平时用的Mac，不想再去安装一遍双系统了，因此直接用docker安装了centos。主要步骤为到docker官网下载Stable并安装后，配置一下镜像源（http://hub-mirror.c.163.com）。更为详细的内容可参见MacOS Docker 安装。
一、前言 Unix和类Unix操作系统提供的ptrace系统调用支持一个进程控制另一个进程，常被用于程序调试、分析和监测工具，例如gdb、strace等。通过ptrace可以查看和修改被控制进程的内部状态，因此渗透攻击在注入shellcode时也会使用ptrace。本文介绍一种Linux下使用ptrace隐藏注入shellcode的技术和防御方法。 二、背景 不同版本操作系统有各自实现ptrace系统调用的方式，本文只关注Linux环境，因此先简单说明Linux下ptrace系统调用的用法。首先定义控
关于dlinject dlinject是一款针对Linux进程安全的注入测试工具，在该工具的帮助下，广大研究人员可以在不使用ptrace的情况下，轻松向正在运行的Linux进程中注入一个共享代码库（比如说任意代码）。之所以开发该工具，是因为目前社区有非常多的反ptrace技术，而dlinject的功能并不基于ptrace实现，因此渗透测试的效果会更好。 工具运行机制 1、该工具首先会向目标进程发送终止运行的信号，并定位_dl_open()方法。接下来，该工具将会通过/proc/[pid]/sysca
If you are thinking of using complex kernel programming to accomplish tasks, think again. Linux provides an elegant mechanism to achieve all of these things: the ptrace (Process Trace) system call.
ptrace 函数 : 在 C 标准库 中有一个 ptrace 函数 , 该函数是一个系统调用方法 , 可以监视进程执行 , 查看 / 更改 被监视进程的 内存 和 寄存器 情况 , 常用于断点调试 ;
之前对于调试器并没有什么了解，对于很多问题也没什么头脑，比如说attach是怎么做到的，怎么实现运行时断点的。今天来简单了解一下调试器部分功能的工作原理。
在程序出现bug的时候，最好的解决办法就是通过 GDB 调试程序，然后找到程序出现问题的地方。比如程序出现 段错误（内存地址不合法）时，就可以通过 GDB 找到程序哪里访问了不合法的内存地址而导致的。
*本文原创作者：y0nLandroid，本文属FreeBuf原创奖励计划，未经许可禁止转载 1.写在开始 最近在学习梆梆壳，在调试的过程中遇到了反调试，很是苦恼，而且每次调试都会被中断，朋友发了篇帖子【1】介绍了其中的一个反调，学习后收获颇多，给我指明了方向，接下来再对其他反调试进行补充，若有疏漏之处请各位大佬批评指正。 2.反调试之时间线程检测 启动调试后是对帖子【1】的验证，过程大致如下： 运行brpt.py后一路F9,当lr为pB54EB0CAE49198754C66F4A57BDB01DF函数时即为
前言：ptrace 是 Linux 内核提供的非常强大的系统调用，通过 ptrace 可以实现进程的单步调试和收集系统调用情况。比如 strace 和 gdb 都是基于 ptrace 实现的，strace 可以显示进程调用了哪些系统调用，gdb 可以实现对进程的调试。本文介绍这些工具的底层 ptrace 是如何实现的。这里选用了 1.2.13 的早期版本，原理是类似的，新版内核代码过多，没必要陷入过多细节中。
本文介绍了如何使用gdb和gdbserver来调试ARM Linux程序，包括编译、运行、连接到GDB Server以及使用GDB进行调试的过程。同时，还介绍了如何通过gdb和coredump文件来调试程序，包括生成core文件、进入虚拟机以及使用GDB进行调试的过程。
本文是在linux系统角度下，对ptrace反调试进行底层分析，使我们更清楚的看到一些底层原理的实现，更好的理解在逆向工程中的一些突破口，病毒怎么实现代码注入，本文还将列出一些常见的攻防手段，分析其原理，让我们一同见证见证茅与盾激情对决！内容很充实，建议躺着阅读！！！！！！！！
Linux下的程序的文件格式是ELF，里面分了各种段，有代码段、数据段、等。当运行这个程序时，系统也会给这个进程创建虚拟内存，然后把ELF中的数据分别加载到内存中的对应位置。本文整理了用cpp程序读取内存中的代码段和rodata数据段的方法。
源于跳槽到甲方一个人的安全部，之前我做渗透测试几乎都是 web 和移动 server 端的，客户端只会拿 apktool、dex2jar、drozer 等工具反编译一下看看源码和四大组件安全。公司要求我对移动客户端进行安全评估，看了一篇 360 的关于 Android 应用的评估报告，发现有很多的测试项我都没有测试过，并且网上的细节资料很少，偶得一款 inject 工具，尝试了一些 app 都能成功，把过程记录一下。
ptrace共有四个参数： long ptrace(enum __ptrace_request request,pid_t pid,void *addr,void *data); 其中第一个参数可以取如下内容：
ptrace(2)这个系统调用一般都跟调试离不开关系，它不仅是类Unix系统中本地调试器监控实现的主要机制，而且它还是strace系统调用常用的实现方法。ptrace()系统调用函数提供了一个进程（the “tracer”）监察和控制另一个进程（the “tracee”）的方法，它不仅可以监控系统调用，而且还能够检查和改变“tracee”进程的内存和寄存器里的数据，甚至它还可以拦截系统调用。
国外的Qualys 研究团队在 sudo 发现了堆溢出漏洞，sudo是一种几乎无处不在的非常实用程序，可用于大型 Unix 类操作系统（类似与windows的UAC功能，但是功能更加强大，它还允许用户使用其他用户的安全权限运行程序，不仅限于管理员哟）。
kernel / ptrace.c中的ptrace_link错误地处理了想要创建ptrace关系的进程的凭据记录，这允许本地用户通过利用父子的某些方案来获取root访问权限 进程关系，父进程删除权限并调用execve（可能允许攻击者控制）。一个影响因素是对象寿命问题（也可能导致恐慌）。另一个影响因素是将ptrace关系标记为特权，这可以通过（例如）Polkit的pkexec帮助程序与PTRACE_TRACEME进行利用。获取root权限。
本文本来是为了学习QT而安装的Fedora 17 ，安装后，感觉Fedora 17 也挺不错的，Fedora 17镜像下载地址 【Fedora 17 下载见 http://www.linuxidc.com/Linux/2012-05/61421.htm】 ，下面是在VMware Workstation 9虚拟机中的安装Fedora 17 的详细过程。
日前，Linux官方发布一则通告， kernel 5.1.17之前版本中存在安全漏洞，该漏洞源于kernel/ptrace.c文件的ptrace_link没有正确处理对凭证的记录。攻击者可利用该漏洞获取root访问权限。由于PTRACE_TRACEME允许的borked权限，利用bug在概念上很有趣。对象生命周期处理问题可能会导致内存损坏，但它需要以精确的方式进行代码竞争。事实PTRACE_TRACEME证明，除了父进程之外，内核还记录了跟踪器的凭据。研究人员概述的方案涉及一个父进程，该进程分叉一个孩子，这个孩子会分叉。第一个子进程使用命令pkexec（用于以root身份运行程序），第二个子进程运行PTRACE_TRACEME，然后第一个子进程丢弃其权限。最终结果是父进程可以使用ptrace来控制第一个子进程，后者可以使用ptrace来控制第二个子进程 - 从而让攻击者获得对两个进程的控制权。
在Linux中，主要是通过fork的方式产生新的进程，我们都知道每个进程都在 内核对应一个PCB块，内核通过对PCB块的操作做到对进程的管理。在Linux内核中，PCB对应着的结构体就是task_struct，也就是所谓的进程描述符（process descriptor）。该数据结构中包含了程相关的所有信息，比如包含众多描述进程属性的字段，以及指向其他与进程相关的结构体的指针。因此，进程描述符内部是比较复杂的。这个结构体的声明位于include/linux/sched.h中。
ptrace 函数原型 : ptrace 函数实际上是由一系列的函数组成 , 具体调用哪个函数 , 要根据第一个参数确定 ;
KRIe是一款功能强大的带有eBPF的Linux内核运行时安全检测工具，该工具旨在利用eBPF的功能来检测Linux内核中的安全问题。KRle远远不止是一种防御策略那么简单，该项目的主要目标是增加攻击者的攻击难度，并防止那些开箱即用的漏洞利用策略直接在目标设备内核上发挥作用。
你是否经常有在终端下通过一些实用程序进行工作的需求呢，比如：Git 等。但是由于这些终端程序默认并不支持 Socks 5 代理或 HTTP 代理
上述所有操作 , 都是通过调用 ptrace 方法完成的 , 只是传入不同的参数 , 执行不同的操作 ;
所谓的SO注入就是将代码拷贝到目标进程中，并结合函数重定向等其他技术，最终达到监控或改变目标进程行为的目的。Android是基于Linux内核的操作系统，而在Linux下SO注入基本是基于调试API函数ptrace实现的，同样Android的SO注入也是基于ptrace函数，要完成注入还需获取root权限。
*本文原创作者：gaearrow，本文属FreeBuf原创奖励计划，未经许可禁止转载 。 共享库基础知识 程序由源代码变成可执行文件，一般可以分解为四个步骤，分别是预处理（Prepressing）、编译（Compilation）、汇编（Assembly）和链接（Linking）。 预处理过程主要处理源代码中以“#”开始的预编译指令；编译过程把预处理完成的文件进行词法、语法、语义等分析并产生相应的汇编代码文件；汇编过程将汇编代码文件翻译成机器可以执行的目标文件；链接过程将汇编生成的目标文件集合相连接并生成
话不多说，先上答案：在运行容器的时候，使用参数--cap-add sys_ptrace，比如：
之前写了个hookso的工具，用来操作linux进程的动态链接库行为，本文从so注入与热更新入手，简单讲解一下其中的原理，配合源码阅读效果更佳。
复现 这个洞出现有段时间了，迟迟没有复现，先来复现下 有大佬在github上发布了漏洞的利用代码： https://github.com/bcoles/kernel-exploits/blob/master/CVE--/poc.c 像我这样的菜鸡就只能拿来直接用，不会分析 gcc 1.c -o exp ./exp 我测试的环境是 Ubuntu 18.04.1 kernel 4.15.0-20-generic 很顺利直接就root了，我的内核版本还很新，这个洞着阔怕。。。。。 复现成功 接着复现（VP
2019年07月20日，Linux正式修复了一个本地内核提权漏洞。通过此漏洞，攻击者可将普通权限用户提升为Root权限。
相信很多人对"Hook"都不会陌生,其中文翻译为"钩子”.在编程中, 钩子表示一个可以允许编程者插入自定义程序的地方,通常是打包好的程序中提供的接口. 比如,我们想要提供一段代码来分析程序中某段逻辑路径被执行的频率,或者想要在其中 插入更多功能时就会用到钩子. 钩子都是以固定的目的提供给用户的,并且一般都有文档说明. 通过Hook,我们可以暂停系统调用,或者通过改变系统调用的参数来改变正常的输出结果, 甚至可以中止一个当前运行中的进程并且将控制权转移到自己手上.
在编辑“容器如何工作”爱好者杂志的能力页面时，我想试着解释一下为什么 strace 在 Docker 容器中无法工作。
其实他说第二点问题的时候我就已经猜到问题所在了，那不就是远程挂载的磁盘非正常的掉了，然后就会造成这个问题。但是他说 ISCSI 这个玩意的时候我不知道是啥，于是查了一下，有兴趣的同学可以看看这是：https://zhuanlan.zhihu.com/p/60986068，看的出来他是一个网络存储，那么就更加坚定我的想法了，开始指挥解决问题。
从事编程工作的我们，总有调试的时刻，不管是通过 IDE 调试开发中的代码，还是通过 GDB 排查正在运行的进程。
关注腾讯云大学，了解行业最新技术动态 腾讯云大学知识分享月已经开幕了 为了让大家沉淀知识， 我们邀请了 赵昕讲师 将直播内容整理成了文章 话不多说让我们再来回顾一下课程内容吧 （课程精彩片段，戳阅读原文观看完整回放） 直 播 回 顾 简介 动态链接库（SO文件）在Linux中使用非常广泛，对于后台开发来说，服务器进程往往加载和使用了很多的SO文件，当需要更新某个SO时往往需要重启进程。本课程将讲述如何做到不重启进程，而将so的修改热更新生效！ 原理 不管是热更新so还是其他方式操作so，都要先
最近通过Cowrie蜜罐捕获一枚有趣的后门程序，此程序用perl语言编写。功能包括：DDoS（udpflood、tcpflood、httpflood、sqlflood）、hacking（端口扫描、信息
学习逆向的初衷是想系统学习Android下的hook技术和工具, 想系统学习Android的hook技术和工具是因为Android移动性能实战这本书. 这本书里用hook技术hook一些关键函数来计算关键函数的调用参数和调用时长, 从而确定性能问题发生的位置和原因. 但目前没有比较系统的讲解hook的书籍, 所以就系统的了解下逆向分析.
在生产环境中，时常会因为磁盘故障、误操作等原因出现文件系统的错误。Chaos Mesh 很早就提供了注入文件系统错误的能力。用户只需要添加一个 IOChaos 资源，就能够让对指定文件的文件系统操作失败或返回错误的数据。在 Chaos Mesh 1.0 之前，使用 IOChaos 需要对 Pod 注入 sidecar 容器，并且需要改写启动命令；哪怕没有注入错误，被注入 sidecar 的容器也总是有较大的性能开销。随着 Chaos Mesh 1.0 的发布，提供了运行时注入文件系统错误的功能，使得 IOChaos 的使用和其他所有类型的 Chaos 一样简单方便。这篇文章将会介绍它的实现方式。
K55是一款 Payload注入工具，该工具可以向正在运行的进程注入x86_64 shellcode Payload。该工具使用现代C++11技术开发，并且继承了某些传统的C Linux函数，比如说ptrace()等等。在目标进程中生成的shellcode长度为27个字节，并且能够在目标进程的地址空间中执行/bin/sh（生成一个Bash shell）。将来，我们还会支持允许用户通过命令行参数输入自己的shellcode。
本篇聊一聊 新的主题：《反弹shell-逃逸基于execve的命令监控》，打算写一个专题，预估可以写三篇，内容确实有点多，也是最近研究了一些有意思的东西，想给大家分享一下。喜欢的话，请大家一定点在看，并分享出去，算是对我原创最大的支持了。
可以看到经过分配的存活区与eden比率=2：8 1）eden区：775M 2）两个存活区大小：都为127M（存活区=space） 3）年轻代大小：1G 4）老年代大小：2G 5）最大堆内存大小：年轻代大小+老年代大小=3G 7）java应用程序占用内存大小：最大堆内存大小=3G
用过 strace 的同学都知道，strace 是用来跟踪进程调用的 系统调用，还可以统计进程对 系统调用 的统计等。strace 的使用方式有两种，如下：
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试加入交流群讨论或留言私信，如有侵权请联系小编处理。
在上一篇文章《自己动手写一个GDB｜基础功能》中，我们介绍了怎么使用 ptrace() 系统调用来实现一个简单进程追踪程序，本文主要介绍怎么实现断点设置功能。
ASLR，应为全称为Address Space Layout Randomization，即地址空间布局随机化。它是一种概率性安全防御机制，由PaX团队于2001年正式提出，并在2005年开始引入到Linux内核之中。ASLR能够在每次运行可执行文件的时候通过基地址随机映射的方式来为其随机分配地址空间。ASLR存在的目的，就是为了防止那些需要了解内存地址来利用内存崩溃漏洞的攻击行为。
Linux性能实时监测工具,以web的可视化方式展示系统及应用程序的实时运行状态（包括cpu、内存、硬盘输入/输出、网络等linux性能的数据）。炫酷的界面来显示你的服务器性能。
今天在ubuntu下安装了qtcreator，准备测试一下是否能用，果然一测试就出问题了，简单编写后F5编译在gnome-terminal中出现
想要验证一个功能包，但却需要安装各种依赖。装就装吧！但是安装的依赖可能更新本机中的一些配置或软件版本，导致过去可以运行的软件这么折腾一下后就不能再运行了。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
