我们前面提到了, fork, vfork等复制出来的进程是父进程的一个副本, 那么如何我们想加载新的程序, 可以通过execve来加载和启动新的程序。
在上一篇文章《eBPF动手实践系列二：构建基于纯C语言的eBPF项目》中，我们初步实现了脱离内核源码进行纯C语言eBPF项目的构建。libbpf库在早期和内核源码结合的比较紧密，如今的libbpf库更加成熟，已经完全脱离内核源码独立发展。
本篇聊一聊 新的主题：《反弹shell-逃逸基于execve的命令监控》，打算写一个专题，预估可以写三篇，内容确实有点多，也是最近研究了一些有意思的东西，想给大家分享一下。喜欢的话，请大家一定点在看，并分享出去，算是对我原创最大的支持了。
本篇聊一聊 新的主题：《反弹shell-逃逸基于execve的命令监控》，打算写一个专题，预估可以写三篇，内容确实有点多，也是最近研究了一些有意思的东西，想给大家分享一下。喜欢的话，请大家一定点在看，并分享出去，算是对我原创最大的支持了。如何想看新方法，直接到最后。
就会出现如下结果。ps 在此处，我们可以人为ls为可执行程序的名称，--version 是该程序需要的参数。
之前的文章中，我们讲到了无文件执行的方法以及混淆进程参数的方法，今天我们继续讲解一种linux无文件执行的技巧，是后台朋友给我的提醒，万分感谢，又学到了新的东西。
开发后端有很多的编程语言，目前比较流行的就是python ,c,cpp,java,js,php,rust,golang ..
本病毒使用了去符号表、敏感信息混淆、int 0x80执行系调函数、sh -c 执行bash脚本获取相关信息等技术来做免杀处理，但是不足的点也很明显：
因为图片比较大，微信公众号上压缩的比较厉害，所以很多细节都看不清了，我单独传了一份到github上，想要原版图片的，可以点击下方的阅读原文，或者直接使用下面的链接，来访问github：
在这篇文章中，让我们看看如何使用 GOT 覆盖和解引用技巧。来绕过共享库地址随机化。我们在第一部分中提到过，即使可执行文件没有所需的 PLT 桩代码，攻击者也可以使用 GOT 覆盖和解引用技巧来绕过 ASLR。
前言：ebpf 是现代 Linux 内核提供的非常复杂和强大的技术，它使得 Linux 内核变得可编程，不再是完全的黑盒子。随着 ebpf 的发展和成熟，其应用也越来越广泛，本文介绍如何使用 ebpf 来追踪 Node.js 底层的代码。
前言：ptrace 是 Linux 内核提供的非常强大的系统调用，通过 ptrace 可以实现进程的单步调试和收集系统调用情况。比如 strace 和 gdb 都是基于 ptrace 实现的，strace 可以显示进程调用了哪些系统调用，gdb 可以实现对进程的调试。本文介绍这些工具的底层 ptrace 是如何实现的。这里选用了 1.2.13 的早期版本，原理是类似的，新版内核代码过多，没必要陷入过多细节中。
原创作品转载请注明出处 + https://github.com/mengning/linuxkernel/
这个系列的博客贴的都是我大二的时候学习Linux系统高级编程时的一些实验程序，都挺简单的。
之前写过一篇文章 Linux下c语言中的main函数是如何被调用的，该篇文章侧重于从user space层面讲程序的运行，而文章中提到的有关kernel space层面的相关系统调用，比如fork、execve等，都被一笔带过。
前面我们了解到了0号进程是系统所有进程的先祖, 它的进程描述符init_task是内核静态创建的, 而它在进行初始化的时候, 通过kernel_thread的方式创建了两个内核线程，分别是kernel_init和kthreadd，其中kernel_init进程号为1
子进程 在被创建后，共享的是 父进程 的代码，如果想实现自己的逻辑就需要再额外编写代码，为了能让 子进程 执行其他任务，可以把当前 子进程 的程序替换为目标程序，此时需要用到 Linux 进程程序替换相关知识
简单来讲，进程就是运行中的程序。更进一步，在用户空间中，进程是加载器根据程序头提供的信息将程序加载到内存并运行的实体。
其实是想学习一下ecapture是怎么实现的，但是实际在我xiaomi 10手机上测试的过程中（已经有root权限）发现，并没办法运行，因为ecapture需要内核开启CONFIG_DEBUG_INFO_BTF，这个配置信息可以通过/proc/config.gz中来查看是否开启。
前言:最近在实现linux的HIDS agent, 搜索资料时发现虽然资料不少, 但是每一篇文章都各自有侧重点, 少有循序渐进, 讲的比较全面的中文文章, 在一步步学习中踩了不少坑, 在这里将以进程信息收集作为切入点就如何实现一个HIDS的agent做详细说明, 希望对各位师傅有所帮助.
既然是执行系统调用，在这里就大概记录一下Linux系统下的系统调用，Linux的系统调用通过int 80h来实现，用系统调用号来区分入口函数,操作系统实现系统调用的基本过程是：
之前我们说过ret2text漏洞是依赖于程序中存在执行 system("/bin/sh")的函数，那么如何解决ret2text的局限性
Linux 操作系统紧紧依赖进程创建来满足用户的需求。例如，只要用户输入一条命令，shell 进程就创建一个新进程，新进程运行 shell 的另一个拷贝并执行用户输入的命令。Linux 系统中通过 fork/vfork 系统调用来创建新进程。本文将介绍如何使用 fork/vfork 系统调用来创建新进程并使用 exec 族函数在新进程中执行任务。
我们在写完代码后，进行简单的编译，然后在 shell 命令行下就可以把它启动起来。
刷到顺丰安全发表关于Velociraptor的文章，提到可以用它实现数据的查询，在应急的时候起很大作用，再加上刷到Velociraptor的一个ppt，笔者觉得挺不错，就来体验下。
当在x64环境下函数的参数传递凑不齐类似“pop rdi；ret”/“pop rsi；ret”/“pop rdx；ret”等3个传参的gadgets时，就可以考虑使用_libc_csu_init函数的通用gatgets。
大家周末好，今天给大家继续分享linux内核学习。上次讲解到linux内核启动分析的前期准备，还没有去分析linux内核具体启动分析过程，这里我换一种方式来分享，在linux启动后，linux系统接下来会如何进行工作？然后再反过来具体分析linux内核启动过程，启动过程会设计到一些汇编语言，以及这个时候去具体分析c语言代码的话，就真正考验c语言的功底的时候到了；同时c语言的基本功，大家可以去看我以前学习c语言的一些常用c语言用法，我把它搞成了专辑，方便大家查看。
Linux 是一种安全的操作系统，它把所有的系统权限都赋予了一个单一的 root 用户，只给普通用户保留有限的权限。root 用户拥有超级管理员权限，可以安装软件、允许某些服务、管理用户等。
polkit的pkexec 存在本地权限提升漏洞 已获得普通权限的攻击者可以通过此漏洞提权至root权限
这个漏洞早在去年的时候就看过一些文章了, 不过一直都没用过这个漏洞的打法, 直到昨天的DASCTF才上手用了这个漏洞的一小段原理, 今天就写一篇关于这个漏洞的文章吧。
很多时候我们为了安全审计或者故障跟踪排错，可能会记录分析主机系统的操作行为。比如在系统中新增了一个用户，修改了一个文件名，或者执行了一些命令等等，理论上记录的越详细, 越有利于审计和排错的目的。不过过剩的记录也会为分析带来不少麻烦， 尤其是将很多主机的记录行为发送到固定的远程主机中，数据越多，分析的成本便越大。
/usr/include/x86_64-linux-gnu/asm/unisted_64.h
在 《漫画解说内存映射》一文中介绍过 虚拟内存 与 物理内存 映射的原理与过程，虚拟内存与物理内存进行映射的过程被称为 内存映射。内存映射是硬件（内存管理单元）级别的功能，必须按照硬件的规范设置好内存映射的关系，进程才能正常运行。
fork函数是用于创建一个子进程，该子进程几乎是父进程的副本，而有时我们希望子进程去执行另外的程序，exec函数族就提供了一个在进程中启动另一个程序执行的方法。它可以根据指定的文件名或目录名找到可执行文件，并用它来取代原调用进程的数据段、代码段和堆栈段，在执行完之后，原调用进程的内容除了进程号外，其他全部被新程序的内容替换了。另外，这里的可执行文件既可以是二进制文件，也可以是Linux下任何可执行脚本文件。
SROP 学习过程中，很大一部分人写的 smallest 这道题的 writeup 让我感觉很疑惑，为了证明他们写的存在一定问题，被迫走上了 pwntools + gdb 调试的路，所以这次只能用视频来进行展示了，文章剩余部分是讲义的内容 也不知道因为啥，磨磨唧唧唠了近两个小时，在视频中，大家可以 get 以下内容： SROP 原理及利用 一道 CTF 题的解题方法 pwntools + gdb 如何进行调试 SROP 整个过程中栈的内容是如何变化的 一些偏执... 视频已经上传到 B 站了 https:/
首先看linux进程在32位处理器下的虚拟空间内存布局，以i386 32位机器为例
一、exec替换进程映象 在进程的创建上Unix采用了一个独特的方法，它将进程创建与加载一个新进程映象分离。这样的好处是有更多的余地对两种操作进行管理。当我们创建 了一个进程之后，通常将子进程替换成新
函数状态涉及到: esp, ebp, eip esp 存储函数调用栈的栈顶地址 ebp 存储当前函数状态的基地址 eip 存储下一条执行的指令的地址
eBPF (Extended Berkeley Packet Filter) 是 Linux 内核上的一个强大的网络和性能分析工具，它允许开发者在内核运行时动态加载、更新和运行用户定义的代码。
文章目录 Linux——进程管理篇（详解fork和exec） 🚗如何在Linux编写与运行代码 编写 编译 运行 🚗进程管理 fork system exec 🚗总结 Linux——进程管理篇（详解fork和exec） 🚀🚀这篇文章，主要的目的就是帮助同学们完成操作系统的实验，因为考虑到很多同学第一次接触Linux，相当不习惯命令行的操作方式，所以我会详细来介绍，相信只要跟着步骤一步一步来，就一定能完成我们的实验，好了，我们接下来就来介绍吧！ ---- 🚗如何在Linux编写与运行代码 🚀🚀做实验，首
版权声明：本文为博主原创文章，转载请注明博客地址： https://blog.csdn.net/zy010101/article/details/83692324
本 文阐述 Linux 中的文件系统部分，源代码来自基于 IA32 的 2.4.20 内核。总体上说 Linux下的文件系统主要可分为三大块：一是上层的文件系统的系统调用，二是虚拟文件系统 VFS(Virtual FilesystemSwitch)，三是挂载到 VFS 中的各实际文件系统，例如 ext2，jffs 等。本文侧重于通过具体的代码分析来解释 Linux内核中 VFS 的内在机制，在这过程中会涉及到上层文件系统调用和下层实际文件系统的如何挂载。文章试图从一个比较高的角度来解释Linux 下的 VFS文件系统机制，所以在叙述中更侧重于整个模块的主脉络，而不拘泥于细节，同时配有若干张插图，以帮助读者理解。
Auditbeat Audited模块可以用来监控所有用户在系统上执行的 shell 命令。在终端用户偶尔才会登录的服务器上，通常需要进行监控。
两篇博客中 , 简单介绍了 禁用 dex2oat 机制 的原理 , 下面开始 实现 dex2oat 禁用功能 ;
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
