[原创]内核层隐藏inject so来规避maps扫描-Android安全-看雪安全社区

[原创]内核层隐藏inject so来规避maps扫描

发表于: 2021-10-14 14:41 25501

[原创]内核层隐藏inject so来规避maps扫描

github_yhnu 活跃值

2021-10-14 14:41

25501

## 声明

学习交流, 请勿用于非法用途

## 防护系统如何检测你

续接上文[内核层偷天换日之hook openat进行文件重定向](https://bbs.pediy.com/thread-269730.htm)

我们在分析一些软件的时候. 防护系统通过扫描/proc/self/maps,发现一些异常的so, 那么就会进行上报. 我们有很多方式解决这种问题, 但是我还是希望能够了解内核层底层原理的同时, 能够非常方便的解决此问题.

## mmap文件映射需要注意的点

![20211014134043](upload/attach/202110/933020_ZUDJ8YM8XB7EW48.jpg)

关于mmap的原理这里就不做详细的阐述, 这里面主要关注下文件映射, addr并不是完全相等映射, 只是相近而已. 通过官方的文档可以了解到.

![20211014134217](upload/attach/202110/933020_NCASZS24UWPAQ6Y.jpg)

## maps文件简单介绍

![20211014133558](upload/attach/202110/933020_RY946U8P8EAHAGY.jpg)

进程的每段地址空间由struct vm_area_struct 描述。如上所示的每一行对应一个vm_area_struct结构体。一个文件可以映射到内存中，vm_area_struct的vm_file保存了文件描述符，这种映射称为有名映射，反之则为匿名映射

1. 7857803000-785784b000

本段内存映射的虚拟地址空间范围, 对应vm_area_struct中的vm_start和vm_end

2. rw-p----权限

r-读，w-写 x-可执行 p-私有，对应vm_flags。

3. 00000000

针对有名映射，指本段映射地址在文件中的偏移，对应vm_pgoff。对匿名映射而言，为vm_area_struct->vm_start

4. fd：00

所映射的文件所属设备的设备号，对应vm_file->f_dentry->d_inode->i_sb->s_dev。匿名映射为0。其中fd为主设备号，00为次设备号

5. 00048000

文件的索引节点号，对应vm_file->f_dentry->d_inode->i_ino，与ls –i显示的内容相符。匿名映射为0。

6. /data/local/tmp/xxxx.so

所映射的文件名。对有名映射而言，是映射的文件名，对匿名映射来说，是此段内存在进程中的作用。[stack]表示本段内存作为栈来使用，[heap]作为堆来使用，其他情况则为无。

## cat /proc/self/map底层实现

在内核层fs系统实现了/proc/self/maps设备驱动, 其中核心实现在task_mm.c的show_map_vma函数中.
```c
static void show_vma_header_prefix2(struct seq_file *m,
				   unsigned long start, unsigned long end,
				   vm_flags_t flags, unsigned long long pgoff,
				   dev_t dev, unsigned long ino)
{
	seq_setwidth(m, 25 + sizeof(void *) * 6 - 1);
	seq_printf(m, "%08lx-%08lx %c%c%c%c %08llx %02x:%02x %lu ",
		   start,
		   end,
    //文件权限相关, 这里把可执行权限隐藏掉, 伪造成匿名映射.或者其他系统映射都可以
		   flags & VM_READ ? 'r' : '-',
		   flags & VM_WRITE ? 'w' : '-',
		   '-',//flags & VM_EXEC ? 'x' : '-',
		   flags & VM_MAYSHARE ? 's' : 'p',
		   0,//pgoff,
		   0, 0, 0);//MAJOR(dev), MINOR(dev), ino);
}

static void
show_map_vma(struct seq_file *m, struct vm_area_struct *vma, int is_pid)
{
	struct mm_struct *mm = vma->vm_mm;
	struct file *file = vma->vm_file;
	vm_flags_t flags = vma->vm_flags;
	unsigned long ino = 0;
	unsigned long long pgoff = 0;
	unsigned long start, end;
	dev_t dev = 0;
	const char *name = NULL;
	char path_buf[PATH_MAX] = {0};

if (file) {
		struct inode *inode = file_inode(vma->vm_file);
		dev = inode->i_sb->s_dev;
		ino = inode->i_ino;
		pgoff = ((loff_t)vma->vm_pgoff) << PAGE_SHIFT;
	}

start = vma->vm_start;
	end = vma->vm_end;
	if(file) {
		show_vma_header_prefix2(m, start, end, flags, pgoff, dev, ino);
	} else {
		show_vma_header_prefix(m, start, end, flags, pgoff, dev, ino);
	}

/*
	 * Print the dentry name for named mappings, and a
	 * special [heap] marker for the heap:
	 */
	if (file) {
        // 获取文件名称
		char *path = d_path(&file->f_path, path_buf, sizeof(path_buf));
		seq_pad(m, ' ');
		if(strlen(path) > 0) {            
			if(strstr(path, "xxxx.so")) {
                // 过滤xxxx.so
				goto done;
			}
		}				
		seq_file_path(m, file, "\n");		
		goto done;
	}

if (vma->vm_ops && vma->vm_ops->name) {
		name = vma->vm_ops->name(vma);
		if (name)
			goto done;
	}

name = arch_vma_name(vma);
	if (!name) {
		if (!mm) {
			name = "[vdso]";
			goto done;
		}

if (vma->vm_start <= mm->brk &&
		    vma->vm_end >= mm->start_brk) {
			name = "[heap]";
			goto done;
		}

if (is_stack(vma)) {
			name = "[stack]";
			goto done;
		}

if (vma_get_anon_name(vma)) {
			seq_pad(m, ' ');
			seq_print_vma_name(m, vma);
		}
	}

done:
	if (name) {
		seq_pad(m, ' ');
		seq_puts(m, name);
	}
	seq_putc(m, '\n');
}
```

## 结果验证

通过上面的信息处理后, 所有的都没有对应的可执行权限了, 有了这种方法, 你就可以定制你自己的隐藏技术, maps文件便由你掌控

![20211014140205](upload/attach/202110/933020_6S3SWAZCFDWNHFN.jpg)

## 对应实现

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2021-10-14 14:43 被github_yhnu编辑，原因：

#基础理论 #逆向分析 #HOOK注入 #源码框架

收藏・53

点赞・8

打赏

最新回复 (26) 1 2 ▶
leftlizhi 雪币： 202 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 2 关注私信	leftlizhi 2 楼这个方案虽然不错，但是其实实际上人家会考虑如何从ROM是不是真的入手，而这个玩意的难度比maps蛋疼多了。另外，可能还得考虑linker下面2组获取modules的数据 2021-10-14 18:36 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 3 楼 leftlizhi 这个方案虽然不错，但是其实实际上人家会考虑如何从ROM是不是真的入手，而这个玩意的难度比maps蛋疼多了。另外，可能还得考虑linker下面2组获取modules的数据 rom真不真好解决后面再分享. 可能还得考虑linker下面2组获取modules的数据, 针对这个问题能否详细阐述下. 没理解 2021-10-15 10:04 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 4 楼 riru不是本身就做了hide么？调用一下他的函数就可以了吧？似乎不需要在内核层面修改？ 5d8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6d9K9h3E0C8j5f1q4H3M7s2y4Q4x3V1k6d9K9i4u0#2i4K6u0r3j5X3I4G2j5W2)9J5c8U0S2T1x3K6x3%4k6o6p5$3k6r3b7%4k6U0p5H3y4r3j5#2y4o6y4W2y4e0c8S2k6o6N6V1z5o6t1I4y4o6V1H3x3e0S2V1k6U0x3J5z5e0S2Q4x3V1k6J5K9i4u0#2i4K6u0r3M7%4u0U0i4K6u0r3L8h3q4A6L8W2)9J5c8X3y4H3M7q4)9J5c8X3S2A6k6r3g2Q4x3V1k6Z5K9h3c8W2i4K6u0W2j5%4m8H3i4K6t1K6e0o6V1K6 最后于 2021-10-15 12:13 被virjar编辑，原因： 2021-10-15 12:10 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 5 楼你都修改内核了，为什么不直接加个hide整个vma的系统调用，被隐藏的segment直接从maps里消失不是更好？ 2021-10-15 12:37 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 6 楼不吃早饭你都修改内核了，为什么不直接加个hide整个vma的系统调用，被隐藏的segment直接从maps里消失不是更好？好主意,我已经按照这种模式改了 2021-10-18 09:03 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 7 楼 virjar riru不是本身就做了hide么？调用一下他的函数就可以了吧？似乎不需要在内核层面修改？c5eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6d9K9h3E0C8j5f1q4H3M7s2y4Q4x3V1k6d9K9i4u0#2i4K6u0r3j5X3I4G2j5W2)9J5c8U0S2T1x3K6x3%4k6o6p5$3k6r3b7%4k6U0p5H3y4r3j5#2 ... 学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? 2021-10-18 09:04 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 8 楼 github_yhnu 学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? 感觉还好吧，目前的风控sdk大多还是扫描so文件特征。最后于 2021-10-18 10:29 被virjar编辑，原因： 2021-10-18 10:24 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 9 楼 github_yhnu 学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? 很可疑，某讯就会检测此类内存段 2021-10-18 12:23 0
木志本柯雪币： 6556 活跃值： (8609) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 8 关注私信	木志本柯 10 楼不吃早饭很可疑，某讯就会检测此类内存段那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话 2021-10-18 12:49 0
木志本柯雪币： 6556 活跃值： (8609) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 8 关注私信	木志本柯 11 楼不吃早饭很可疑，某讯就会检测此类内存段要是能操控cpu就好了 2021-10-18 12:51 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 12 楼木志本柯那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话用户层的话就是拦截io操作，重定向maps，smaps文件，隐藏map_files目录，实现难度较高。内核层的话隐藏对应vma即可，难度较低。最后于 2021-10-18 12:58 被不吃早饭编辑，原因： 2021-10-18 12:57 0
木志本柯雪币： 6556 活跃值： (8609) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 8 关注私信	木志本柯 13 楼 Android能不能无痕hook内存属性检测api 返回假的属性值 2021-10-18 12:59 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 14 楼不吃早饭木志本柯那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话用户层的话就是拦截io操作，重定向maps，smaps文件 ... 重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径 2021-10-18 14:56 1
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 15 楼 virjar 重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径重定向包括对stat系列函数的hook，许多io相关的操作都需要，例如inotify_add_watch等，当然不只是open/openat。另外重定向只要处理完善并不会出现频繁的闪退，至少我这里没有遇到最后于 2021-10-18 15:12 被不吃早饭编辑，原因： 2021-10-18 15:09 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 16 楼 virjar 重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径一般来讲io重定向的主要问题是内联syscall，这种情况下如果不做专门处理确实会产生逃逸，不过实际上也有解决方案 2021-10-18 15:15 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 17 楼不吃早饭一般来讲io重定向的主要问题是内联syscall，这种情况下如果不做专门处理确实会产生逃逸，不过实际上也有解决方案 ptrace？还是扫描全部可执行区域？我测试普通的io重定向没有出现过闪退，但是只要对maps进行fd重定向，确实有一定概率闪退。可能真的没有处理完善吧 2021-10-19 09:39 0
RiDiN 雪币： 44 活跃值： (4818) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 97 粉丝 74 关注私信	RiDiN 18 楼 - 最后于 2023-1-31 10:33 被RiDiN编辑，原因： 2021-10-22 11:00 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 19 楼 RiDiN cf1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5k6i4j5I4M7$3V1H3L8W2)9J5c8X3q4F1k6s2u0G2K9h3c8Q4y4h3k6C8k6i4u0F1k6h3I4Q4y4h3k6G2L8X3g2H3L8s2g2K6i4K6g2X3L8i4y4E0z5o6V1&6z5q4)9J5c8X3y4G2L8h3#2A6N6q4)9J5c8X3b7K6j5h3b7J5k6U0b7&6x3U0g2X3y4e0S2V1k6U0b7$3k6U0M7^5y4$3y4W2y4o6k6U0z5e0f1H3k6X3u0U0x3e0f1`. ... 欢迎添加更多功能互相学习 2021-10-23 17:53 0
leftlizhi 雪币： 202 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 2 关注私信	leftlizhi 20 楼 github_yhnu rom真不真好解决后面再分享. 可能还得考虑linker下面2组获取modules的数据, 针对这个问题能否详细阐述下. 没理解就是，先生成一个进程，再attach它，在检测它的tracerid，看有无自相矛盾 2021-10-26 18:44 0
tcc0lin 雪币： 655 活跃值： (2800) 能力值： ( LV4，RANK：40 ) 在线值：发帖 3 回帖 19 粉丝 25 关注私信	tcc0lin 21 楼不吃早饭你都修改内核了，为什么不直接加个hide整个vma的系统调用，被隐藏的segment直接从maps里消失不是更好？大佬，这种方法是什么意思呢？是直接删除有rwxp权限的那一行吗？如果直接去掉的话maps中的内存地址不连续了 2023-8-10 10:20 0
安和桥南雪币： 3723 活跃值： (3884) 能力值： ( LV5，RANK：60 ) 在线值：发帖 7 回帖 40 粉丝 14 关注私信	安和桥南 22 楼木志本柯那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话简单用户态可以参考 CobaltStrike，不执行的时候修改内存块权限，唤醒的时候再改一遍，要么就按内核 rootkit做 hook 内核函数写一个 filter 2023-8-10 11:24 0
袁伟业雪币： 199 活跃值： (897) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 21 粉丝 1 关注私信	袁伟业 23 楼好像效果不大，用cat去读maps会隐藏，但是程序都是用fopen去读maps，隐藏不了 2023-12-13 15:56 0
tcc0lin 雪币： 655 活跃值： (2800) 能力值： ( LV4，RANK：40 ) 在线值：发帖 3 回帖 19 粉丝 25 关注私信	tcc0lin 24 楼不吃早饭很可疑，某讯就会检测此类内存段是的，检测inline hook特征的 2024-2-18 19:15 0
秋狝雪币： 10038 活跃值： (34111) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 25 楼感谢分享 2024-2-18 20:42 1
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

github_yhnu

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (26) 1 2 ▶
leftlizhi 雪币： 202 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 2 关注私信	leftlizhi 2 楼这个方案虽然不错，但是其实实际上人家会考虑如何从ROM是不是真的入手，而这个玩意的难度比maps蛋疼多了。另外，可能还得考虑linker下面2组获取modules的数据 2021-10-14 18:36 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 3 楼 leftlizhi 这个方案虽然不错，但是其实实际上人家会考虑如何从ROM是不是真的入手，而这个玩意的难度比maps蛋疼多了。另外，可能还得考虑linker下面2组获取modules的数据 rom真不真好解决后面再分享. 可能还得考虑linker下面2组获取modules的数据, 针对这个问题能否详细阐述下. 没理解 2021-10-15 10:04 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 4 楼 riru不是本身就做了hide么？调用一下他的函数就可以了吧？似乎不需要在内核层面修改？ 5d8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6d9K9h3E0C8j5f1q4H3M7s2y4Q4x3V1k6d9K9i4u0#2i4K6u0r3j5X3I4G2j5W2)9J5c8U0S2T1x3K6x3%4k6o6p5$3k6r3b7%4k6U0p5H3y4r3j5#2y4o6y4W2y4e0c8S2k6o6N6V1z5o6t1I4y4o6V1H3x3e0S2V1k6U0x3J5z5e0S2Q4x3V1k6J5K9i4u0#2i4K6u0r3M7%4u0U0i4K6u0r3L8h3q4A6L8W2)9J5c8X3y4H3M7q4)9J5c8X3S2A6k6r3g2Q4x3V1k6Z5K9h3c8W2i4K6u0W2j5%4m8H3i4K6t1K6e0o6V1K6 最后于 2021-10-15 12:13 被virjar编辑，原因： 2021-10-15 12:10 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 5 楼你都修改内核了，为什么不直接加个hide整个vma的系统调用，被隐藏的segment直接从maps里消失不是更好？ 2021-10-15 12:37 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 6 楼不吃早饭你都修改内核了，为什么不直接加个hide整个vma的系统调用，被隐藏的segment直接从maps里消失不是更好？好主意,我已经按照这种模式改了 2021-10-18 09:03 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 7 楼 virjar riru不是本身就做了hide么？调用一下他的函数就可以了吧？似乎不需要在内核层面修改？c5eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6d9K9h3E0C8j5f1q4H3M7s2y4Q4x3V1k6d9K9i4u0#2i4K6u0r3j5X3I4G2j5W2)9J5c8U0S2T1x3K6x3%4k6o6p5$3k6r3b7%4k6U0p5H3y4r3j5#2 ... 学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? 2021-10-18 09:04 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 8 楼 github_yhnu 学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? 感觉还好吧，目前的风控sdk大多还是扫描so文件特征。最后于 2021-10-18 10:29 被virjar编辑，原因： 2021-10-18 10:24 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 9 楼 github_yhnu 学习了,一段匿名空间但是有可执行权限, 在防护系统看来是否很可疑? 很可疑，某讯就会检测此类内存段 2021-10-18 12:23 0
木志本柯雪币： 6556 活跃值： (8609) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 8 关注私信	木志本柯 10 楼不吃早饭很可疑，某讯就会检测此类内存段那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话 2021-10-18 12:49 0
木志本柯雪币： 6556 活跃值： (8609) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 8 关注私信	木志本柯 11 楼不吃早饭很可疑，某讯就会检测此类内存段要是能操控cpu就好了 2021-10-18 12:51 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 12 楼木志本柯那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话用户层的话就是拦截io操作，重定向maps，smaps文件，隐藏map_files目录，实现难度较高。内核层的话隐藏对应vma即可，难度较低。最后于 2021-10-18 12:58 被不吃早饭编辑，原因： 2021-10-18 12:57 0
木志本柯雪币： 6556 活跃值： (8609) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 446 粉丝 8 关注私信	木志本柯 13 楼 Android能不能无痕hook内存属性检测api 返回假的属性值 2021-10-18 12:59 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 14 楼不吃早饭木志本柯那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话用户层的话就是拦截io操作，重定向maps，smaps文件 ... 重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径 2021-10-18 14:56 1
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 15 楼 virjar 重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径重定向包括对stat系列函数的hook，许多io相关的操作都需要，例如inotify_add_watch等，当然不只是open/openat。另外重定向只要处理完善并不会出现频繁的闪退，至少我这里没有遇到最后于 2021-10-18 15:12 被不吃早饭编辑，原因： 2021-10-18 15:09 0
不吃早饭雪币： 35 活跃值： (8423) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 189 粉丝 24 关注私信	不吃早饭 16 楼 virjar 重定向maps文件在很多情况导致各种闪退。不太好操作。fd反查可以拿到重定向的真实的路径一般来讲io重定向的主要问题是内联syscall，这种情况下如果不做专门处理确实会产生逃逸，不过实际上也有解决方案 2021-10-18 15:15 0
virjar 雪币： 1867 活跃值： (4718) 能力值： ( LV6，RANK：90 ) 在线值：发帖 17 回帖 245 粉丝 156 关注私信	virjar 1 17 楼不吃早饭一般来讲io重定向的主要问题是内联syscall，这种情况下如果不做专门处理确实会产生逃逸，不过实际上也有解决方案 ptrace？还是扫描全部可执行区域？我测试普通的io重定向没有出现过闪退，但是只要对maps进行fd重定向，确实有一定概率闪退。可能真的没有处理完善吧 2021-10-19 09:39 0
RiDiN 雪币： 44 活跃值： (4818) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 97 粉丝 74 关注私信	RiDiN 18 楼 - 最后于 2023-1-31 10:33 被RiDiN编辑，原因： 2021-10-22 11:00 0
github_yhnu 雪币： 26 能力值： ( LV1，RANK：0 ) 在线值：发帖 11 回帖 26 粉丝 68 关注私信	github_yhnu 19 楼 RiDiN cf1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6J5k6i4j5I4M7$3V1H3L8W2)9J5c8X3q4F1k6s2u0G2K9h3c8Q4y4h3k6C8k6i4u0F1k6h3I4Q4y4h3k6G2L8X3g2H3L8s2g2K6i4K6g2X3L8i4y4E0z5o6V1&6z5q4)9J5c8X3y4G2L8h3#2A6N6q4)9J5c8X3b7K6j5h3b7J5k6U0b7&6x3U0g2X3y4e0S2V1k6U0b7$3k6U0M7^5y4$3y4W2y4o6k6U0z5e0f1H3k6X3u0U0x3e0f1`. ... 欢迎添加更多功能互相学习 2021-10-23 17:53 0
leftlizhi 雪币： 202 活跃值： (118) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 2 关注私信	leftlizhi 20 楼 github_yhnu rom真不真好解决后面再分享. 可能还得考虑linker下面2组获取modules的数据, 针对这个问题能否详细阐述下. 没理解就是，先生成一个进程，再attach它，在检测它的tracerid，看有无自相矛盾 2021-10-26 18:44 0
tcc0lin 雪币： 655 活跃值： (2800) 能力值： ( LV4，RANK：40 ) 在线值：发帖 3 回帖 19 粉丝 25 关注私信	tcc0lin 21 楼不吃早饭你都修改内核了，为什么不直接加个hide整个vma的系统调用，被隐藏的segment直接从maps里消失不是更好？大佬，这种方法是什么意思呢？是直接删除有rwxp权限的那一行吗？如果直接去掉的话maps中的内存地址不连续了 2023-8-10 10:20 0
安和桥南雪币： 3723 活跃值： (3884) 能力值： ( LV5，RANK：60 ) 在线值：发帖 7 回帖 40 粉丝 14 关注私信	安和桥南 22 楼木志本柯那么如何过内存段是可执行属性检测呢如果代码需要长时间驻留在内存里执行的话简单用户态可以参考 CobaltStrike，不执行的时候修改内存块权限，唤醒的时候再改一遍，要么就按内核 rootkit做 hook 内核函数写一个 filter 2023-8-10 11:24 0
袁伟业雪币： 199 活跃值： (897) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 21 粉丝 1 关注私信	袁伟业 23 楼好像效果不大，用cat去读maps会隐藏，但是程序都是用fopen去读maps，隐藏不了 2023-12-13 15:56 0
tcc0lin 雪币： 655 活跃值： (2800) 能力值： ( LV4，RANK：40 ) 在线值：发帖 3 回帖 19 粉丝 25 关注私信	tcc0lin 24 楼不吃早饭很可疑，某讯就会检测此类内存段是的，检测inline hook特征的 2024-2-18 19:15 0
秋狝雪币： 10038 活跃值： (34111) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1571 粉丝 39 关注私信	秋狝 25 楼感谢分享 2024-2-18 20:42 1
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复