Linux系统内核态或用户态下如何识别Python/Perl/Java解释型程序与原生二进制程序

用户态识别方案 #

• 检查文件头shebang行
  绝大多数未打包的解释型脚本第一行都会声明解释器路径，执行head -n1 目标文件即可查看，常见形式如#!/usr/bin/python3、#!/usr/bin/perl，原生编译二进制无该特征。
• 使用file命令识别文件类型
  这是最常用的快速识别方案，执行file 目标文件即可得到明确结果：

  原生编译二进制输出示例：ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 3.2.0, stripped
  解释型脚本输出示例：Python 3.10 script, ASCII text executable
  就算是用PyInstaller、jpackage等工具打包成单ELF文件的解释型程序，file命令也会识别出对应的语言运行时特征。

• 检查动态链接依赖
  执行ldd 目标文件查看依赖库：原生编译二进制仅依赖系统基础库如libc.so、libpthread.so等；解释型语言的打包程序会依赖对应语言的运行时库，比如Python程序依赖libpython3.10.so，Java程序依赖libjvm.so，普通纯脚本执行ldd会直接提示不是动态可执行文件。
• 运行时状态检查
  如果程序已经启动，查看/proc/<进程PID>/cmdline可以直接看到启动命令是否是python 脚本名、java -jar 包名这类形式；查看/proc/<进程PID>/maps也能看到是否有对应语言的运行时库被映射到内存空间。

内核态识别方案 #

• 基于魔数与执行处理逻辑判断
  内核加载可执行文件时首先匹配文件魔数：原生编译二进制的魔数为0x7f 45 4c 46（即\x7fELF），由binfmt_elf模块处理；未打包的解释型脚本魔数为#!，由binfmt_script模块处理，内核会直接提取shebang行的解释器路径调用执行；Java的jar包这类通过binfmt_misc注册了自定义处理规则的文件，内核匹配到对应魔数后会调用注册的Java解释器执行，直接通过处理模块类型即可区分。
• 基于进程内存映射判断
  内核可以遍历进程的虚拟内存区域(VMA)对应的映射文件，只要存在libpython*.so、libperl*.so、libjvm*.so这类语言专属运行时库的映射，即可判定为解释型语言程序。

内容的提问来源于stack exchange，提问作者yasirateeq857