Рубрика На заметку $USERNAME@hacker.wtf - part 3
*
Zombie FD - файл закрыт, но mmap то жив !

fd = open("secret", O_RDONLY);
ptr = mmap(fd);
close(fd);
unlink("secret");

Файла нет, FD закрыт, lsof ничего не покажет, но данные всё ещё доступны. Тут только /proc/<pid>/maps руками смотреть, людям из форензики плохеет.
*
*
process_vm_readv - читаем невидимое.
Смоделируем сценарий - файл удален, fd закрыт и даже mmap’нут, НО ПРОЦЕСС пока ЖИВ.
process_vm_readv(pid, ...)
Тогда другим процессом (ну с правами) можно вытащить payload, ключи, shellcode etc.
Ну или наоборот — заинжектить данные без файлов

#РубрикаНаЗаметкуХакеру