linux 隐藏进程 - crux实现

    本文在不修改ps或top命令的任何代码与采用将进程号置0的方法的前提下，实现隐藏进程,本程序在CRUX 2.2上实现

 

1、原理

   Linux中，可以通过/proc文件系统访问到许多内核的内部信息。/proc文件系统最初的设计也是用于方便地访问进程相关的信息，因此命名为proc。现在这个文件系统已用于反映系统中方方面面的信息，例如/proc/modules是模块的列表，/proc/meminfo则是内存使用的统计。/proc文件系统中的目录并非持久存储的信息，也就是说，其目录并不“真实”地存在于磁盘，而是在访问时动态生成。

     本项目中我们感兴趣的是/proc文件系统中关于进程的信息。每一个进程在/proc文件系统中有一个目录即(/proc/<pid>)，目录名即进程号。self目录是一个链接，指向当前进程。

     ps命令和top命令从/proc文件系统中读取进程信息并显示出来。因此，如果一个进程的进程号没有在/proc文件系统中反映出来，则这个进程被“隐藏”了，“隐藏”进程在ps或top命令的输出不出现。

 

2、实现

2.1 为task_struct添加变量hide如下：(include/linux/sched.h)

 

    struct task_struct { unsigned did_exec:1; pid_t pid; pid_t tgid; ...（省略） char hide;（在最后一行添加该句） } 

 

2.2 哪里修改proc代码

     在linux代码树中，所有文件系统的代码都放在linux/fs/目录中，其中，proc文件系统的原始码在linux/fs/proc中，下面我简单介绍一下proc目录中的源文件。 

     在目录中共有11个相关文件，他们是：
     procfs_syms.c inode.c generic.c base.c
     array.c root.c proc_tty.c proc_misc.c
     kmsg.c kcore.c proc_devtree.c

     这么多的文件我们如何去找呢，借鉴网上的资料，对各个文件进行查找可知：
     其中，procfs_syms.c，generic.c及inode.c和proc文件系统的管理相关，包括proc文件系统的注册，及向内核其他子系统提供的例程等等。
     源文件root.c和proc文件系统的根结点的管理相关。
     而base.c，array.c则用来处理/proc目录中进程的信息，包括命令行，进程状态，内存状态等等和进程相关的内容。proc_tty.c用来处理/proc/tty信息，proc_misc.c则用来管理和/proc目录中的大多数文件。
     除此之外，更有两