前言：ptrace 是 Linux 内核提供的非常强大的系统调用，通过 ptrace 可以实现进程的单步调试和收集系统调用情况。...struct linux_binfmt { struct linux_binfmt * next; int *use_count; int (*load_binary)(struct...linux_binprm *, struct pt_regs * regs); int (*load_shlib)(int fd); int (*core_dump)(long signr..., struct pt_regs * regs);}; static struct linux_binfmt *formats = &aout_format;int register_binfmt(struct...linux_binfmt * fmt){ struct linux_binfmt ** tmp = &formats; if (!
通过ptrace可以查看和修改被控制进程的内部状态，因此渗透攻击在注入shellcode时也会使用ptrace。...本文介绍一种Linux下使用ptrace隐藏注入shellcode的技术和防御方法。...二、背景 不同版本操作系统有各自实现ptrace系统调用的方式，本文只关注Linux环境，因此先简单说明Linux下ptrace系统调用的用法。...步骤3)中tracer可以检查和修改tracee的内存和寄存器内容，给渗透攻击注入shellcode提供了可能，接下来描述利用ptrace隐藏注入shellcode的技术细节。...【图4 Linux内核ptrace访问模式检查算法】 除了在同一个线程组的情况，获得使用ptrace功能的许可必然经过Linux安全模块（LSM）的检查，因此可以配置LSM限制ptrace功能，以Yama
, 设置单步执行标志 PTRACE_ATTACH，追踪指定pid的进程 PTRACE_DETACH， 结束追踪 具体用法： PTRACE_TRACEME ptrace(PTRACE_TRACEME...PTRACE_PEEKTEXT, PTRACE_PEEKDATA ptrace(PTRACE_PEEKTEXT, pid, addr, data) ptrace(PTRACE_PEEKDATA, pid...在Linux（i386）中用户代码段与用户数据段重合所以读取代码段和数据段数据处理是一样的。...PTRACE_POKETEXT, PTRACE_POKEDATA ptrace(PTRACE_POKETEXT, pid, addr, data) ptrace(PTRACE_POKEDATA, pid...在Linux（i386）中通过PTRACE_PEEKUSER和PTRACE_POKEUSR可以访问USER结构的数据有寄存器和调试寄存器。
前言 本文是在linux系统角度下，对ptrace反调试进行底层分析，使我们更清楚的看到一些底层原理的实现，更好的理解在逆向工程中的一些突破口，病毒怎么实现代码注入，本文还将列出一些常见的攻防手段...ptrace在linux 反调试技术中的地位就如同nc在安全界的地位，瑞士军刀啊!...更进一步可以实现子母进程双线执行动态解密代码等更高级的反分析技术 代码注入，往其他进程里注入代码。...而大多数病毒也是利用到这个特性，实现自用空间注入，rip位置直接注入，text段与data段之间的空隙注入，而且gdb实现单步调试的原理也是在每条指令后面插入一个int3。...另外的选择是使用ELF注入技巧，注入我们的代码，例如在内存中寻找空隙。 4. 最后，我们可以在栈中注入代码，同一般的栈溢出，这是一种安全的方式可以避免破坏原有程序的方式。
在这篇文章中，我将主要讨论x86-64架构下的Linux Ptrace，并且我还会使用到一些特定的Linux扩展。除此之外，我可能会忽略错误检查，但最终发布的完整源码将会解决这些问题。...真实场景下的strace实现还需要设置其他的参数，例如PTRACE_O_TRACEFORK： ptrace(PTRACE_SETOPTIONS,pid, 0, PTRACE_O_EXITKILL); 捕捉系统调用的循环步骤如下...和wait(2)，然后利用PTRACE_GETREGS获取结果，结果将存储在rax中： ptrace(PTRACE_GETREGS,pid, 0, ®s); fprintf(stderr," =...XPledging... fopen("/dev/urandom")[2]:Operation not permitted fread("/dev/urandom")[1]= 0x2e1bd1c4 外部系统模拟 Linux...下的Ptrace中有一个非常实用的函数：PTRACE_SYSMU，我们可以利用这个函数来实现系统模拟： for(;;) { ptrace(PTRACE_SYSEMU, pid, 0, 0);
void *addr, void *data); ptrace 函数参考文档 : https://man7.org/linux/man-pages/man2/ptrace.2.html 注入的原理就是围绕...ptrace 函数进行的一系列操作 ; Linux 系统分为 用户层 和 内核层 , 在用户层调用的方法就是普通调用 , 内核层调用的方法是 系统调用 ; 系统调用 : 如果在用户层需要用到 内核层...函数 , 专门用于系统调用 ; 二、ptrace 函数真实作用 ---- 注入并不是系统 bug , 是系统接口的特殊使用方式 ; 就像 Java 的反射一样 , 都是设计时就设计好的功能 ; 每个操作系统都需要...函数就是为 支持 C 标准库的 Linux / Android 系统提供的这种支持 ; 错误诊断 : 当程序运行出错时 , 系统或开发环境要进行报错 , 错误诊断的依据 需要 ptrace 函数追踪进程运行情况获取...; 开发调试 : Linux 下的 strace , gdb 等工具 , 都要用到 ptrace 函数 ; Android 中使用 ptrace 函数 , 必须有 root 或 system 权限 ;
ptrace系统调用 ptrace() 系统调用是 Linux 提供的一个调试进程的工具，ptrace() 系统调用非常强大，它提供非常多的调试方式让我们去调试某一个进程，下面是 ptrace() 系统调用的定义...ptrace() 系统调用详细的介绍可以参考以下链接：https://man7.org/linux/man-pages/man2/ptrace.2.html ptrace使用示例 下面通过一个简单例子来说明...ptrace实现原理 本文使用的 Linux 2.4.16 版本的内核 看懂本文需要的基础：进程调度，内存管理和信号处理相关知识。...调用 ptrace() 系统函数时会触发调用内核的 sys_ptrace() 函数，由于不同的 CPU 架构有着不同的调试方式，所以 Linux 为每种不同的 CPU 架构实现了不同的 sys_ptrace...ptrace() 支持的所有 request 操作定义在 linux-2.4.16/include/linux/ptrace.h 文件中，如下： #define PTRACE_TRACEME
日前，Linux官方发布一则通告， kernel 5.1.17之前版本中存在安全漏洞，该漏洞源于kernel/ptrace.c文件的ptrace_link没有正确处理对凭证的记录。...最终结果是父进程可以使用ptrace来控制第一个子进程，后者可以使用ptrace来控制第二个子进程 - 从而让攻击者获得对两个进程的控制权。...generic // - Ubuntu 19.04 kernel 5.0.0-15-generic // - Ubuntu Mate 18.04.2 kernel 4.18.0-15-generic // - Linux...加固建议： 参考官方团毒给出的最新内核补丁 https://github.com/torvalds/linux/commit/6994eefb0053799d2e07cd140df6c2ea106c41ee...POC代码下载 https://github.com/CrisWang/Exploit-Virtual-Machine/tree/master/Linux
在这里我们要做一点防范措施，防止别人能够轻易的窥视应用的内部，这里主要是要防止ptrace【注：1】。...当然这样做也只是稍微提高了一点点门槛而已，对于高手来说这样的手段简直是小菜一碟，你可以看看这里如何调试防止ptrace依附的App。...我们需要在程序开始处加上防止ptrace的代码，那么问题来了，程序的入口在哪里？...这里主要调用dlopen函数动态库，然后用dlsym获取到ptrace的函数指针，然后传入参数调用就可以禁止掉ptrace依附了。
::GetWindowThreadProcessId( startButtonHandle, & processID ); return processID; } 注入内存的过程...这就完成了代码的注入与执行。 英语还算不错的推荐去看看这篇文章，帮助很大。
Android是基于Linux内核的操作系统，而在Linux下SO注入基本是基于调试API函数ptrace实现的，同样Android的SO注入也是基于ptrace函数，要完成注入还需获取root权限。...0x04 获取并保存目标进程的堆栈，设置dlopen函数的相关参数，将要注入的SO的绝对路径压栈： 当我们的要执行的函数的某些参数需要压入堆栈的时候，就需要提前保存堆栈状态，调用ptrace_readdata...0x08 恢复目标进程的堆栈，恢复目标进程寄存器值，解除关联，完成SO动态库注入： 调用ptrace_writedata(pid, (uint8_t *)saved_regs.ARM_sp...，完成SO动态库注入。...(pid, ®s); uint32_t r0 = regs.ARM_r0; DPRINTF("[+2]\t注入动态库成功，返回的句柄为: %x\n", r0); ptrace_setregs
，直接返回 2、分析如何调用的ptrace，hook ptrace 3、通过tweak，替换disable_gdb函数 4、修改 PT_DENY_ATTACH I、运行时期，断点ptrace，直接返回...> thread return > c > DONE II、分析如何调用的ptrace，hook ptrace 去掉ptrace的思路 当程序运行后，使用 debugserver *:1234...为验证是否调用了ptrace 可以 debugserver -x backboard *:1234 /BinaryPath（这里是完整路径），然后下符号断点 b ptrace，c 之后看ptrace第一行代码的位置...最后在 IDA 中找到调用ptrace的代码，分析如何调用的ptrace。 开始hook ptrace。...在ptrace上下断点，找到调用ptrace的地方 (lldb) b ptrace Breakpoint 1: no locations (pending).
一·符号断点 IMG_5964(20210205-162427).JPG 二·动态库 2.JPG 思路：1.定义一个指针来保存原来的参数 2.自定义一个ptrace 如果发现参数是PT_DENY_ATTACH
关于dlinject dlinject是一款针对Linux进程安全的注入测试工具，在该工具的帮助下，广大研究人员可以在不使用ptrace的情况下，轻松向正在运行的Linux进程中注入一个共享代码库（...之所以开发该工具，是因为目前社区有非常多的反ptrace技术，而dlinject的功能并不基于ptrace实现，因此渗透测试的效果会更好。 ...mem对部分堆栈数据 以及需要使用Shellcode重写的代码进行备份； 3、生成主要和次要Shellcode缓冲区； 4、工具会通过写入/proc/[pid]/mem将第一部分Shellcode代码注入到...github.com/DavidBuchanan314/dlinject 参考资料 https://github.com/AonCyberLabs/Cexigua https://github.com/gaffe23/linux-inject...https://www.aldeid.com/wiki/Ptrace-anti-debugging 精彩推荐
简介 之前写了个hookso的工具，用来操作linux进程的动态链接库行为，本文从so注入与热更新入手，简单讲解一下其中的原理，配合源码阅读效果更佳。...原理 不管是热更新so还是其他方式操作so，都要先注入才行。所以先考虑如何注入so。 其实往一个进程注入so的方法，很简单，让进程自己调用一下dlopen即可。...这里要介绍一下linux的ptrace函数。...ptrace的定义如下： #include long ptrace(enum __ptrace_request request, pid_t pid, void *addr...函数查找 我们知道，linux的可执行文件是elf文件格式，动态链接库其实也是elf格式。关于elf，有很多资料，这里简单讲一下elf结构。
$hello表示字符串"Hello"的地址; 32位Linux系统通过0x80中断来进行系统调用....更多关于32位和64位汇编指令的区别可以参考stack overflow的总结, 因为我当前环境是64位Linux,所以下文的操作都以64位系统为例....如果要结束追踪,则再调用PTRACE_DETACH即可. 动态注入指令 用过gdb等调试器的人都知道,debugger工具可以给程序打断点和单步运行等....运行完注入的指令之后, 我们再恢复原进程的IR,从而达到改变原程序运行逻辑的目的. talk is cheap, 先写个循环打印的程序: //victim.c int main() { while...这里注入的代码长度只有8个字节, 而且是用shellcode的格式注入, 但实际中我们可以在目标进程中动态加载库文件(.so), 包括标准库文件(如libc.so)和我们自己编译的库文件, 从而可以通过传递函数地址和参数来进行复杂的注入
Android 下的进程注入效果是类似于 Windows 下的 dll 注入，Android 系统使用的是 Linux 内核，因此进程间是弱相互作用，不存在 Windows 下类似于 CreateRemoteThread...作用的函数，可以在其他进程空间内创建线程来加载我们的 .so 文件，所以我们所采用的方法就是依赖于 linux 下的 ptrace() 函数，将目标进程作为我们进程的子进程操作目标进程的寄存器和内存来运行我们加载...0x03 如何防止进程注入 Android 中注入需要调用 ptrace,然后执行注入 so 中的函数。...因此，防止 Android 注入可以通过以下方式： 1、ptrace 附加失败 2、修改 linker 中的 dlopen 函数，防止第三方 so 加载 3、定时检测应用加载的第三方 so 库，如果发现是被注入的...Poison 项目源码 https://github.com/matrixhawk/Poison PTARCE 函数 http://man7.org/linux/man-pages/man2/ptrace
原理 不管是热更新so还是其他方式操作so，都要先注入才行。所以先考虑如何注入so。 其实往一个进程注入so的方法，很简单，让进程自己调用一下dlopen即可。...这里要介绍一下linux的ptrace函数。...ptrace的定义如下： #include long ptrace(enum __ptrace_request request, pid_t pid, void *addr...：写目标进程寄存器 PTRACE_PEEKTEXT：读目标进程内存数据 PTRACE_POKETEXT：写目标进程内存数据 PTRACE_CONT：目标进程继续 PTRACE_DETACH：断联目标进程...函数查找 我们知道，linux的可执行文件是elf文件格式，动态链接库其实也是elf格式。关于elf，有很多资料，这里简单讲一下elf结构。
目录 ptrace实现原理 本文使用的 Linux 2.4.16 版本的内核 看懂本文需要的基础：进程调度，内存管理和信号处理相关知识。...启动注入代码方式检查死锁 然后这些东西不会融会贯通 吃土记录 像外行一样思考，像专家一样实践： 小王：遇到core怎么办? 老王：gdb调试呀 小王：gdb 为什么可以非侵入调试进程呀。...如果您正在考虑使用复杂的内核编程来完成任务， PTRACE_TRACEME 请三思。Linux 提供了一种优雅的机制来实现所有这些功能: ptrace (进程跟踪)系统调用。...Linux实现系统调用的基本过程是： 应用程序准备参数，发出调用请求； C库封装函数引导。该函数在Linux提供的标准C库，即 glibc 中。.../article/6210 https://cloud.tencent.com/developer/article/1742878 ptrace实现代码注入 原来gdb的底层调试原理这么简单 https
4.15.0-20-generic Ubuntu 19.04 kernel 5.0.0-15-generic Ubuntu Mate 18.04.2 kernel 4.18.0-15-generic Linux...），那么就能以父进程的权限执行各种操作，如果一个低权限的用户获取了高权限的父进程，但是在linux中，ptrace是一种系统调用，也就是说你得先拥有root权限，才能用ptrace到其他进程，如果只是普通权限...ptrace在linux 反调试技术中的地位就如同nc在安全界的地位，瑞士军刀啊!...，更进一步可以实现子母进程双线执行动态解密代码等更高级的反分析技术 3.代码注入，往其他进程里注入代码。...描述：pkexec是linux左面freedestop上的验证程序，pkexec允许授权用户以PROGRAM其他用户身份执行。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
