另外一个保护进程的方法就是隐藏进程。当一个黑客危机你的系统。他会登陆，然后会看看有没有一些已知的进程在监视它。然后他就杀死它。如果你隐藏了这个功能的进程，黑客就不会知道进程的所有情况并且你可以记录他在你系统上做的任何事情。
如何隐藏进程
为了隐藏进程，你必须在配置内核的时候提供一个完全的路径名。
当内核启动的时候，LIDS会访问文件结点到一个叫proc_to_hide[]的结构里。
| 在include/Linux/sched.h里 #ifdef CONFIG_LIDS_HIDE_PROC #define PF_HIDDEN 0x04000000 /* Hidden process */ #endif /* in fs/lids.c */ #ifdef CONFIG_LIDS_HIDE_PROC struct allowed_ino proc_to_hide[LIDS_MAX_ALLOWED]; int last_hide=0; #endif .... /* in fs/lids.c , init_vfs_security(), fill up the hidden process in proc_to_hide[] */ #ifdef CONFIG_LIDS_HIDE_PROC lids_fill_table(proc_to_hide,&last_hide,LIDS_MAX_ALLOWED, CONFIG_LIDS_HIDDEN_PROC_PATH); #endif |
PF_HIDDEN是否用户可以用显示进程的命令（如“ps Ca”）来显示和检查进程，如果一个进程被LIDS隐藏，当他执行的时候，进程就会得到一个PF_HIDDEN的属性。然后，当系统输出系统进程信息到用户的时候，它就会可以检查当前输出进程是否有PF_HIDDEN标志。如果发现了，它就不会输出这个进程的信息。
| 在in fs/exec.c int do_execve(char * filename, char ** argv, char ** envp, struct pt_regs * regs) { ... if (retval >= 0) { #ifdef CONFIG_LIDS_HIDE_PROC if (lids_search_proc_to_hide(dentry->d_inode)) current->flags = PF_HIDDEN; ... |
因为每一个Linux的进程都有一个在/proc文件系统的入口，我们为了隐藏进程也需要修改proc的文件入口。
| 在fs/proc/root.c static struct dentry *proc_root_lookup(struct inode * dir, struct dentry * dentry) { ... inode = NULL; #ifdef CONFIG_LIDS_HIDE_PROC if ( pid && p && (! ((p->flags & PF_HIDDEN) && lids_load && lids_local_load)) ) { #else if (pid && p) { #endif unsigned long ino = (pid >> 16) + PROC_PID_INO; inode = proc_get_inode(dir->i_sb, ino, &proc_pid); if (!inode) return ERR_PTR(-EINVAL); inode->i_flags =S_IMMUTABLE; } ... } |
然后如果进程被PF_HIDDEN标记，它就不会在proc文件系统里显示。（完）
文章转载地址：http://www.cnpaf.net/Class/Recovery/0512192238295692224.htm
