Linux /proc目录下和ELF反调试有关的文件

最新推荐文章于 2022-02-14 20:36:38 发布
最新推荐文章于 2022-02-14 20:36:38 发布
阅读量856 收藏
点赞数
分类专栏： 反调试 逆向 文章标签： Linux 反调试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_32465127/article/details/102915416
版权
本文探讨了Linux系统中与ELF反调试相关的/proc/[pid]目录下的文件，如wchan、cmdline和stat家族。通过分析wchan在调试状态下的变化、cmdline如何暴露调试信息，以及stat文件中的TracerPid和state字段，揭示了如何检测和规避调试。同时提到了/proc/[pid]/task/tid/目录下的线程状态文件以及可能的内核源码修改方法来绕过反调试检测。
摘要由CSDN通过智能技术生成

wchan

/proc/[pid]/wchan显示进程sleep时，kernel当前运行的函数。调试状态下,wchan文件会显示ptrace_stop。

 

cmdline

/proc/[pid]/cmdline文件存放进程的命令内容。使用GDB这类的调试器时，调试会fork一个子进程，然后执行ELF程序。此时，ELF文件就可以通过getppid()获取父进程pid,然后检测cmdline中是否存在gdb关键字，来判断程序的调试状态。

 

stat家族

/proc/[pid]/stat文件包含对应进程的状态信息，主要用于ps命令。此文件由kernel源文件kernel/msm/fs/proc/

最低0.47元/天 解锁文章
Siphre
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
linux wchan含义,有关linux平台的ps命令
weixin_39565332的博客
05-16 3404
命令：ps-el结果如下：guojianwen@guojianwen-desktop:~$ps-elFSUIDPIDPPIDCPRINIADDRSZWCHANTTYTIMECMD4S0100800-711-?00:00:01init1S...
Linux反调试小记（一）
博客
05-08 622
在编写Linux程序过程中，考虑到自己写的程序可能会被别人调试，因此对Linux的反调试技术进行了一些研究，这里一共总结了9种方法，我将分三篇文章对这些方法进行说明。当然了，如果在这个过程中你有更好的、更加新颖的思路与方法，欢迎交换。现在开始进入正题啦。 一、忽略int3指令 我们知道，X86从它的第一代产品8086开始就提供了int 3作为它的调试指令，int 3又叫做断点指令，专门用来给调试器使用。那么如果这样的话，很容易就能够联想到，要反调试，只要插入int 3来迷惑调试器即可。但是这会影响正常的
Linux中 /proc/[pid] 目录各文件简析
09-09 2236
Linux 内核提供了一种通过 proc 文件系统，在运行时访问内核内部数据结构、改变内核设置的机制。proc 文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它以文件系统的方式为访问系统内核数据的操作提供接口。 用户和应用程序可以通过 proc 得到系统的信息，并可以改变内核的某些参数。由于系统的信息，如进程，是动态改变的，所以用户或应用程序读取 proc 文件时，proc 文件系统是动态从系统内核读出所需信息并提交的。 下面列出的这些文件或子文件夹，并不是都是在你的系统中存在，这取决于
Linux下的反调试技术
11-09 2453
转自  http://wangcong.org/blog/archives/310   如何防止自己的程序被调试器跟踪，这是一个很有趣的话题，也是反逆向工程中的一个重要话题。这里简单介绍一下Linux平台上的反调试技术。 （本文主要参考：http://blog.txipinet.com/2006/10/05/37-tecnicas-anti-debugging-sencillas-para-
Liunux反调试
小小鱼的博客
02-14 177
常见的思路： 关闭gdb使用的文件描述符3，close(3) 可以逆向分析可执行文件，通过patch可执行文件中的close函数来绕过 隐藏进程pid或者使用fork+kill不断刷新进程pid 使用ptrace调试自身，防止被gdb等使用ptrace系统调用的调试器的调试 可以逆向分析可执行文件，patch可执行文件中的ptrace操作来绕过 去除对程序运行无影响的段，用readelf无法分析可执行文件，gdb也就无法获取调试需要的文件相关信息 ...
反调试技术 linux,Linux下的反调试技术.pdf
weixin_35437202的博客
05-16 188
Linux下的反调试技术.pdfLinux 下的反调试技术如何防止自己的程序被调试器跟踪，这是一个很有趣的话题，也是反逆向工程中的一个重要话题。这里简单介绍一下Linux 平台上的反调试技术。( 本 文 主 要 参 考 ：/2006/10/0...
linux反调试代码,linux反调试方法
weixin_39607836的博客
05-14 249
如何防止自己的程序被调试器跟踪，这是一个很有趣的话题，也是反逆向工程中的一个重要话题。这里简单介绍一下Linux平台上的反调试技术。(本文主要参考：http://blog.txipinet.com/2006/10/05/37-tecnicas-anti-debugging-sencillas-para-gnu-linux/。做人要厚道，转载请指明出处！)一. int3指令Intel Softwar...
linux 操作系统 GTK /proc文件 系统监视器
02-24
在Linux下，可以通过读取`/proc`目录下的文件来获取系统信息。例如，`/proc/cpuinfo`包含CPU的详细信息，`/proc/meminfo`展示了系统的内存使用情况，而`/proc/loadavg`则可以获取系统负载平均值。这些文本文件的内容...
linux /proc 文件 系统监控器 GTK
02-24
在Linux操作系统中，/proc文件系统是一个非常特殊的虚拟文件系统，它并不占用磁盘空间，而是作为内核与用户空间之间的一个接口，用于提供运行时的系统信息。这个特殊的文件系统允许用户通过读取其中的文件来获取关于...
Linux proc目录下子文件或子文件夹的作用
01-10
一.Linux /proc目录 简介Linux 内核提供了一种通过 /proc 文件系统，在运行时访问内核内部数据结构、改变内核设置的机制。proc文件系统是一个伪文件系统，它只存在内存当中，而不占用外存空间。它以文件系统的方式为...
Linux中proc目录下文件详解
11-25
- `/proc/sys`: 这个目录包含许多子目录和文件，用于调整内核参数和系统设置。 5. **网络信息** - `/proc/net`: 包含关于网络接口、路由表、套接字统计等的文件，如`/proc/net/dev`显示网络接口的收发字节数。 -...
通过Linux系统的内核观察/proc/pid/statm
07-09
在 Linux 系统中，proc_pid_statm 函数是通过 proc 文件系统来实现的，该文件系统提供了一个接口，允许用户空间程序访问内核空间的信息。proc_pid_statm 函数正是通过这个接口来获取任务虚拟地址空间的大小和应用...
Linux反调试小记（三）
博客
05-23 1193
接着上面的文章，继续讨论关于Linux的反调试技术。 七：检查进程运行状态 调试器可以通过attach到某个已有进程的方法进行调试。这种情况下，被调试进程的父进程便不是调试器了。 在这种情况下，我们可以通过直接检查进程的运行状态来判断是否被调试。而这里使用到的依然是/proc文件系统。具体地，我们检查/proc/self/status文件。 当由非调试状态转变为调试状态时，进程状态由sleeping变为tracing stop，TracerPid也由0变为非0的数，即调试器的PID。由此，我们便可通过.
反调试技术 linux,动态反调试技术
weixin_31014835的博客
05-16 361
一、异常1. SEH2. SetUnhandledExceptionFilter()进程中发生异常，若SEH未处理或者注册的SEH不存在，此时会调用执行系统的kernel32!UnhandledExceptionFilter()API.该函数内部会运行系统的最后一个异常处理器(名为Top Level Exception Filter或Last Exception Filter).系统最后的异常处理...
linux pid nr ns,尝试绕过TracerPID反调试
weixin_42305163的博客
05-18 340
安装MinGW, 在官网下好之后, 右键按下图选中要下载的，之后直接在Installation中直接选中Apply change即可。进入安装目录\MinGW\bin, 将gcc.exe重命名为cc.exe, 就短暂地这样改就好了，之后用完make工具再改回来。反正我没找到哪里可以改Makefile的内容(小辣鸡)。不这样修改的话会出现如下报错：具体原因好像是MinGW的bug, 在Linux环境...
者旨於陽 Linux内核调试方法总结之反汇编
一口Linux的专栏
03-18 320
Linux反汇编调试方法 Linux内核模块或者应用程序经常因为各种各样的原因而崩溃，一般情况下都会打印函数调用栈信息，那么，这种情况下，我们怎么去定位问题呢？本文档介绍了一种反汇编的方法辅助定位此类问题。 代码示例如下： #include <signal.h> #include <stdio.h> #include <stdlib.h> #include <execinfo.h> #include <fcntl.h> #inclu
linux驱动调试方法反汇编,内核调试的方法
weixin_29248313的博客
05-13 523
驱动程序的调试一. 打印: prink, 自制proc文件UBOOT传入console=ttySAC0 console=tty11. 内核处理UBOOT传入的参数console_setupadd_preferred_console // 我想用名为"ttySAC0"的控制台，先记录下来2. 硬件驱动的入口函数里:drivers/serial/s3c2410.cregister_console(&a...
Linux ptrace 原理,安卓|使用ptrace绕过ptrace反调试(一)
weixin_28883589的博客
05-15 576
一、LD_PRELOAD(一)原理LD_PRELOAD是linux系统的一个环境变量，它可以影响程序运行时装载的动态链接库。装载动态链接库，一般情况下按照以下顺序进行：LD_PRELOAD>LD_LIBRARY_PATH>/etc/ld.so.cache>/lib>/usr/lib这里通过编译一个包含ptrace()的动态链接库，并将其设为LD_PRELOAD环境变量，从而...
frida脱二代数字壳全流程
siphre
01-05 2669
闲谈 drizzleDumper只能整体脱一代数字壳，原理是DEX整体脱壳，一代壳市面上较少见。 二代数字壳可能是分段式Dex，据说frida和Xposed能脱，Xposed的环境搭建条件苛刻，似乎要真机、root、Android低版本，不知道是不是真的，反正我是怕了，先Frida走一波。（frida是一款基于python + javascript 的hook框架，可运行在android、io...
使用C语言编写一段遍历Linux/proc目录下所有文件的代码
最新发布
06-06
下面是一个遍历Linux `/proc` 目录下所有文件的C语言代码： ```c #include <stdio.h> #include <dirent.h> #include <string.h> int main() { DIR* dir = opendir("/proc"); // 打开目录 if (dir == NULL) { perror("opendir failed"); return -1; } struct dirent* entry; while ((entry = readdir(dir)) != NULL) { // 遍历目录 if (entry->d_type == DT_DIR && strcmp(entry->d_name, ".") != 0 && strcmp(entry->d_name, "..") != 0) { // 过滤掉 "." 和 ".." 目录 printf("%s\n", entry->d_name); } } closedir(dir); // 关闭目录 return 0; } ``` 此代码使用 `opendir` 打开 `/proc` 目录，然后使用 `readdir` 遍历目录中的所有文件。这里使用 `d_type` 属性过滤掉非目录文件，使用 `strcmp` 函数过滤掉 "." 和 ".." 目录，最后输出剩余的目录名字。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值