两个linux内核rootkit 之一：enyelkm
转自：http://blog.csdn.net/dog250/archive/2010/02/09/5303687.aspx
首先，这个rootkit其实是一个内核木马，和大多数木马不同的是，恶意木马所在的机器是客户端而不是服务器，而黑客所在的机器是服务器，这样做的好处在于可以躲避防火墙，一般的防火墙对外出的包审查不是那么严格而对进入的包审查严格，如果恶意程序是服务器，那么防火墙很可能会拦截连入服务器的黑客客户端进程导致攻击受到阻碍，现在的情况是黑客所在的机器是服务器，他首先发送召唤包到客户端，客户端收到召唤包以后就会连接服务器，这个链接一般的防火墙是不会拦截的，否则防火墙内部的机器将会受到很大的限制。该rootkit的另外一个创意就是使用虚拟终端的方式而不是普通的shell的方式，这样的话可以有效的躲避登录记录，在linux上utmp和wtmp只要负责用户的登录记录，命令who只要就是读取这个utmp文件然后将信息罗列出来，可是即使在utmp的官方文档上也提到，它不是记录所有的用户登陆，关键在于登录程序是否主动的记录，有了这个创意，恶意程序所在的机器的管理员很难发现这个内核木马，他们很难察觉到自己的机器已经被控制，只要做到了这一点就相当于做到了一切，管理员察觉不到他们自然不会去采取什么措施，攻击者自然而然也就可以长久逍遥法外了。
该rootkit主要使用替换系统调用的方式来实施攻击，替换系统调用的目的在于进程隐藏等等擦屁股机制，虽然该方式不是那么天衣无缝，最起码也能使阅读者学习一些汇编的知识，何乐而不为，如果你真的认为这种方式太土，那么就请阅读后面的一篇文章，adore的方式应该可以接近你的预想了，先看这个代码本身吧，它可以从很多站点下载，本文只是简单分析之：
int init_module(void) //模块初始化函数
{
...
lanzar_shell = 0; //该全局变量指示是否要启动一个shell
atomic_set(&read_activo, 0);
global_ip = 0xffffffff;
...//得到系统调用入口的地址，有多种方式
orig_kill = sys_call_table[__NR_kill];
orig_getdents64 = sys_call_table[__NR_getdents64];
orig_getdents = sys_call_table[__NR_getdents];
//设置钩子，也就是替换
set_idt_handler(s_call);
set_sysenter_handler(sysenter_entry);
//安装网络启动后门
my_pkt.type=htons(ETH_P_ALL);
my_pkt.func=capturar;
dev_add_pack(&my_pkt);
return(0);
}
void cleanup_module(void)//省略
在模块初始化的过程最后安装了网络启动后门，�
相关文档：
1. cd -> 返回进入此目录之前所在的目录：cd -
2. 上一条命令 ->
!! 全部的上一条命令
!* 上一条命令的全部参数
& ......
软连接可以 跨文件系统 ，硬连接不可以 。实践的方法就是用共享文件把windows下的 aa.txt文本文档连接到linux下/root目录 下 bb,cc . ln -s aa.txt /root/bb 连接成功 。ln aa.txt /root/bb 失败 。
（2）关于 I节点的问题 。硬连接不管有多少个，都指向的是同一个I节点，会把 结点连接数增加 ，只要结点的连接数不是 0，� ......
在前面的基础上，下面开始利用skyeye自带的testsuites中的资源来运行自己的程序的方法
1.首先是下载下载skyeye-1.2.5_REL.tar.gz，然后解压该文件
2.使用skyeye模拟板子s3c2410运行某个linux
首先进入解压完的目录，然后
cd ./linux/s3c2410/s3c2410x-2.6.14
skyeye –c skyeye.conf –e vmlinux
注意的是s ......
linux 下c 程序 段错误 分析
(2008-12-31 16:50:57)
var $tag='it';
var $tag_code='2cec03ae0a5b0d224bb35c9b79dd54c7';
标签：it
分类：C/C++
fopen("/var/spool/cron/tmp","w+");
/////////////////////////////////////////
#include <sys/types.h>
......
了解了Linux内存管理的基本知识后，我们来研究一下Linux内存的分配和释放。我们会分两个部分来研究的。我们向来探讨系统启动初期内存的分配和释放。这个阶段可以申请到大片的物理内存，但是要注意到以下两点！
1）其实系统启动初期是指在init_mem()之前的阶段，在这个阶段由于只需要少量的内存（内核编译需� ......
