15

Analizando a API do linux notei que uma estrutura interessante é possível:

#include <unistd.h>
#include <stdlib.h>

int main()
{
    while (1)
    {
        if (fork()) exit(0); // Altera meu pid
        setpgid(0, 0); // Cria um novo grupo de processos, o atual sendo o único membro

        // Agora executar alguma operação "maligna":
        usleep(1000);
    }
}

O que acontece aqui é que a cada iteração o processo vai criar um clone filho e se matar em seguida. Para todos os efeitos, isso é o equivalente a trocar o seu próprio ID. Depois uso o setpgid para abrir um novo grupo de processos incluindo apenas o processo atual, sem o processo original antes do clone. Assim a cada iteração o ID do grupo também é trocado. Depois executo uma curta operação e troco meus IDs denovo.

Esse tipo de processo é conhecido como processo cometa pelos administradores de sistemas.

O problema é que é muito difícil matar um processo assim, pois o kill precisa de um ID de processo ou o ID de um grupo e o tempo que eu levar para identificar o ID dele e enviar um kill, será tempo suficiente para que ele mude.

  • Por que esse processo não aparece listado?
    Quando executo ps -A | grep teste (assumindo que meu executável se chama teste), por vezes o processo não aparece. Isso não faz sentido para mim. Entendo que eu alguns momentos existem 2 processo com o mesmo nome (o clone e o parente que ainda não se matou), e que na maioria do tempo exista um só. Mas zero não faz sentido. Ele não está em nenhum momento morto. Se eu repetir o comando um número considerável de vezes o processo é listado em algumas. Por que?

  • Como matar esse processo?
    Ainda que eu consiga listar e obter o ID dele (após muitas tentativas) o tempo que gasto para chamar kill é suficiente para que ele se clone e se suicide. Posso tentar com o killall teste, mas o comando falha em quase todas as chamadas. Como efetivamente matar ele?

  • O fato de essa estrutura ser possível representa uma falha no design da API?
    O que vejo aqui é uma API que permite que o ID do processo flutua e ao mesmo tempo dependa dele sendo estável como unica forma de matar um processo. Não seria isso uma falha no design original? Poderia ser considerado uma falha de segurança até?

4 Respostas 4

8

Use o sinal SIGSTOP.

O manual dos sinais está disponível (em inglês) no:

man 7 signals

Envio o sinal SIGSTOP para todos os processos com aquele mesmo nome usando o comando

killall -SIGSTOP cmd

em seguida, mate os processos:

killall -SIGKILL cmd

No entanto, é possível que o killall não consiga enviar o sinal a tempo, de forma que se estabelecerá uma espécie de race condition.

Sendo assim, é preciso diminuir o limite de processos que aquele usuário pode criar, através do ulimit -u, assim, o kernel o impedirá de fazer fork().

No entanto, uma vez atingido, esse limite também impedirá que você utilize o killall.

Uma das maneiras de contornar isso é, antes de baixar o limite, criar um outro usuário com uid igual a 0, e utilizar esse usuário para matar o processo.

4
  • 1
    Infelizmente o killall falha afirmando que o processo não existe (provavelmente mudou de ID logo depois de ele resolver o nome e antes de ele enviar o sinal). No entanto se eu repetir esse comando alguns milhões de vezes em sequencia, um terá sucesso e matará meu processo. É essa a única alternativa? Commented 31/01/2014 às 15:28
  • 1
    Discussão bem interessante, no mínimo, curiosa! Tá, e se o nome do binário desse cometa for init , qual a solução?
    – cemdorst
    Commented 24/09/2014 às 21:06
  • O root não consegue matar o init no linux, @cemdorst
    – motobói
    Commented 4/12/2014 às 15:01
  • Acho que consegue sim. #pkill init não funciona?
    – cemdorst
    Commented 4/12/2014 às 15:35
5

Com certeza o cara que disparou esse processo é do mau, então, sem piedade para ele:

# su - <maligno>
$ kill -9 -1

Caso não saiba o usuário , ou tenha receio de fazer isso, analise os usuários que estão conectados na máquina primeiro

# w
 09:22:33 up 24 days, 22:01,  5 users,  load average: 0.18, 0.18, 0.17
USER     TTY      FROM              LOGIN@   IDLE   JCPU   PCPU WHAT
usuario  :0       -                01Sep14 ?xdm?   8:56m  0.10s /bin/sh /usr/bin/startkde
usuario  pts/1    :0               01Sep14 24days  0.00s  4:10  kded --new-startup
usuario  pts/3    :0               08:46    0.00s  0.15s  0.08s /bin/bash
usuario  pts/5    :0               08:55    1:08   0.26s  0.13s /bin/bash
maligno  pts/8    cometa           09:21    1:08   0.08s  0.08s -sh

considere a hora de login, consumo de CPU e método de conexão na analise. Feito isso, você terá critérios para mandar o processo cometa de volta para o espaço!

1

Acho que usar o killall seria a única solução que não envolve mexer no kernel do sistema. Mas como você mesmo disse ele pode se enrolar já que a constante criação e eliminação de processos pode acontecer de forma assíncrona e em paralelo.

Porém essa condição não vai acontecer em 100% das vezes, eventualmente ele vai conseguir pegar esse cometa pelo rabo, basta ficar repetindo a ação até ela ser bem sucedida.

O artifício que você pode usar pra aumentar suas chances é o nice, que aumentará a prioridade de execução do killall fazendo que ele tenha uma janela de ação maior que a do programa alvo.

nice -n -20 killall -9 nome_do_processo
0

O ID do grupo do processo (PGID) não muda quando ele faz o fork. Você pode matar (ou mandar um SIGSTOP) enviando um sinal pro grupo do processo -- faça kill + mais o PGID ao invés do PID.

5
  • Mas eu mudei o ID do grupo com o setpgid(0, 0);. Commented 31/01/2014 às 15:01
  • Porque vocês tão traduzindo perguntas e resposta do site em inglês? Só pela reputação?
    – motobói
    Commented 31/01/2014 às 15:01
  • @motobói Essa não é uma tradução. É uma dúvida real minha que tenho a bastante tempo. Commented 31/01/2014 às 15:02
  • @motobói Traduzir perguntas do SO em inglês não é proibido. Vide meta.pt.stackoverflow.com/a/19/2488 Commented 31/01/2014 às 15:03
  • Bom, se a dúvida é pra valer, então o que você pode fazer nesse caso é usar o sinal STOP, que vai impedir o processo de fazer fork. Depois que todos os filhos receberem o sinal, você pode matar eles normalmente. killall -SIGSTOP cmd; killall -SIGKILL cmd
    – motobói
    Commented 31/01/2014 às 15:12

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .