两个linux内核rootkit 之一：enyelkm
转自：http://blog.csdn.net/dog250/archive/2010/02/09/5303687.aspx
首先，这个rootkit其实是一个内核木马，和大多数木马不同的是，恶意木马所在的机器是客户端而不是服务器，而黑客所在的机器是服务器，这样做的好处在于可以躲避防火墙，一般的防火墙对外出的包审查不是那么严格而对进入的包审查严格，如果恶意程序是服务器，那么防火墙很可能会拦截连入服务器的黑客客户端进程导致攻击受到阻碍，现在的情况是黑客所在的机器是服务器，他首先发送召唤包到客户端，客户端收到召唤包以后就会连接服务器，这个链接一般的防火墙是不会拦截的，否则防火墙内部的机器将会受到很大的限制。该rootkit的另外一个创意就是使用虚拟终端的方式而不是普通的shell的方式，这样的话可以有效的躲避登录记录，在linux上utmp和wtmp只要负责用户的登录记录，命令who只要就是读取这个utmp文件然后将信息罗列出来，可是即使在utmp的官方文档上也提到，它不是记录所有的用户登陆，关键在于登录程序是否主动的记录，有了这个创意，恶意程序所在的机器的管理员很难发现这个内核木马，他们很难察觉到自己的机器已经被控制，只要做到了这一点就相当于做到了一切，管理员察觉不到他们自然不会去采取什么措施，攻击者自然而然也就可以长久逍遥法外了。
该rootkit主要使用替换系统调用的方式来实施攻击，替换系统调用的目的在于进程隐藏等等擦屁股机制，虽然该方式不是那么天衣无缝，最起码也能使阅读者学习一些汇编的知识，何乐而不为，如果你真的认为这种方式太土，那么就请阅读后面的一篇文章，adore的方式应该可以接近你的预想了，先看这个代码本身吧，它可以从很多站点下载，本文只是简单分析之：
int init_module(void) //模块初始化函数
{
...
lanzar_shell = 0; //该全局变量指示是否要启动一个shell
atomic_set(&read_activo, 0);
global_ip = 0xffffffff;
...//得到系统调用入口的地址，有多种方式
orig_kill = sys_call_table[__NR_kill];
orig_getdents64 = sys_call_table[__NR_getdents64];
orig_getdents = sys_call_table[__NR_getdents];
//设置钩子，也就是替换
set_idt_handler(s_call);
set_sysenter_handler(sysenter_entry);
//安装网络启动后门
my_pkt.type=htons(ETH_P_ALL);
my_pkt.func=capturar;
dev_add_pack(&my_pkt);
return(0);
}
void cleanup_module(void)//省略
在模块初始化的过程最后安装了网络启动后门，�
相关文档：
1. cd -> 返回进入此目录之前所在的目录：cd -
2. 上一条命令 ->
!! 全部的上一条命令
!* 上一条命令的全部参数
& ......
一、在Unix/Linux上令JVM支持中文输出
如果用户使用的是UNIX的远程服务器，就会遇到中文字体在图像中输出的问题，特别是由于许多管理员并不喜欢把主机的locale定为zh(因为意味着可能出乱码或必须装微形图形终端象zhcon，但很多情况下这样的条件并不具备)。大部分程序员的JAVA经验苟限于JSP脚本程序，部分熟练的程序员大概� ......
提示符通过变量PS1来设置，可以用以下命令来显示当前设置：
echo $PS1
提示符的系统范围（对系统里所有用户有效）的设定在文件 /etc/bashrc里，可能包含以下的行：
PS=“[\u@\h \W]\$"
要定制提示符，我们可以编辑文件 /etc/bashrc （root用户）然后在两个引号之内输入任何你想要的文本。
将[\u@\h \W]\\$修改为[ ......
最近需要在linux下写PHP程序实现ftp文件的上传和下载功能，需实现不同ftp用户登陆到各自目录下，并对其进行相关权限配置，经过
搜索，发现vsftpd使用比较广泛，决定采用vsftpd架设ftp服务器来进行测试。
安装比较简单，直接安装vsftpd及db4的rpm包即可，默认是支持匿名登陆方式的，考虑实际应用，肯定是不� ......
针对好多Linux 爱好者对内核很有兴趣却无从下口，本文旨在介绍一种解读linux内核源码的入门方法，而不是解说linux复杂的内核机制；
一．核心源程序的文件组织：
1．Linux核心源程序通常都安装在/usr/src/linux下，而且它有一个非常简单的编号约定：任何偶数的核心（例如2.0.30）都是一个稳定地发� ......
