Fork炸彈一直以來都是Linux系統(tǒng)的一大威脅。有時，在平時工作中，我們可能不經(jīng)意地創(chuàng)建了一個類似的Fork炸彈，前段時間我就遇到了。

簡單來說，我在一個無限循環(huán)（while(1)）中不斷調(diào)用popen，但卻沒有調(diào)用pclose，這導(dǎo)致大量子進(jìn)程被創(chuàng)建。與傳統(tǒng)的Fork炸彈不同的是，這種情況并不會立即耗盡大量系統(tǒng)資源并導(dǎo)致系統(tǒng)崩潰。每次調(diào)用popen都會創(chuàng)建一個新的子進(jìn)程來執(zhí)行命令，但這些子進(jìn)程不會立即被清理。因此，它們會逐漸積累，占用一些系統(tǒng)資源，例如進(jìn)程表項，但不會像傳統(tǒng)的Fork炸彈那樣大量消耗內(nèi)存或CPU資源。通常，系統(tǒng)會在一定的限制內(nèi)允許創(chuàng)建子進(jìn)程，因此不會立即導(dǎo)致系統(tǒng)崩潰。

然而，如果長時間運行這種代碼，就會導(dǎo)致系統(tǒng)資源逐漸耗盡，因為子進(jìn)程不斷增加，從而影響系統(tǒng)的性能和穩(wěn)定性。這可能會導(dǎo)致系統(tǒng)變得極度緩慢或不穩(wěn)定，直到所有資源都用盡。

為了防止這種情況發(fā)生，最佳做法是在使用popen創(chuàng)建子進(jìn)程后，及時調(diào)用pclose來關(guān)閉子進(jìn)程，并釋放相關(guān)資源。這樣可以確保系統(tǒng)資源得到合理管理，避免資源泄露和系統(tǒng)性能下降。

分析fork

1.fork原理

fork() 是一個在Unix/Linux系統(tǒng)中創(chuàng)建新進(jìn)程的系統(tǒng)調(diào)用。它的內(nèi)核原理相當(dāng)復(fù)雜，但可以簡要概括如下：

• 創(chuàng)建新進(jìn)程：當(dāng)應(yīng)用程序中的進(jìn)程調(diào)用fork()時，操作系統(tǒng)內(nèi)核會創(chuàng)建一個新的進(jìn)程，這個新進(jìn)程是調(diào)用進(jìn)程的副本。新進(jìn)程被稱為子進(jìn)程，而調(diào)用進(jìn)程則被稱為父進(jìn)程。
• 復(fù)制進(jìn)程：內(nèi)核會復(fù)制父進(jìn)程的大部分內(nèi)容到子進(jìn)程中。這包括代碼、數(shù)據(jù)、堆棧、文件描述符和資源等。這個復(fù)制是通過寫時復(fù)制（Copy-On-Write，COW）機制實現(xiàn)的，這意味著在父子進(jìn)程中共享相同的物理內(nèi)存，直到其中一個進(jìn)程嘗試修改它。這種方式使得內(nèi)存資源得以節(jié)省。
• 返回值：在父進(jìn)程中，fork() 返回新創(chuàng)建子進(jìn)程的進(jìn)程ID（PID），而在子進(jìn)程中，fork() 返回0。這個返回值允許父子進(jìn)程在執(zhí)行不同的操作。
• 繼承和修改：子進(jìn)程會繼承父進(jìn)程的環(huán)境和狀態(tài)，包括打開的文件描述符、用戶ID、工作目錄等。通常，子進(jìn)程會在這個基礎(chǔ)上進(jìn)行修改，以執(zhí)行不同的任務(wù)。
• 獨立執(zhí)行：父子進(jìn)程之間是獨立的，它們各自執(zhí)行自己的代碼。父子進(jìn)程的執(zhí)行順序和執(zhí)行時間可能是不確定的，由操作系統(tǒng)調(diào)度。
• 執(zhí)行時機：fork() 在父進(jìn)程中返回之后，在子進(jìn)程中開始執(zhí)行。這意味著在fork()之后，父子進(jìn)程可能會并行運行，但執(zhí)行順序取決于操作系統(tǒng)的調(diào)度。

2.進(jìn)程炸彈是什么？

進(jìn)程炸彈是一種惡意程序或代碼片段，通過反復(fù)調(diào)用Linux系統(tǒng)的fork()系統(tǒng)調(diào)用來創(chuàng)建大量子進(jìn)程，目的是消耗系統(tǒng)的資源，最終導(dǎo)致系統(tǒng)崩潰或變得極度緩慢。這種攻擊方式充分利用了fork()的特性，每次調(diào)用fork()都會創(chuàng)建一個新進(jìn)程，系統(tǒng)資源如內(nèi)存和CPU時間也會被新進(jìn)程消耗。

3.解析進(jìn)程炸彈的原理

進(jìn)程炸彈的核心原理就是不斷遞歸地調(diào)用fork()。每次fork()調(diào)用都會將當(dāng)前進(jìn)程完整復(fù)制一份，包括代碼、數(shù)據(jù)、文件描述符等等。這些復(fù)制的子進(jìn)程也會再次調(diào)用fork()，導(dǎo)致指數(shù)級增長的進(jìn)程數(shù)量。而每個進(jìn)程都需要占用一定的內(nèi)存和CPU時間，當(dāng)數(shù)量足夠龐大時，系統(tǒng)資源迅速枯竭，系統(tǒng)性能急劇下降。

舉個栗子：

#include <stdio.h>
#include <unistd.h>

void recursive_fork_bomb() {
    while (1) {
        if (fork() == 0) {
            recursive_fork_bomb();
        }
    }
}

int main() {
    recursive_fork_bomb();
    return 0;
}

這個示例中，recursive_fork_bomb()函數(shù)在子進(jìn)程中遞歸地調(diào)用自己，導(dǎo)致子進(jìn)程的子進(jìn)程也繼續(xù)創(chuàng)建新的進(jìn)程，如此反復(fù)，形成了一個難以察覺的Fork炸彈。

防范和解決

1.實際工作中的現(xiàn)象

在實際工作中，如何判斷是否遇到fork炸彈了？如果在終端執(zhí)行l(wèi)s、cd等指令(終端執(zhí)行指令linux會創(chuàng)建進(jìn)程去執(zhí)行)報如下錯就有可能遇到了，因為系統(tǒng)資源被極度消耗，無法執(zhí)行新的進(jìn)程。

• fork: Cannot allocate memory: 內(nèi)存不足，無法創(chuàng)建新進(jìn)程。
• Resource temporarily unavailable: 資源不可用，系統(tǒng)資源已耗盡。
• fork bomb detected: 一些系統(tǒng)會檢測到Fork炸彈并報告此錯誤。

2.如何防范和解決進(jìn)程炸彈

要防范進(jìn)程炸彈，可以采取以下措施：

• 限制用戶權(quán)限：不要讓未受信任的用戶擁有足夠的權(quán)限來運行惡意代碼。
• 資源限制：可以通過ulimit命令或配置/etc/security/limits.conf文件來限制進(jìn)程的資源使用。
• 檢測工具：使用入侵檢測系統(tǒng)（IDS）或安全監(jiān)控工具來檢測異常進(jìn)程的創(chuàng)建。
• 定期監(jiān)控：定期檢查系統(tǒng)性能，以及不尋常的進(jìn)程活動。
• 緊急處理：如果系統(tǒng)受到進(jìn)程炸彈攻擊，可以嘗試登錄并停止進(jìn)程，然后重啟系統(tǒng)。