缉拿隐藏进程以及隐藏CPU利用率的进程

前面我介绍过很多隐藏进程的把戏，随后我对每一种把戏有针对性的给出了反制措施，可以翻看我2020/03～2020/08的文章，太多了，不再一一列举。

如今，我要介绍一种超级简单的手段，手艺人必备。

无论你是隐藏了进程，还是隐藏了进程的CPU利用率，只要它在CPU上运行，在下面的脚本面前，任何隐藏手段终归徒劳：

#!/usr/local/bin/stapglobal tbase
global tdeltaprobe scheduler.cpu_on
{a = gettimeofday_us()tbase[pid(), execname()] = a
}probe scheduler.cpu_off
{t = tbase[pid(), execname()]a = gettimeofday_us();if (t != 0) {delete tbase[pid(), execname()]d = a - tb = tdelta[pid(), execname()]tdelta[pid(), execname()] = b + d}
}probe timer.ms($1)
{exit()
}// 结束时将这段时间内所有运行进程的CPU累加时间按照降序打印。
probe end
{foreach ([pid, name] in tdelta-) {printf("%s[%d] = %d\n", name, pid, tdelta[pid, name])}
}

是的，只要你的进程运行，总逃不过内核的调度，只要进程获得CPU就会打点采样，进程被切换下来时再次打点采样，二者做差就是该进程本次运行的时间，将这些时间累加起来就能获得任意进程占有CPU的时间。

除非你的进程不在CPU上运行，不过不运行的进程又有啥用呢…

来来来，看效果：

[root@localhost test]# /root/loop &
[1] 5814
[root@localhost test]# /root/loop &
[2] 5815
[root@localhost test]#
[root@localhost test]# ./times.stp 5000  # 采样5秒
loop[5814] = 2492109
loop[5815] = 2490044
top[5919] = 1417
kworker/0:1[31879] = 1218
stapio[7125] = 1191
xfsaild/dm-0[397] = 1028
tuned[1003] = 744
systemd-udevd[7126] = 397
sshd[1384] = 174
systemd-udevd[496] = 157
rcuos/0[11] = 105
systemd[1] = 105
kworker/0:2[6831] = 82
systemd-logind[645] = 62
rcu_sched[10] = 43
kworker/u2:2[285] = 7
watchdog/0[12] = 7
ksoftirqd/0[3] = 3
[root@localhost test]#

一抓一个准。

来，现在基于上述原理干点正事儿。

这回我们不再为了缉拿谁而编写脚本，这回我们假装为了优化调度器算法。

我们要统计一下所有进程从排入就绪队列到实际运行的等待时间，用以排查是否有进程饥饿。

#!/usr/local/bin/stapglobal tbase
global tdeltaprobe kernel.function("activate_task")
{a = gettimeofday_us()tbase[task_pid($p), task_execname($p)] = a
}probe scheduler.cpu_on
{t = tbase[pid(), execname()]a = gettimeofday_us();if (t != 0) {delete tbase[pid(), execname()]d = a - tb = tdelta[pid(), execname()]tdelta[pid(), execname()] = b + d}
}probe timer.ms($1)
{exit()
}probe end
{foreach ([pid, name] in tdelta-) {printf("%s[%d] = %d\n", name, pid, tdelta[pid, name])}
}

来来，看效果：

[root@localhost test]# ./wtime.stp 5000
stapio[7727] = 1034
rcuos/0[11] = 747
systemd-udevd[7728] = 244
kworker/0:1[31879] = 236
tuned[1003] = 159
khungtaskd[24] = 80
rcu_sched[10] = 64
systemd-udevd[496] = 58
khugepaged[27] = 20
kworker/u2:2[285] = 20
watchdog/0[12] = 18
auditd[609] = 18
kworker/0:0[7139] = 12
[root@localhost test]#

最后，值得注意的是， stap的操作开销巨大，二元健数组内部实现很复杂，且cpu_on/cpu_off是系统中绝对绝对绝对的热点热点热点路径！ 以上手段仅仅用于发现系统异常，并非常规操作，应该严禁在生产环境长时间执行。

当然，经理除外。

浙江温州皮鞋湿，下雨进水不会胖。

缉拿隐藏进程以及隐藏CPU利用率的进程相关推荐

总结-linux初识进程（包括cpu调度、进程创建、僵尸进程（重点）、环境变量）
冯诺依曼体系结构--现代计算机的硬件体系结构输入设备.输出设备(数据输出).存储器(数据缓冲).运算器(数据运算).控制器. 所有设备都是围绕存储器工作---CPU是从存储器中获取数据处理---控制 ...
CPU负载和CPU利用率浅析
CPU利用率是指CPU工作时间占总时间的比重,公式如下: Utilization= work_time/total_time, 其中,total_time=work_time+idle_ime. 可见 ...
浅谈Linux下CPU利用率和CPU负载及其代码实现原理
编者注: 本来想写个简单的程序测试CPU利用率,后来代码实现后与top(ps)命令测试的结果做对比,疑惑了,疑惑后有了此文-- 第一节祸起本来就是想通过写个小程序测试CPU利用率从而可以检验其 ...
Linux下如何查看哪些进程占用的CPU内存资源最多
linux下获取占用CPU资源最多的10个进程,可以使用如下命令组合: ps aux|head -1;ps aux|grep -v PID|sort -rn -k +3|head linux下获取占用 ...
java基础巩固-宇宙第一AiYWM：为了维持生计，四大基础之OS_Part_1整起（进程线程协程并发并行、进程线程切换进程间通信、死锁\进程调度策略、分段分页、交换空间、OS三大调度机制）
PART0:OS,这货到底是个啥? OS,是个啥? OS的结构们: 存储器: 存储器的层次结构: 内存:我们的程序和数据都是存储在内存,我们的程序和数据都是存储在内存,每一个字节都对应一个内存地址.内 ...
用户态程序阻塞原因_进程阻塞操作系统某种情况进行进程的阻塞和唤醒操作...
进程阻塞 1)请求系统服务.例如打印服务,进程在提出打印请求后,系统创建打印服务进程为该进程服务,而提出打印请求可能被阻塞起来等待打印的完成. 2)启动某种操作.例如,进程发出启动I/O或启动打印机的 ...
实现自我隐藏 CPU 利用率的最佳方法，不妨一试！
作者 | dog250 头图 | CSDN 下载自视觉中国出品 | CSDN 博客想不想让CPU利用率展示成一首优美的旋律,就像弹琴一样. 我的意思是,你想让系统以及 task 的 CPU 利用率 ...
可以自己隐藏自己CPU利用率的Rootkit(附:Rootkit的root权限)
想不想让CPU利用率展示成一首优美的旋律,就像弹琴一样. 我的意思是,你想让系统以及task的CPU利用率是多少它就是多少,一切都是由你的程序自己来调制演奏. 这需要一种自指机制. 哈哈,完全可以, ...
linux遭入侵挖矿进程被隐藏案例分析
目录一.背景二.入侵分析三.样本分析四.附录 IOCs: 一.背景云鼎实验室曾分析不少入侵挖矿案例,研究发现入侵挖矿行为都比较粗暴简单,通过 top 等命令可以直接看到恶意进程,挖矿进程不会 ...

缉拿隐藏进程以及隐藏CPU利用率的进程

缉拿隐藏进程以及隐藏CPU利用率的进程相关推荐

最新文章

热门文章