两个linux内核rootkit 之一：enyelkm
转自：http://blog.csdn.net/dog250/archive/2010/02/09/5303687.aspx
首先，这个rootkit其实是一个内核木马，和大多数木马不同的是，恶意木马所在的机器是客户端而不是服务器，而黑客所在的机器是服务器，这样做的好处在于可以躲避防火墙，一般的防火墙对外出的包审查不是那么严格而对进入的包审查严格，如果恶意程序是服务器，那么防火墙很可能会拦截连入服务器的黑客客户端进程导致攻击受到阻碍，现在的情况是黑客所在的机器是服务器，他首先发送召唤包到客户端，客户端收到召唤包以后就会连接服务器，这个链接一般的防火墙是不会拦截的，否则防火墙内部的机器将会受到很大的限制。该rootkit的另外一个创意就是使用虚拟终端的方式而不是普通的shell的方式，这样的话可以有效的躲避登录记录，在linux上utmp和wtmp只要负责用户的登录记录，命令who只要就是读取这个utmp文件然后将信息罗列出来，可是即使在utmp的官方文档上也提到，它不是记录所有的用户登陆，关键在于登录程序是否主动的记录，有了这个创意，恶意程序所在的机器的管理员很难发现这个内核木马，他们很难察觉到自己的机器已经被控制，只要做到了这一点就相当于做到了一切，管理员察觉不到他们自然不会去采取什么措施，攻击者自然而然也就可以长久逍遥法外了。
该rootkit主要使用替换系统调用的方式来实施攻击，替换系统调用的目的在于进程隐藏等等擦屁股机制，虽然该方式不是那么天衣无缝，最起码也能使阅读者学习一些汇编的知识，何乐而不为，如果你真的认为这种方式太土，那么就请阅读后面的一篇文章，adore的方式应该可以接近你的预想了，先看这个代码本身吧，它可以从很多站点下载，本文只是简单分析之：
int init_module(void) //模块初始化函数
{
...
lanzar_shell = 0; //该全局变量指示是否要启动一个shell
atomic_set(&read_activo, 0);
global_ip = 0xffffffff;
...//得到系统调用入口的地址，有多种方式
orig_kill = sys_call_table[__NR_kill];
orig_getdents64 = sys_call_table[__NR_getdents64];
orig_getdents = sys_call_table[__NR_getdents];
//设置钩子，也就是替换
set_idt_handler(s_call);
set_sysenter_handler(sysenter_entry);
//安装网络启动后门
my_pkt.type=htons(ETH_P_ALL);
my_pkt.func=capturar;
dev_add_pack(&my_pkt);
return(0);
}
void cleanup_module(void)//省略
在模块初始化的过程最后安装了网络启动后门，�
相关文档：
远程登入：ssh che@192.168.1.111
1.添加用户：useradd cheyanbing
2.修改密码：passwd cheyanbing
3.mkdir /cd /cd .. /cd -/
4.回到用户主目录：cd / cd ~
5.cd /home/he
6.mkdir -p www/pro
远程拷贝
scp che@192.168.1.111:/home/che/test
che@192.168.1.133:/home/che/
&n ......
在Linux系统中，终端设备非常重要，没有终端设备，系统将无法向用户反馈信息，Linux中包含控制台、串口和伪终端3类终端设备。
14.1终端设备
在Linux系统中，终端是一种字符型设备，它有多种类型，通常使用tty来简称各种类型的终端设备。tty是Teletype的缩写，Teletype是最早出现的一种终端设备， ......
vi编辑器是所有Unix及Linux系统下标准的编辑器
，
它的强大不逊色于任何最新的文本编辑器，这里只是简单地介绍一下它的用法和一小部分指令。由于对Unix及Linux系统的任何版本，vi编辑器是完全相
同的，因此您可以在其他任何介绍vi的地方进一步了解它。Vi也是Linux中最基本的文本编辑器，学会它后，您将在Linux的世界里畅 ......
了解了Linux内存管理的基本知识后，我们来研究一下Linux内存的分配和释放。我们会分两个部分来研究的。我们向来探讨系统启动初期内存的分配和释放。这个阶段可以申请到大片的物理内存，但是要注意到以下两点！
1）其实系统启动初期是指在init_mem()之前的阶段，在这个阶段由于只需要少量的内存（内核编译需� ......
郑彦兴
(mlinux@163.com
)国防科大计算机学院
2002 年 12 月 11 日
一个大型的应用系统，往往需要众多进程协作，进程（Linux进程概念见附1）间通信的重要性显而易见。本系列文章阐述了
Linux环境下的几种主要进程间通信手段，并针对每个通信手段关键技术环节给出详细实例。为达到阐明问题的目的，本文还对某些通� ......
