如何查找隐藏进程

前言

进程是执行程序的过程，类似于按照图纸，真正去盖房子的过程。

同一个程序可以执行多次，每次都可以在内存中开辟独立的空间来装载，从而产生多个进程。不同的进程还可以拥有各自独立的IO接口。操作系统的一个重要功能就是为进程提供方便，比如说为进程分配内存空间，管理进程的相关信息等等，就好像是为我们准备好了一个精美的地址。

进程信息是proc目录下动态生成，每个动态创建的进程ID号下面详细的记录了关于该进程的fd,mem,io,cpuset等进程信息。

Linux 内核提供了一种通过 /proc 文件系统，在运行时访问内核内部数据结构、改变内核设置的机制。proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。

**通过它可以访问系统内核数据。**用户和应用程序可以通过proc得到系统的信息，并可以改变内核的某些参数。

由于系统的信息，如进程，是动态改变的，所以用户或应用程序读取proc文件时，proc文件系统动态的。在/proc下还有三个很重要的目录：net，scsi和sys。sys目录是可写的，可以通过它来访问或修改内核的参数，而net和scsi则依赖于内核配置。例如，如果系统不支持scsi，则scsi 目录不存在。

除了以上介绍的这些，还有的是一些以数字命名的目录，它们是进程目录。系统中当前运行的每一个进程都有对应的一个目录在/proc下，以进程的 PID号为目录名，它们是读取进程信息的接口。而self目录则是读取进程本身的信息接口。

读取/proc/self/maps可以得到当前进程的内存映射关系，通过读该文件的内容可以得到内存代码段基址。

根据前言我们考虑通过覆盖proc中相关信息来使得ps，lsof等命令无法查找指定的进程信息

利用mount —bind 将另外一个目录挂载覆盖至/proc/目录下指定进程ID的目录，我们知道ps、top等工具会读取/proc目录下获取进程信息，如果将进程ID的目录信息覆盖，则原来的进程信息将从ps的输出结果中隐匿。

比如当前有个进程 id:4284

• ┌──(root㉿kali)-[~/桌面]
  └─# ps -aux| grep test
  root 4284 0.0 0.4 16932 8952 pts/0 S+ 21:34 0:00 python3 test.py
  root 4997 0.0 0.1 6568 2144 pts/1 S+ 21:35 0:00 grep --color=auto test

然后我们将该进程进行隐藏。创建一个空目录 然后将该空目录进行挂载

• ┌──(root㉿kali)-[~/桌面]
  └─# mkdir -p /empty/dir

  ┌──(root㉿kali)-[~/桌面]
  └─# mount -o bind /empty/dir/ /proc/4284

现在我们看不到进程信息了 、

• ┌──(root㉿kali)-[~/桌面]
  └─# ps -aux| grep test
  root 5717 0.0 0.1 6568 2244 pts/1 S+ 21:36 0:00 grep --color=auto test

现在说说怎么找

方式一 通过mounts相关信息来查找

• ┌──(root㉿kali)-[~/桌面]
  └─# cat /proc/mounts

• /dev/sda1 /proc/4284 ext4 rw,relatime,errors=remount-ro 0 0

方式二 一般查找隐藏进程的话都是使用工具，例如unhide工具,或者sysdig工具

• curl -s https://s3.amazonaws.com/download.draios.com/stable/install-sysdig | sudo bash

[root@docker]-[~]-#sysdig -c topprocs_cpu

这里我就不给图了

关于unhide

-apt 或者yum install unhide即可

暴力扫描隐藏进程：

• unhide checkbrute