argc && argv[i]); i++) {    if (!argv[i] || argv[i] < end)      continue;    end = argv[i] + strlen(argv[i]) + 1;  }  for (i = 0; envp[i]; i++) {    if (envp[i] < end)      continue;    end = envp[i] + strlen(envp[i]) + 1;  }  if (!(SPT.arg0 = strdup(argv[0])))    goto syerr;  if ((error = spt_copyenv(envp)))    goto error;  if ((error = spt_copyargs(argc, argv)))    goto error;  SPT.nul = nul;  SPT.base = base;  SPT.end = end;  return;syerr:  error = errno;error:  SPT.error = error;} /* spt_init() */# ifndef SPT_MAXTITLE# define SPT_MAXTITLE 255# endifvoid setproctitle(const char *fmt, ...) {  char buf[SPT_MAXTITLE + 1]; /* use buffer in case argv[0] is passed */  va_list ap;  char *nul;  int len, error;  if (!SPT.base)    return;  if (fmt) {    va_start(ap, fmt);    len = vsnprintf(buf, sizeof buf, fmt, ap);    va_end(ap);  } else {    len = snprintf(buf, sizeof buf, "%s", SPT.arg0);  }  if (len <= 0)    { error = errno; goto error; }  if (!SPT.reset) {    memset(SPT.base, 0, SPT.end - SPT.base);    SPT.reset = 1;  } else {    memset(SPT.base, 0, spt_min(sizeof buf, SPT.end - SPT.base));  }  len = spt_min(len, spt_min(sizeof buf, SPT.end - SPT.base) - 1);  memcpy(SPT.base, buf, len);  nul = &SPT.base[len];  if (nul < SPT.nul) {    *SPT.nul = '.';  } else if (nul == SPT.nul && &nul[1] < SPT.end) {    *SPT.nul = ' ';    *++nul = '\0';  }  return;error:  SPT.error = error;} /* setproctitle() */# endif /* __linux || __APPLE__ */# endif /* !HAVE_SETPROCTITLE */

测试修改进程名shell：

[email protected]:~/Documents$ gcc -o changepressname changepress.c [email protected]:~/Documents$ ./changepressname

ps查询可以看到我们已经修改进程名

这里攻击的角度，我们就可以集成，并通过指定我们攻击进程进行隐藏。

NO.5 防守对抗角度

从防守角度，测试一下我们的应对方法

1、可以看到ll /proc/PID/exe，可以通过对比ps结果名与exe对应进程名审计到异常

2、另外一个就是pstree查询，可以看到执行的程序名与ps查询结果无法对应也可以审计到异常

[email protected]:~/Documents$ pstree -aphn 24565

changepressname,24565

RECRUITMENT

招聘启事

安恒雷神众测SRC运营（实习生）
————————
【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3.  参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4.  积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强，性格活泼，具备良好的人际交往能力；
 2.  对网络安全感兴趣，对行业有基本了解；
 3.  良好的文案写作能力和活动组织协调能力。

简历投递至 

[email protected]

设计师（实习生）

————————

简历投递至 

[email protected]

安全招聘

简历投递至

[email protected]

岗位：红队武器化Golang开发工程师

[email protected]

END

长按识别二维码关注我们