最近开始学习Python自动化运维，特记下笔记。 学习中使用的系统是Kali Linux2017.2，Python版本为2.7.14+ 因为在KALI里面没有自带psutil模块，需要使用pip进行安装
传入的第一个参数可以是 PTRACE_PEEKTEXT / PTRACE_PEEKDATA / PTRACE_PEEKUSER , 这三个参数效果相同 ;
KMP算法是一种高效的字符串匹配算法，它的核心思想是利用已经匹配成功的子串前缀的信息，避免重复匹配，从而达到提高匹配效率的目的。KMP算法的核心是构建模式串的前缀数组Next，Next数组的意义是：当模式串中的某个字符与主串中的某个字符失配时，Next数组记录了模式串中应该回退到哪个位置，以便继续匹配。Next数组的计算方法是找出模式串每一个前缀中最长的相等前缀和后缀，并记录下来它们的长度，作为Next数组中的对应值。
谈到让Go程序监控自己进程的资源使用情况，那么就让我们先来谈一谈有哪些指标是需要监控的，一般谈论进程的指标最常见的就是进程的内存占用率、CPU占用率、创建的线程数。因为Go语言又在线程之上自己维护了Goroutine，所以针对Go进程的资源指标还需要加一个创建的Goroutine数量。
期待的效果就像 PCHuntor 里的那样，如下： 📷 上代码 #include "stdafx.h" #include <Windows.h> #include <vector> #include <iostream> #include <assert.h> #include <psapi.h> #include <tlhelp32.h> using namespace std; /*枚举指定进程所有内存块 assert(hProcess != nullptr); 参数: hProcess:
CR3是一种控制寄存器，它是CPU中的一个专用寄存器，用于存储当前进程的页目录表的物理地址。在x86体系结构中，虚拟地址的翻译过程需要借助页表来完成。页表是由页目录表和页表组成的，页目录表存储了页表的物理地址，而页表存储了实际的物理页框地址。因此，页目录表的物理地址是虚拟地址翻译的关键之一。
大家好，我是山月。本篇文章帮你了解一些在裸机上的命令以及如何查看指标。本篇文章正在参加掘金的征文活动，大家可以在原文中打开地址给我点个赞。
Stack - 所有函数的 local variables, arguments 和 return address 的存放内存区域
最近在做文本统计，用 Python 实现，遇到了一个比较有意思的难题——如何保存统计结果。
GT3.1的版本更新，带来了全面的维度分析。那么这些功能是如何实现的呢？本章GT君将详细的从CUP维度、内存维度、流量维度、流畅度维度为大家讲解这些功能的作用和实现原理。
psutil模块在获取进程信息方面也提供了很好的支持，包括使用psutil.pids()方法获取所有进程PID
#下面的例子中，Popen类的作用是获取用户启动的应用程序进程信息，以便跟踪程序进程的执行情况
我们常见的计算机，如笔记本。我们不常见的计算机，如服务器，大部分都遵守冯诺依曼体系。
Sunday 算法是一种字符串搜索算法，由Daniel M.Sunday于1990年开发，该算法用于在较长的字符串中查找子字符串的位置。算法通过将要搜索的模式的字符与要搜索的字符串的字符进行比较，从模式的最左侧位置开始。如果发现不匹配，则算法将模式向右滑动一定数量的位置。这个数字是由当前文本中当前模式位置的最右侧字符确定的。相比于暴力方法，该算法被认为更加高效。
当然我们可以利用msf建立连接后也可以使用mimikatz输入load mimikatz 然后输入wdigest就可以获取明文密码
lsass是windows中处理本地安全和登录策略的重要进程，几乎所有的windows身份认证程序都离不开lsass进程。因此在lsass的内存中会保存用户相关的凭证。它是windows主机中认证的重要组成部分，因此获取lsass内存也是MITRE ATT&CK框架中Credential Access战术下的重要技术点。
在《你真的理解内存分配》一文中，我们介绍了 malloc 申请内存的原理，但其在内核怎么实现的呢？所以，本文主要分析在 Linux 内核中对堆内存分配的实现过程。
之前的文章所说的都是如何优化一条指令执行的速度（比如并发，乱序，分支预测，加相同电路让某个频繁操作可以同时进行处理），另外一种提升性能的方式就是 同时运行多个指令流，使用多核处理器：
在Windows操作系统中，每个进程的虚拟地址空间都被划分为若干内存块，每个内存块都具有一些属性，如内存大小、保护模式、类型等。这些属性可以通过VirtualQueryEx函数查询得到。
在程序出现bug的时候，最好的解决办法就是通过 GDB 调试程序，然后找到程序出现问题的地方。比如程序出现 段错误（内存地址不合法）时，就可以通过 GDB 找到程序哪里访问了不合法的内存地址而导致的。
动态链接库(DLL)想必大家都不陌生了吧，C/C++编程经常会用到，那么，它跟我们的Python有什么关系？要说关系恐怕也就是Python是用C写的了，不过，还有一点更重要的关系，那就是Python可以调用C函数，这一点，在Pywin32中有所体现。下面我们就来详细了解下到底Python使用动态链接库是怎么回事吧。
备注：一些命令的输出，第一次记录的数据是自重启到当前时间的平均值，所以，如果采用循环的方式不断重复开启命令，获取的数据可能不太准确，所以，这里采用开启命令后，一次性捕获需要的数据。
因近期有开发人员在跑脚本时占用系统内存太多导致系统其它进程宕掉，所以需要对系统进程进行扫描监控，如果检测到占用系统内存大于5G的进程就直接kill掉，但是担心误杀，所以暂时只做扫描并记录日志，进行观察，脚本如下：
对于诸多逆向爱好者来说，给一个app脱壳是一项必做的事情。基于安全性的考虑，苹果对上架到appstore的应用都会进行加密处理，所以如果直接逆向一个从appstore下载的应用程序时，所能看到的“源代码”将非常的晦涩难懂。为了能看懂应用程序的“源代码”，就必须对应用程序进行解密，也就是所谓的脱壳。脱壳后的目的是可以分析应用程序的一些技术实现原理，或者利用一些漏洞进行攻击和测试。
ShellCode 的格式化与注入功能在实战应用中也尤为重要，格式化Shellcode是指将其转换为可执行的二进制格式，使其能够在内存中运行。注入Shellcode是指将格式化的Shellcode注入到另一个进程的内存中，以便在该进程中执行，此类功能也可算作ShellCode技术的延申功能。
介绍 本文是介绍恶意软件的持久性及传播性技术这一系列的第一次迭代，这些技术中大部分是研究人员几年前发现并披露的，在此介绍的目的是建立这些技术和取证方面的知识框架。 用于证明概念的代码可以在CERT的G
iOS系统生成的可执行程序或者动态库文件的存储布局格式被称之为mach-o格式。文件中存放着程序的代码和数据，而程序运行时系统会为其建立一个进程，以及分配虚拟内存空间。同时会把程序文件中的内容加载到虚拟内存地址空间中去，这种加载的方法一般采用内存映射文件的技术来实现。所谓的映像可以理解为将一个程序文件的内容加载到进程虚拟内存中的内容，也就是说进程的映像就是程序磁盘文件在内存中的一个副本。 一般来说一个进程中映像的内容和内存布局结构会和程序文件的内容以及存储布局结构一致，映像的首地址是一个struct mach_header的结构体指针。映像中内容的排列布局和程序文件都是以段(Segment)为单位进行排列的。但是有一些情况映像的内存布局和内容可能会和程序文件的内存布局和内容不一致：
大量TimeoutException，说明当前redis服务节点上已经堆积了大量的连接查询，超出redis服务能力，再次尝试连接的客户端，redis 服务节点直接拒绝，抛出错误。
运维工程师经常使用 Python 编写脚本程序来做监控系统运行的状态。如果自己手动使用 Python 的标准库执行系统命令来获取信息，会显得非常麻烦。既要兼容不同操作系统，又要自己处理解析信息。为了解决的痛点问题，psutil 就横空出世。它的出现无疑是运维工程师的福音。运维小伙伴通过它执行一两行代码即可实现系统监控。
psutil是一个跨平台库能够轻松实现获取系统运行的进程和系统利用率（包括CPU、内存、磁盘、网络等）信息。它主要用来做系统监控，性能分析，进程管理。它实现了同等命令行工具提供的功能，如ps、top、lsof、netstat、ifconfig、who、df、kill、free、nice、ionice、iostat、iotop、uptime、pidof、tty、taskset、pmap等。目前支持32位和64位的Linux、Windows、OS X、FreeBSD和Sun Solaris等操作系统.
psutil能够轻松实现获取系统运行的进程和系统利用率包括（CPU，内存，磁盘 和网络）等。主要用于系统监控。对于系统维护来说是个不错的模块。
前面我们介绍了 CGroup 的使用与基本概念，接下来将通过分析源码（本文使用的 Linux2.6.25 版本）来介绍 CGroup 的实现原理。在分析源码前，我们先介绍几个重要的数据结构，因为 CGroup 就是通过这几个数据结构来控制进程组对各种资源的使用。
In this lab you will add some new system calls to xv6, which will help you understand how they work and will expose you to some of the internals of the xv6 kernel. You will add more system calls in later labs.
大家应该都遇到过一种情况，在实际工作中有时需要程序打印出某个进程的内存占用情况以作参考, 下面介绍一种通过Linux下的伪文件系统 /proc 计算某进程内存占用的程序实现方法.下面话不多说了，来一起看看详细的介绍吧。
这是进程在内核中的结构形式，那么内核是如何来以树形结构管理描述这些进程的呢？用来描述进程的数据结构，可以理解为进程的属性。比如进程的状态、进程的标识（PID）等，都被封装在了进程描述符 task_struct 这个数据结构中。
在渗透过程中有时候为了权限维持或者其他等一些操作，比如以前的搜狗输入法可以替换dll文件当用户切换输入法就会去加载我们替换的dll文件，dll文件可以自己编写一些net user或者其他的一些方法，也可以通过msf等来生成dll文件进行替换。
作者：matrix 被围观: 15,594 次 发布时间：2015-03-04 分类：兼容并蓄 零零星星 | 11 条评论 »
标示符（pid）: 描述本进程的唯一标示符，用来区别其他进程； 状态（status）: 任务状态，退出代码，退出信号等； 优先级（PRI）: 相对于其他进程的优先级； 程序计数器: 程序中即将被执行的下一条指令的地址； 内存指针: 包括程序代码和进程相关数据的指针，还有和其他进程共享的内存块的指针上下文数据: 进程执行时处理器的寄存器中的数据[休学例子，要加图CPU，寄存器； I／O状态信息: 包括显示的I/O请求,分配给进程的I／O设备和被进程使用的文件列表； 记账信息: 可能包括处理器时间总和，使用的时钟数总和，时间限制，记账号等。
远程线程注入是最常用的一种注入技术，在应用层注入是通过CreateRemoteThread这个函数实现的，该函数通过创建线程并调用 LoadLibrary 动态载入指定的DLL来实现注入，而在内核层同样存在一个类似的内核函数RtlCreateUserThread，但需要注意的是此函数未被公开，RtlCreateUserThread其实是对NtCreateThreadEx的包装，但最终会调用ZwCreateThread来实现注入，RtlCreateUserThread是CreateRemoteThread的底层实现。
写入时复制（英语：Copy-on-write，简称COW）是一种计算机程序设计领域的优化策略。其核心思想是，如果有多个调用者（callers）同时请求相同资源（如内存或磁盘上的数据存储），他们会共同获取相同的指针指向相同的资源，直到某个调用者试图修改资源的内容时，系统才会真正复制一份专用副本（private copy）给该调用者，而其他调用者所见到的最初的资源仍然保持不变。这过程对其他的调用者都是透明的（transparently）。此作法主要的优点是如果调用者没有修改该资源，就不会有副本（private copy）被创建，因此多个调用者只是读取操作时可以共享同一份资源。
导读：手上有一个测试服务器，内存是8G，最近开始搭起微服务的软件架构，单个Spring Boot 服务内存占用有点大，比如一个RocketMq的消费者服务(单独运行的服务)，启动占用了 500M 内存,导致我后面想运行其他服务,内存不够，触发了 Linux 的 OOM - Killer 机制
Mimikatz是法国人Gentil Kiwi编写的一款windows平台下的神器，它具备很多功能，其中最亮的功能是直接从 lsass.exe 进程里获取windows处于active状态账号的明文密码
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
