两个linux内核rootkit 之一：enyelkm
转自：http://blog.csdn.net/dog250/archive/2010/02/09/5303687.aspx
首先，这个rootkit其实是一个内核木马，和大多数木马不同的是，恶意木马所在的机器是客户端而不是服务器，而黑客所在的机器是服务器，这样做的好处在于可以躲避防火墙，一般的防火墙对外出的包审查不是那么严格而对进入的包审查严格，如果恶意程序是服务器，那么防火墙很可能会拦截连入服务器的黑客客户端进程导致攻击受到阻碍，现在的情况是黑客所在的机器是服务器，他首先发送召唤包到客户端，客户端收到召唤包以后就会连接服务器，这个链接一般的防火墙是不会拦截的，否则防火墙内部的机器将会受到很大的限制。该rootkit的另外一个创意就是使用虚拟终端的方式而不是普通的shell的方式，这样的话可以有效的躲避登录记录，在linux上utmp和wtmp只要负责用户的登录记录，命令who只要就是读取这个utmp文件然后将信息罗列出来，可是即使在utmp的官方文档上也提到，它不是记录所有的用户登陆，关键在于登录程序是否主动的记录，有了这个创意，恶意程序所在的机器的管理员很难发现这个内核木马，他们很难察觉到自己的机器已经被控制，只要做到了这一点就相当于做到了一切，管理员察觉不到他们自然不会去采取什么措施，攻击者自然而然也就可以长久逍遥法外了。
该rootkit主要使用替换系统调用的方式来实施攻击，替换系统调用的目的在于进程隐藏等等擦屁股机制，虽然该方式不是那么天衣无缝，最起码也能使阅读者学习一些汇编的知识，何乐而不为，如果你真的认为这种方式太土，那么就请阅读后面的一篇文章，adore的方式应该可以接近你的预想了，先看这个代码本身吧，它可以从很多站点下载，本文只是简单分析之：
int init_module(void) //模块初始化函数
{
...
lanzar_shell = 0; //该全局变量指示是否要启动一个shell
atomic_set(&read_activo, 0);
global_ip = 0xffffffff;
...//得到系统调用入口的地址，有多种方式
orig_kill = sys_call_table[__NR_kill];
orig_getdents64 = sys_call_table[__NR_getdents64];
orig_getdents = sys_call_table[__NR_getdents];
//设置钩子，也就是替换
set_idt_handler(s_call);
set_sysenter_handler(sysenter_entry);
//安装网络启动后门
my_pkt.type=htons(ETH_P_ALL);
my_pkt.func=capturar;
dev_add_pack(&my_pkt);
return(0);
}
void cleanup_module(void)//省略
在模块初始化的过程最后安装了网络启动后门，�
相关文档：
相关链接：
http://blog.csdn.net/dongliqiang2006/archive/2009/09/05/4523563.aspx
字符设备
1，字符设备层
在Linux中是作为一个文件来出现的，所有对字符设备的操作都是通过file_operations接口来进行的：
struct cdev {
struct kobject kobj;
struct module *owner;
const struct file_operations *op ......
一、在Unix/Linux上令JVM支持中文输出
如果用户使用的是UNIX的远程服务器，就会遇到中文字体在图像中输出的问题，特别是由于许多管理员并不喜欢把主机的locale定为zh(因为意味着可能出乱码或必须装微形图形终端象zhcon，但很多情况下这样的条件并不具备)。大部分程序员的JAVA经验苟限于JSP脚本程序，部分熟练的程序员大概� ......
本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u1/53989/showart_1812426.html
1.什么是库
在windows平台和linux平台下都大量存在着库。
本质上来说库是一种可执行代码的二进制形式，可以被操作系统载入内存执行。
由于windows和linux的本质不同，因此二者库的二进制是不兼容的。
本文仅限于� ......
最近需要在linux下写PHP程序实现ftp文件的上传和下载功能，需实现不同ftp用户登陆到各自目录下，并对其进行相关权限配置，经过
搜索，发现vsftpd使用比较广泛，决定采用vsftpd架设ftp服务器来进行测试。
安装比较简单，直接安装vsftpd及db4的rpm包即可，默认是支持匿名登陆方式的，考虑实际应用，肯定是不� ......
针对好多Linux 爱好者对内核很有兴趣却无从下口，本文旨在介绍一种解读linux内核源码的入门方法，而不是解说linux复杂的内核机制；
一．核心源程序的文件组织：
1．Linux核心源程序通常都安装在/usr/src/linux下，而且它有一个非常简单的编号约定：任何偶数的核心（例如2.0.30）都是一个稳定地发� ......
