linux木马进程pid变化,linux下模拟一个木马程序运行过程

预备知识:

将一个程序放入到后台,悄悄的执行

./xxx.sh &

进程:

用户进程:由用户来管理

系统进程:由系统内核自行管理

系统中的每个进程,都有一个位置的ID,这就是pid,而且每次启动进程以后,PID都不相同

进程相关的命令

jobs

作用:查看当前运行在后台的进程有哪些

信息

第一列:进程编号

第二列:进程状态

第三列:进程是如何发起的

fg   进程编号    把进程从后台调到前台执行

kill %进程编号  杀死进程

ps aux   打印系统所有进程

fe5411f1440651980d04c56b598dc550.png

num=`ps aux | grep myser |wc -l`   #执行grep myser本身就会创建一个进程,如果有myser这个进程则num为2,如果没有myser这个进程,则num为1,

584fd45fc169198f07a317dae6c4d9df.png

kill作用杀死进程

格式:kill 信号级别 进程PID

信号级别

-9:斩立决。立刻杀死进程

-15:死缓。等待现有的客户端处理完毕之后,立刻杀死进程

【等待期间新的用户请求无法被接入】

木马最终效果

让程序自动运行,而且是开机自动运行起来

程序还可以自我保护

防止程序文件被删除

实现步骤

1. 开发一个伪木马myser,位置:可以随便放,这里为了方便放在/下,实际使用时是放在非常隐蔽的目录下

#!/bin/bash

while true

do

touch /home/`date +%T`.txt    #在/home/下每隔一秒就创建一个文件,文件名为 创建时间.txt

sleep 1

done

81debb3e4abc766840cb5e33b156003b.png

创建完后赋权限        chmod +x myser

09c2ce8eb27fc1ab91a1fb9f96ac5aad.png

试运行      ./myser      ctrl+c停止  cd到/home/目录下查看

a402eeebbe8ba57ef4d94b9f1f7c6b1b.png

2. 将这个木马设置为开机自动启动

在/etc/rc.local中写入

/bin/bash /myser &

987310767c33aef94ab532aeaacb1e5f.png

3. 开发一个检查木马进程是否正在运行的程序,check.sh ,位置:可以随便放,这里为了方便放在/下,实际使用时是放在非常隐蔽的目录下

#!/bin/bash

num=`ps aux | grep myser |wc -l`   #执行grep myser本身就会创建一个进程,如果有myser这个进程则num为2,如果没有myser这个进程,则num为1(),

if [ $num -eq 1 ];then     #num为1则表示木马进程已被杀死,需重新启动木马

/bin/bash /myser &   # &表示后台启动,不再屏幕上出现信息

fi

创建完后赋权限        chmod +x check.sh

d7a0960e9c364a0d4c07927320fdcb7d.png

4.将check.sh写进或放进计划任务中

思路1:

写进计划任务中  但这样很容易用crontab -l 查看发现

crontab -e     #创建计划任务

b49174f5fb8d6d961533ebbc89f97c69.png

每分钟执行一次

*  *  *  *  *    # 分 时 日 月 周

crontab -l    #查看当前创建了哪些计划任务

64362536e293687b75d8b2cad97aa5a3.png

思路2:

将check.sh放在/etc/cron.d/cron.hourly

这个目录下的程序会每隔1h自动执行一次

思路3:

执行check.sh的计划任务写在/etc/crontab   #这个目录下的crontab中的任务计划不会出现在crontab -l中

*/5 * * * * /bin/bash /etc/check.sh

思路4:

在/etc/init.d下随便找个程序,将执行check的命令写进去

5.重启验证效果---------------reboot关机

开机后在/home/下发现一堆文件

8ea87b4b18887a2a77d74d505ef4357a.png

脚本正在运行

cb21bcbd2fa9772686a38c1c27af62c5.png

杀死进程

02e51f118872aa171e3b0ce494310217.png

过一分钟后再次查看,发现进程已重启,注意看PID是不一样的,表示进程是重新启动过的

8a596292252b07154edc71fbe3703afe.png

自此完成

相关推荐

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
©️2022 CSDN 皮肤主题:1024 设计师:我叫白小胖 返回首页
评论
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值