Analizando a API do linux notei que uma estrutura interessante é possível:
#include <unistd.h>
#include <stdlib.h>
int main()
{
while (1)
{
if (fork()) exit(0); // Altera meu pid
setpgid(0, 0); // Cria um novo grupo de processos, o atual sendo o único membro
// Agora executar alguma operação "maligna":
usleep(1000);
}
}
O que acontece aqui é que a cada iteração o processo vai criar um clone filho e se matar em seguida. Para todos os efeitos, isso é o equivalente a trocar o seu próprio ID. Depois uso o setpgid
para abrir um novo grupo de processos incluindo apenas o processo atual, sem o processo original antes do clone. Assim a cada iteração o ID do grupo também é trocado. Depois executo uma curta operação e troco meus IDs denovo.
Esse tipo de processo é conhecido como processo cometa pelos administradores de sistemas.
O problema é que é muito difícil matar um processo assim, pois o kill
precisa de um ID de processo ou o ID de um grupo e o tempo que eu levar para identificar o ID dele e enviar um kill, será tempo suficiente para que ele mude.
Por que esse processo não aparece listado?
Quando executops -A | grep teste
(assumindo que meu executável se chamateste
), por vezes o processo não aparece. Isso não faz sentido para mim. Entendo que eu alguns momentos existem 2 processo com o mesmo nome (o clone e o parente que ainda não se matou), e que na maioria do tempo exista um só. Mas zero não faz sentido. Ele não está em nenhum momento morto. Se eu repetir o comando um número considerável de vezes o processo é listado em algumas. Por que?Como matar esse processo?
Ainda que eu consiga listar e obter o ID dele (após muitas tentativas) o tempo que gasto para chamarkill
é suficiente para que ele se clone e se suicide. Posso tentar com okillall teste
, mas o comando falha em quase todas as chamadas. Como efetivamente matar ele?O fato de essa estrutura ser possível representa uma falha no design da API?
O que vejo aqui é uma API que permite que o ID do processo flutua e ao mesmo tempo dependa dele sendo estável como unica forma de matar um processo. Não seria isso uma falha no design original? Poderia ser considerado uma falha de segurança até?