linux无文件执行— fexecve 揭秘

## 前言 > 良好的习惯是人生产生复利的有力助手。 继续2020年的flag,至少每周更一篇文章。 ## 无文件执行 之前的文章中，我们讲到了无文件执行的方法以及混淆进程参数的方法，今天我们继续讲解一种linux上无文件执行的技巧，是后台朋友给我的提醒，万分感谢，又学到了新的东西。 linux无文件执行，首先要提到两个函数：memfd_create 和 fexecve。 ### memfd_create 和 fexecve 1. memfd_create：第一个允许我们在内存中创建一个文件，但是它在内存中的存储并不会被映射到文件系统中，至少，如果映射了，我是没找到，因此不能简单的通过ls命令进行查看，现在看来这的确是相当隐蔽的。事实上，如果一个文件存在，那么我们还是可以去发现它的，谁会去调用这个文件呢？使用如下的命令： ``` lsof | grep memfd ``` 2. 第二个函数，fexecve同样的功能很强大，它能使我们执行一个程序（同execve），但是传递给这个函数的是文件描述符，而不是文件的绝对路径，和memfd_create搭配使用非常完美！ 但是这里有一个需要注意的地方就是，因为这两个函数相对的比较新，memfd_create 是在kernel3.17才被引进来，fexecve是glibc的一个函数，是在版本2.3.2之后才有的， 没有fexecve的时候， 可以使用其它方式去取代它，而memfd_create只能用在相对较新的linux内核系统上。 ### fexecve的实现 今天不谈memfd_create，这是linux的新特性，没有什么好玩的，本人对fexecve 的实现很有兴趣，因为fexecve是glibc中的函数，而不是linux的系统调用。先看一下fexecve的用法,下面的fexecve_test.c 代码是实现ls -l https://img.qb5200.com/download-x/dev/shm 功能。 ``` #include