首页
学习
活动
专区
工具
TVP
发布

进程欺骗实践

文章前言 监控进程和子进程之间的关系是威胁检测团队检测恶意活动的常用技术,例如,如果powershell是子进程,而Microsoft Word是进程,这是一种折中的行为,各种EDR可以很容易地检测到这种异常活动...,这时红队可以考虑使用进程PID欺骗作为逃避方法,Windows API调用"CreateProcess"允许用户传入一个用于分配PID的参数,它可以用于指定当前进程进程。...项目介绍 https://github.com/Al1ex/SelectMyParent image.png 进程欺骗 Step 1:选择进程并确定其PID image.png Step 2:之后执行以下命令进行进程欺骗...SelectMyParent.exe notepad 928 image.png Step 3:使用process Explor查看进程树,可以看到成功欺骗 image.png 参考链接 https

1.3K20
您找到你想要的搜索结果了吗?
是的
没有找到

Linux进程为何要苦苦地知道子进程的死亡原因?

白发人送黑发人 一个普遍的常识是,在Linux里面总是“白发人送黑发人”,子进程死亡,进程透过wait()等待子进程死亡,并清理子进程僵尸,当然进程也可以因此而获得子进程的死亡原因。.../a.out child process id: 3320 然后用信号2去杀死这个子进程3320: kill -2 3320 进程waitpid()返回,然后status里面获知原因,进程打印:...则进程探测到子进程死亡后,可打印它的退出状态: $ ....在wait_task_zombie()中,进程会透过子进程的僵尸分析获得子进程的exit_code组合,并进一步拼装status。 事出必有因 那么,进程为什么必须知道子进程的死亡呢?...所以,这个过程应该由Linux的某种机制自动完成,比如如果init知道了httpd死亡的话,它可以内在地自动重新启动一个httpd进程

2K20

进程退出时如何确保子进程退出?

前言 子进程退出的时候,进程能够收到子进程退出的信号,便于管理,但是有时候又需要在进程退出的时候,子进程也退出,该怎么办呢? 进程退出时,子进程会如何?...17433的进程id是17432,但是在10秒后,它的进程变成了1658。...另外还可以观察到,该进程也是其他系统进程进程。 如何确保进程退出的同时,子进程也退出? 既然如此,如何确保进程退出的同时,子进程也退出呢?...This value is cleared for the child of a fork(2) and (since Linux 2.4.36 / 2.6.23) when...练习 尝试将上面的代码在非图形界面的linux操作系统中运行,看看最终被收养的是否为init进程。 交流 虽然本文方法可行,但并不适用于所有操作系统,你有什么更好的办法解决上面的问题?

11.4K21

8.7 进程检测反调试

首先这是一种比较奇特的反调试思路,通过检测自身进程来判定是否被调试,原理非常简单,我们的系统在运行程序的时候,绝大多数应用程序都是由Explorer.exe这个进程派生而来的子进程,也就是说如果没有被调试其得到的进程就是...Explorer.exe的进程PID,而如果被调试则该进程进程PID就会变成调试器的PID值,通过对进程的检测即可实现检测是否被调试的功能。...PROCESSENTRY32); Process32First(hProcessSnap, &pe32); do { // 先判断是不是我们自己进程的...PID if (ProcessId == pe32.th32ProcessID) { // 判断进程是否是 Explorer.exe...} return FALSE;}int main(int argc, char * argv[]){ if (IsDebug()) { printf("[-] 进程正在被调试

19530

8.7 进程检测反调试

首先这是一种比较奇特的反调试思路,通过检测自身进程来判定是否被调试,原理非常简单,我们的系统在运行程序的时候,绝大多数应用程序都是由Explorer.exe这个进程派生而来的子进程,也就是说如果没有被调试其得到的进程就是...Explorer.exe的进程PID,而如果被调试则该进程进程PID就会变成调试器的PID值,通过对进程的检测即可实现检测是否被调试的功能。...PROCESSENTRY32); Process32First(hProcessSnap, &pe32); do { // 先判断是不是我们自己进程的...PID if (ProcessId == pe32.th32ProcessID) { // 判断进程是否是 Explorer.exe...return FALSE; } int main(int argc, char * argv[]) { if (IsDebug()) { printf("[-] 进程正在被调试

16920

关于进程和子进程的关系(UAC 绕过思路)

假设是a进程创建了b进程,那么a进程就是b进程进程。...,假设我们利用一下该API,我们就能够将自己的进程的的进程设置为随意进程(要提权绕过UAC的鸽子注意了),假设把木马进程进程设置为 杀软 的ID或者csrss.exe ,notepad.exe 等可信进程...假设你调试的程序检測进程,直接用以上的办法启动它,当然进程就是他检測同意的进程喽, 这里启动时要注意的是设置CREATE_SUSPEND 就是创建挂起,然后在创建后使用ResumeThread恢复就能够顺利调试了...所以说进程进程不一定是进程的创建者,所以那一群依据进程来看进程是否可信的杀软就呵呵了。 可是这里说下 360 这个绕只是,原因是啥哪? 记得我开篇时说过道高一尺,魔高一丈吗?...用这样的办法推断进程才是真正的进程。 这里參考文献是杂志《黑客防线》。我也不想学习了知识装起来。所以学习始终是学无止境!

1.5K30

php 多进程编程进程的阻塞与非阻塞实例分析

本文实例讲述了php 多进程编程进程的阻塞与非阻塞。分享给大家供大家参考,具体如下: php中进程的阻塞,主要是进程等待子进程退出。 1.php代码如下: <?...pcntl_wait($status); } else { //这里是子进程空间 echo "进程ID: ", posix_getppid(), " 进程ID : ", posix_getpid...echo "进程ID: ", posix_getppid(), " 进程ID : ", posix_getpid(), " {$i} \r\n"; //我们让子进程等待3秒,再退出...status, WNOHANG); } else { //这里是子进程空间 echo "进程ID: ", posix_getppid(), " 进程ID : ", posix_getpid...代码3.php与2.php效果一样,pcntl_wait()函数的作用只是用来让进程等待子进程退出,默认情况下会阻塞主进程

86441

linux通过进程名杀死进程_linux关闭进程命令

笔记:根据一个进程的名字或启动此进程的命令(连续的一部分即可)杀死进程 一、使用单条命令 ps -ef | grep 进程名/启动进程的命令 | grep -v grep | awk ‘{print $2...}’ | xargs kill -9 执行结果: [1]-  已杀死               sleep 200 [2]+  已杀死               sleep 200 二、编写脚本 linux.../bin/bash # 脚本名:kill_process.sh # 脚本功能:强制杀死进程 方式kill -9     # 1通过ps查询进程的id     # 2使用kill -9 强制终止进程...函数功能:根据进程名杀死程序     参数:进程名     返回值:无 !...————————————————————— # 根据进程名查询包含进程名的进程 并排除grep查询进程和此脚本进程 ps -ef | grep “$pName” | grep -v grep | grep

15.5K20

Linux】解决:为什么重复创建同一个【进程pid会变化,而ppid进程id不变?】

前言 大家好吖,欢迎来到 YY 滴Linux 系列 ,热烈欢迎!...本章主要内容面向接触过Linux的老铁 主要内容含: 1.系统调用接口查看pid,ppid pid:当前进程 ppid:进程 每一次启动的进程, 系统会重新生成pid ,系统只保证当前生命周期内...pid有效; 但是 进程不会变 2.为什么ppid进程id不变?...——bash命令行解释器与bash进程 当我们运行一个进程时,命令行解释器会把这个指令解释成bash的子进程 接着再由这个bash的子进程执行对应的命令 当这个子进程出现问题时,并不影响bash的进程...即:每一条命令被执行,都属于bash的子进程 我们执行一段代码,parent对应的是getppid()函数; 我们接着用ps+grep过滤指令查看这个16815进程,发现其就是bash进程

7710

Linux进程学习【进程状态】

本文将会带着大家认识的各种 进程 状态 ---- 正文 在谈 进程状态 之前,首先要回顾下之前的 进程 相关知识 OS管理的本质是先描述,再组织 OS并非直接管理 进程 ,而是管理 进程 的 PCB(...,即把手机揣进兜里,然后 专心执行走路这个 进程 进程状态 进程 有各种运行状态,方便OS进行管理,在 Windows 中,进程 状态是这样的 而在我们 Linux 中,新建、就绪、运行都可以看作...运行 R 这一个状态,所以比较清晰 而我们今天要学习的正是 Linux 中的 进程 状态 进程是何种状态,取决于此进程的PCB在哪里排队 ️运行 R 首先来看看第一种状态 R 以我们以往的认知来说...僵尸 T 状态 通俗来说,僵尸状态 是给 进程 准备的 当 子进程 被终止后,会先维持一个 僵尸 状态,方便 进程 来读取到 子进程 的退出结果,然后再将 子进程 回收 单纯的在 bash 环境下终止...进程,此时 子进程 会被OS领养 子进程进程 变为 1号进程进程 就变成了一个 孤儿进程 发出指令终止 进程 假设 子进程 不被 1号进程 领养 子进程 退出时就会无人回收

17230

Linux进程学习【进程地址】

,使得子进程进程共同使用一个变量 #include #include #include #include ...d 共享值地址:%p\n", getpid(), getppid(), val, &val); exit(0); } waitpid(id, 0, 0); printf("我是进程...因为每个进程都有属于自己的空间,OS 在管理进程时,能够以统一的视角进行管理,效率很高 光有 虚拟地址空间 是不够的,还需要一套完整的 ‘‘翻译’’ 机制进行程序寻址,如 Linux 中的 页表 +...️写时拷贝 Linux 中存在一个很有意思的机制:写时拷贝 这是一种 赌bo 行为,OS 此时就赌你不会对数据进行修改,这样就可以 使多个 进程 在访问同一个数据时,指向同一块空间,当发生改写行为时...(权限设置) 将 进程管理 和 内存管理 进行 解耦,方便 OS 进行更高效的管理 可以让进程以统一的视角看待自己的代码和数据 ---- 总结 以上就是本篇关于 Linux进程学习【进程地址】的全部内容了

13720

Linux进程调度_linux进程的查看和调度

对于处理器消耗型的进程,调度策略往往是降低他们的执行频率,延长运行时间。 Linux 系统为了提升响应的速度,倾向于优先调度 I/O 消耗型。...一、普通进程Linux 中普通进程依赖称之为 nice 值 的东东来进行进程的优先级描述。nice 值的范围是 [-20, 19]。...—— 小结 实时进程优先级:value 越高,优先级越大 普通进程优先级:nice值越高,普通进程的优先级越小 任何实时进程的优先级 > 普通进程 Linux 调度算法 ---- Linux 中有一个总的调度结构...Linux 调度时机 ---- 一、进程切换 从进程的角度看,CPU是共享资源,由所有的进程按特定的策略轮番使用。...也可以用 pidstat -w 命令查看进程切换的每秒统计值: pidstat -w 1 Linux 3.10.0-229.14.1.el7.x86_64 (bj71s060) 02/01/2018

20.2K10

Linux】静态进程和动态进程

引言 在Linux环境中,进程的加载方式涉及到静态进程和动态进程两个概念。这两种方式都有各自的优势和劣势,而正确选择加载方式对于应用程序的性能和管理至关重要。...本文将深入探讨静态进程和动态进程的特点、优劣势,并为你提供在不同场景下的选择建议。 1....静态进程适用于不经常更新和部署的应用,以及对独立性和部署简便性要求较高的环境。 2. 动态进程 动态进程是一种加载方式,它在程序运行时依赖外部的共享库(动态链接库)。...相对于静态进程,动态进程的可执行文件较小,因为它只包含程序自身的代码,而共享库的加载则在程序启动时由动态链接器完成。...无论选择静态进程还是动态进程,了解它们的特点以及在不同情况下的适用性,可以帮助开发者更好地优化程序的性能和管理。 结论 静态进程和动态进程各有优劣,选择合适的加载方式取决于项目的具体需求。

9810

Linux 进程总结

进程创建的进程(通常称为子进程),它们和进程存在隶属关系。子进程又可以创建进程,这样形成一个进程家族。子进程可以继承其父进程几乎所有的资源。 ?...孤儿进程 孤儿字面意思就是没有父母的孩子,那孤儿进程的意思就是没有进程进程。这种情况是怎么发生的呢?就是进程先于子进程结束,这时子进程被init进程收养,init的进程号为1。...僵尸进程 当一个子进程终止时,如果它的进程还在运行,内核会为这个终止的子进程保留一定量的信息。进程可以根据这些信息知道子进程的情况。直到进程对其进行了善后处理,子进程才会完全终止。...如果fork之后的某种逻辑显式或隐式地依赖于在fork之后是进程先运行还是子进程先运行,那么fork函数就会是竞争条件活跃的滋生地。通常,我们都是不可以预估子进程进程哪个先运行。...我们可以调用wait或者waitpid函数来让进程等待子进程运行完之后在运行,这样进程就会被阻塞住,直到子进程运行完毕之后才能运行,其实这样做的效率就比较低,我们fork就是希望多进程并发的执行,如果采用此方法

5.3K20
领券