危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2289 浏览18982384

结合Windows浅谈Linux进程管理

Linux出色的性能无须多言,假如我们把Linux看作是一盘棋,那么系统中所有的进程就是这盘棋中的棋子,如果不能及时掌握棋子的位置及状态,那么无论攻击还是防御都将无从谈起,因此不管你是Linux个人用户还是服务器维护人员,都必须要对进程管理相当熟悉才行,本文危险漫步就结合Windows系统来讨论一下Linux下的进程管理。

要了解进程管理,我们先来明确几个概念——程序、进程、线程,程序是存储于硬盘等外部存储器上的静态二进制信息集合,进程是内存中动态的二进制信息集合,而线程是对于CPU来说的,它是CPU可调度的基本单位,假如把公交车站看作外部存储器,那么里面的每辆公交车就是一个个等待执行的程序,当公交车启动时,就是一个进程,每一个公交车里面可以有N多的人,这里面的人就相当于线程,也就是说一个进程可以有多个线程,每辆公交车(程序)都有准备出发(就绪)、出发(运行)、暂停(挂起)、下班(终止束)几种状态。

一,Linux进程的御建与消亡

我们通过对比Windows来描述Linux下进程的产生与消亡,无论我们通过Wrndows的cm cl还是explorer来执行程序,实际上都是在调用CreateProcess().这个函数完成了虚拟内存分配、PE可执行文件装入等过程。与Windows不同,在Linux系统中,一个进程的创建首先需要调用fork()来从当前进程复制信息并创建一个于进程,然后通过exec()家族函数来将ELF(Linux平台的可执行文件格式)载入内存,这里需要明确一点,exec()并不存在于Linux函数库中,它实际上指的是一系列以exec开头的家族函数,返回值为一个pidt的结构体,如果返回值为负数,一般为-1,表示执行失败,如果返回值大于0就表示其父进程,如果为0则为当前进程。也就是说,在Linux启动后,每个运行的程序都有一个父进程,值得一提的是,在Linrix中父进程的标识是用ppid表示,子进程的标识是用pici表示。

我们通过pstree命令可趴查看到Linux的进程时,不难猜出,Linux的所有进程都是由iriit这个进程创建的,这个进程是在kernel内核镜像挂载完成后所创建。当进程执行完,它就会执行exit()函数,通知父进程“我已经死亡”,此对的进程即为僵尸进程,当父进程接收到“我已死亡”的信息,通过waitpid()(有的地方为wait(),wait()实际上是直接调用的waitpid())发送信息“赐死”进程,这时候进程才彻底的结束掉,也就是说Linux的子进程是由父进程“埋葬发丧”的,这种机制换来执行效率的同时,也存在着一些小缺陷,我会在后面介绍的。

二,Linux FWJ“任务管理器”top命令

存Windows系统中,每当发现系统异常时,我们总会按下cTLR+A LT+DEL键打开任务管理器,Linux下的“任务管理器”是通过执行top命令打开的,这是一个相当完美的命令,我们一行行的来分析它输出的内容,首先看第一行“01:30:i6”p3:Ol,2“sers”,它指明了登录时的系统时间为1:30 716,运行3时01分钟,2个用户登录,这一行的信息相当于执行“ptime命令。再看第二行的‘‘Ta sks:70 total,l runni“g,69 sl。eping,0 stopped,0 zornbie”,它指明了当前任务队列中的任务是70,在Linux中进程创建后都会放人进程队列中供CPU调度,进程队列实际上就是一个双向循环链表结构,ecELiriux中被定义为task_strcutgj结构体,running表示正在执行的任务数,sleeping指的是睡眠中的任务数,stopped是停止的任务数,zombie指的是僵尸进程数,如果大家发现僵尸进程数大于0,就说明有一些非法进程了,应该及时检测系统。第3、4、5行相当于Windows任务管理器“性能”选项的内容,显示了CPU.物理内存以及虚拟内存的使用量n接下来就是当前进程PrD.用户名,PR(优先级)等信息,大家要注意,Nl也是优先级,NI与PR两个优先级的不同在于,NI可以通过njce命令调整,也就是说NI命令提供了很多快捷键,比如P键可以根据CPU使用大小进行排序,以根据时间排序,M键可以切换显示内存信息等,在查看非法进程的过程中这些快捷键都是相当好用的。另外,由于top命令会不断的更新相关的数据,因此消耗的资源也是相对比较多的,查看信息完毕后按q键即可以退出top命令了。

在Windows系统下编写与进程相关的批处理文件时,我们通常使用tasklist和taskkill命令,在Linux系统中也提供了两个相类似的命令-ps和kill,ps命令用于列出当前系统中的进程,一般来说常用的参数为-aux和lx。表示显示当前sheIl下的所有应用程序,u是指以用户名排序,x指的是显示所有的任务,包括一些内核态的程序或者说系统进程,l参数可以让显示的信息更加详细,比如显mppid(父进程的进程标识符)。如Windows下的进程批处理编写一样,我们需要通i:find过滤才能定位到某一个具体的进程,在linux中也提供了类似的用法,一般是通过“grep要过滤的字符串”来具体到某-个进程,通过执行ps -auxlgrep”bash”找到包含bash字符串的所有进程。

在日常的Linux管理中,一旦发现僵尸或者非法进程我们就需要及时的杀掉它;这就需要kill命令来完成了,Windows图形界面的WM_CL/OSE关闭消息类似,kiIl命令也是通过向进程发送相应的蒲息来结束进程的,命令的使用格式非常简单:killc消息号或消息名>《进程PID>,进程的PID我们可以通过“ps -aux”查询得到,消息号可以通过“kill一l”查询得到,一般我们使用SIGKILL.SJGTERM、SIGSTOP这个信号,名字很好区分的,SIG是signal信号的前三个字母,后面的字母分别对应于krll、terminate. stop,SIGKILL是强制杀死进程,在Windows中使用s扫描器时,如果想要结束扫描,一般是使用ctrl+C络止它,这个信号就相当快捷键,SIGTERM是较正常的退出,SIGSTOP是暂停程序转人后台运行,在Linux的Shell中让一个程序进程在后台运行只要在命令后面加上一个“&”就可以了。

三,Linux下的“ipc$入侵”与“fport”-at与netstat命令

相信很多危险漫步的粉丝对网络安全感兴趣都是从ipc$入侵开始的,反正我的第一台肉鸡就是通过ipcs搞到的,在进行ipc$人侵时,一般的规则性操作是time查看系统时间,然后at时间执行某一个任务,一般是执行nc命令,在Liriux中也提供了一个at,这是一个比Windows的at更好用的命令,因为它无需获得当前时间,而只需要at now+ minutes、hours、days来设置时间就行了,比如我们要在3分钟后运行“vim /etc/passwd”命令,就可以执行at now+3 minutas,在交互窗口中输入“vim /etc/passwd”,按ctlr+d结束输入就行了。    

大家一定对Windows系统中的netstat命令比较熟悉了,它有一个不太好的地方,就是不能查看到与某个端口相关联的进程,因此不利于我们查找恶意程序,所以很多时候在Windows中我们都是使用fp ort程序来替代netstat,因为它可以显示出每个端口与之对应的进程。Linux中的netstat命令就具备了fporfBfj能力,只要加上“p”参数就可以查着与端口关联的进程pid,比如我们执行netstat -tupl指的是监听状态的套接字,这里面详细列出了每个端口使用的协议、状态及与之相关联的进程。    

五,Lmux下的进程安全浅析

Linux的进程创建机制为其快速及稳定执行程序提供了条件,同时Linux的进程安全策略也为Linux进程提供了一个相对安全的环境,比如at命令,在Windows中它依赖于Task Scheduler,只要添加管理员权限成功都可以防问,如果要对该服务进行权限设置,一般也需要借助第三方的工具。在Windows系统中,我们知道进程间的权限都是相互继承的,比如提升explorer.exe的权限为system.则由它运行的所有程序都为system权限,Linux也一样,但是在Linux中,这样的一个小小不起眼的地方却有可能引发大的隐患,如apache服务运行于/usr/local/httpd目录下,开机时是以root权限运行,当外部机器通过80端口访问率机时,则在本地计算机中apache父进程会建立多个nobody权限的子进程,但是所有接收到的信息都会经过root限的apache父进程处理后交给子进程,在这个过程中,如果我们提交的是一些奇特的数据,就相当于具备了root权限,这时候就有可能访问到/usedlocal甚至是整个“,”(根)目录,这个问题的根本原因就在于apache的根目录和系统的根目录是一样的。对于这种情况,我们可以借助于chroot机制来修改apache的可见根目录,使用chroot实际上就是将进程权限限制在某个特定的目录中,这类似于Windows的subst机制,当我们执行subst j:f:\iis\web时,此时对于任何IIS用户来说,虽然可以访问驱动器,但实际上它的权限却被锁在了“f:\iis\web”目录中,chroot机制的使用关键是建立与之配套的运行环境,比如ap ache酌运行需要相应的库文件和配置文件,这些文件都在/etc或/usr目录下,这时候我们就需要将其相关的文件都放置到chroot目录下。

无论攻击还是防御,其实都是计算机操作者在对进程进行有效的排列组合,同时进程的管理、分析、设置也是所有攻击与防御体系必须走的一环,比如对Windows文件夹作权限设置、对服务作权限设置,实际上还是对进程作权限设置,因为在计算机的世界里,只有程序才是惟一的纽带,好了,文章就写到这里吧。