Linux 隐藏进程

最新推荐文章于 2026-04-23 23:15:36 发布

原创

最新推荐文章于 2026-04-23 23:15:36 发布 · 1.9k 阅读

标签

#linux

收录于

文章介绍了隐藏进程的两种方法，包括用户级Rootkit使用LD_PRELOADhooklibc库，以及内核级rootkit通过摘链隐藏技术。后者通过直接操作内核对象，如摘除task_struct链表项，实现进程隐藏。还提到了AnLKMrootkit工具作为案例。

文章目录

一、隐藏进程的几种方法
二、摘链隐藏
附录：

一、隐藏进程的几种方法

用户级Rootkit 通过LD_PRELOAD来hook libc库,从而过滤/proc/pid目录
内核级rootkit 通过hook系统调用getdents/getdents64或者hook 文件file_operation的iterate
内核级rootkit把task_struct从相关链表摘除(init_task,pidlist)

关于第一种hook方式可以参考上一篇文章Linux LD_PRELOAD Hook

二、摘链隐藏

这种方式属于DKoM(Direct Kernel Object Manipulation)攻击方式了，即直接内核对象操作技术。这里直接贴上大佬总结好的博客链接： Linux系统下如何隐藏自己的进程？
实现代码：

#include <linux/module.h>
#include <linux/sched.h>

/*摘链隐藏代码，只需要修改想要隐藏pid号就可以了*/
void hide_process(void)
{
    /* Linux kernel version 4.x.x */
    // int pid = 2;
    // struct task_struct *task = NULL;
    // struct pid_link *link = NULL;
    // struct hlist_node *node = NULL;

    // task = pid_task(find_vpid(pid), PIDTYPE_PID);
    // link = &