* 进程名伪装：`PR_SET_NAME` 把短名改成常见系统服务名，仅改变 `ps` 显示，不改变真实可执行路径与凭证，属于隐藏手段，需结合落地证据判定。 * 反调试 / 防取证：`PR_SET_DUMPABLE=0` 使非特权调试器无法附加、不产 core 文件。这是进程主动收缩，防守方检测应看真实路径而非仅看显示名。 * seccomp 边界：`PR_SET_SECCOMP` 安装的过滤只放行白名单系统调用，分析时先列出被允许的调用集，再判断能否完成目标动作。 * `no_new_privs` 影响：置位后 SUID 提权链路在 `execve` 环节被阻断，是防守侧的前置收紧。 利用边界：`prctl` 不提升权限，改名与关 dumpable 都不改变 UID/GID。仅限本人自研隔离靶场或书面授权环境，公共资产不碰。 # 第 29 章 sys/capability.h —— Linux 能力机制 > B 级库・标准四段