给大家带来LIDS精晓与进阶(一)
不同版本的Linux命令数量不一样，这里笔者把它们中比较重要的和使用频率最多的命令。1、体系进侵
跟着Internet上的Linux主机的增添，愈来愈多的平安毛病在以后的GNU/Linux体系上发明。你大概在Internet上传闻过在Linux下发明Bug，它会招致体系很简单的被黑客打击。
由于Linux是一个开放源代码的体系，毛病很简单发明，而且也会很快的有补钉出来。可是当毛病没有发布的时分，而且办理员很懒，没有往打补钉。黑客就会很简单的打击这个体系，获得root权限，在现有的GNU/Linux下，他就能够做任何他想做的事变。如今你能够问，我们如今究竟能够做些甚么呢？
1、如今的GNU/Linux毛病在那里？
超等用户会滥用权柄，他可以做一切他要做的事变。作为root。他会改动一切的器材。
很多体系文件很简单被变动。这些文件多是很主要的文件，如/bin/login，假如一个黑客进进，他能够上传一个login程序来掩盖/bin/login，如许他就能够不必上岸名和暗码来上岸体系。可是这些文件不必要常常修改，除非你要晋级体系。
模块modules很简单用来中止内核。模块是为了让Linux内核更模块话和更高效而计划的。可是当模块到场到内核，它就会成为内核的一部分而且能做原始内核能做的事情。因而，一些不友爱的代码能够写成模块来到场到内核里，这些代码就会重定向体系挪用而且作为一个病毒来运转。
历程是不受回护的，一些历程，如背景的Web服务器，一向都以为是没有严厉回护的程序。因而，他们就会很简单被黑客打击。
2、LIDS的假想是甚么。
回护主要文件。由于文件很简单被root变动，为何不严厉文件操纵呢？因而，LIDS改动了文件体系在内核里的平安体系挪用。假如某个时分一些人会见一个文件，他就会进进体系挪用然后我们就能够反省文件名而且看她们是不是被回护。假如它已被回护，我们就能够回绝这个会见者的请求。
回护主要的历程。这个和下面的回护历程的设法不是一样的。当一个体系里运转一个历程，它会在/proc文件体系里有一个用pid作为路径名的出口。以是，假如你用"ps-axf"你就能够显现出以后运转的历程。你能够问假如回护这些历程。假如你要杀逝世一个历程的话，起首，你键进"ps"来失掉历程的PID，然后，你键进"kill〈pid〉"来杀逝世它。可是，假如我不让你看到历程，你怎样来杀逝世这个历程呢？因而，LIDS是用埋没历程来回护它的。别的一个主要的办法就是不让任何人能够杀逝世历程，包含root用户。LIDS可以回护父历程是init（pid=1）的一切历程。
封装内核。偶然候我们必要要把一些需要的模块到场到内核里来利用，别的，我们也要回绝任何人包含root用户向内核拔出模块。那末怎样来均衡这个冲突的成绩呢？我们能够只同意在体系启动的时分拔出模块，然后我们封装模块，在封装后，内核不同意任何人拔出模块到内核里。经由过程这类封装功效，我们能用它来回护主要的文件，历程，我们能够在体系启动的时分只同意需要的历程，只改动需要的文件。在封装内核后，我们就不克不及在对文件有任何的修正。
2、回护文件体系
1、回护文件体系是LIDS的主要功效之一。这个功效是在内核的VFS（假造文件体系）层完成的，我们能够回护任何品种的文件体系，如EXT2，FAT。在LIDS，回护的文件按品种分为以下几种：
只读的文件或目次。只读文件意味着它们不被同意改写，如，在目次/usr/bin，/sbin。这些范例的文件年夜多半都是二进制体系程序或是体系设置文件，除在晋级体系的时分，我们不必要改动它们。
只可增添文件或目次。这些文件是那些只能够增添巨细的文件。年夜多半是体系的日值文件，如在/var/log里的只可增添文件。
分外的文件或目次，这些文件没有被回护。一样平常来讲，你想要回护目次下的一切文件，可是，还必要有一些特别的文件不要被回护。以是我们能够界说这些文件作为分外的其他的只读文件。
回护挂载或卸载文件体系。当你在启动的时分挂载文件体系的时分，你能够克制一切人，乃至是root，往卸载文件体系。你也能够克制任何人在以后文件体系下挂载文件体系来掩盖它。
2、LIDS怎样在内核回护文件
在这部分，我们会看到一些内核的代码来了解LIDS是怎样回护文件的。
（1）、Linux文件体系数据布局程序
起首，我们必需懂得Linux的假造文件体系。
在Linux里的每个文件，不论是甚么模样的，都有一个结点inode数，文件体系供应了以下数据布局。
在/usr/src/linux/include/linux/fs.h
structinode{
structlist_head i_hash;
structlist_head i_list;
structlist_head i_dentry;
unsignedlong i_ino;---->inodenumber.
unsignedint i_count;
kdev_t i_dev;---->devicenumber.
umode_t i_mode;
nlink_t i_nlink;
uid_t i_uid;
......
}
注重：用来判定一个结点inode。这个意义是你能够用一对来失掉一个体系里举世无双的inode。
在/ur/src/linux/cinclude/linux/dcache.h里
structdentry{
intd_count;
unsignedintd_flags;
structinode*d_inode; /*Wherethenamebelongsto-NULLisnegative*/
structdentry*d_parent; /*parentdirectory*/
structdentry*d_mounts; /*mountinformation*/
structdentry*d_covers;structlist_headd_hash; /*lookuphashlist*/
structlist_headd_lru; /*d_count=0LRUlist*/
structlist_headd_child; /*childofparentlist*/
structlist_headd_subdirs; /*our
......
}
dentry是一个目次文件的出口。经由过程这个出口，我们能够很简单的在文件的父目次下挪动。
比方，假如你一文件的inode是(structinode*)file_inode，假如你能够用file_inode->d_entry来失掉它的目次出口而且用file_inode->d_entry->d_parent来失掉父目次的目次出口。
（2）、LIDS回护数据布局
在剖析完linux文件体系后，让我们来看看LIDS是怎样容VFS来回护文件和目次的。
在/usr/src/linux/fs/lids.c
structsecure_ino{
unsignedlongintino; /*theinodenumber*/
kdev_tdev; /*thedevnumber/*
inttype; /*thefiletype*/
};
下面的布局用一对来存储回护文件或目次的结点。"type"是用来标明回护结点文件范例的。
LIDS有4品种型：
在/usr/src/linux/include/linux/fs.h
#defineLIDS_APPEND 1 /*APPENDONLYFILE*/
#defineLIDS_READONLY 2 /*ReadOnlyFile*/
#defineLIDS_DEVICE 3 /*ProtectMBRWritingtodevice*/
#defineLIDS_IGNORE 4 /*Ignoretheprotection*/
经由过程secure_ino布局，我们能很简单的初使化回护的文件或是在内核里实行以下函数。
在/usr/src/linux/fs/lids.c
intlids_add_inode(unsignedlongintinode,kdev_tdev,inttype)
{
if(last_secure==(LIDS_MAX_INODE-1))
return0;
secure.ino=inode;
secure.dev=dev;
secure.type=type;
secure[++last_secure].ino=0;
#ifdefVFS_SECURITY_DEBUG
printk("lids_add_inode:return%dn",last_secure);
#endif
returnlast_secure;
}
就象你在下面代码上能够看到的，给secure_ino加到一个结点上长短常简单的。被回护的结点会在体系启动的时分初使化。初使化程序在/usr/src/linux/fs/lids.c的init_vfs_security()里。
如今，让我们看看LIDS是怎样来反省是不是一个结点已遭到回护。
在/usr/src/linux/fs/open.c
intdo_truncate(structdentry*dentry,unsignedlonglength)
{
structinode*inode=dentry->d_inode;
interror;
structiattrnewattrs;
/*Notpretty:"inode->i_size"shouldnreallybe"off_t".Butitis.*/
if((off_t)length<0)
return-EINVAL;
#ifdefCONFIG_LIDS
if(lids_load&&lids_local_load){
error=
lids_check_base(dentry,LIDS_READONLY);
if(error){
lids_security_alert("Trytotruncateaprotectedfile(dev%d%d,inode%ld)",
MAJOR(dentry->d_inode->i_dev),
MINOR(dentry->d_inode->i_dev),
dentry->d_inode->i_ino);
.....................
这个是LIDS加到内核里做检测的一个例子。你会看到lids_check_base()是LIDS回护办法的一个中心函数。
你能够在LIDS要回护的中央看到良多LIDS回护办法用到lids_check_base()函数，出格是在linux内核的子目次下。
在/usr/src/linux/fs/lids.c
intlids_check_base(structdentry*base,intflag)
{
..................
inode=base->d_inode; /*gettheinodenumber*/
parent=base->d_parent;/*gettheparentdiretory*/
.................
----> do{
if(inode==parent->d_inode)
break;
if((retval=lids_search_inode(inode))){
if(retval==LIDS_IGNORE||(retval==LIDS_DEVICE&&flag!=LIDS_DEVICE))break;
if(flag==LIDS_READONLY||(flag==LIDS_APPEND&&retval>flag)||(flag==LIDS_DEVICE&&flag==retval)){
return-EROFS;
}break;}
inode=parent->d_inode;
}while(((parent=parent->d_parent)!=NULL));
return0;
}
lids_check_base()会反省一个给定文件的dentry和它的父目次是不是被回护。
注重：假如它的父目次被回护，它上面的文件也会被回护。
比方，假如"/etc/"被回护，"/etc/passwd"也一样被回护。
（3）、在内核回护体系挪用
为了回护体系，LIDS会在一些反省临界的体系挪用的时分做反省。因而，我们能够回护体系挪用和限定文件体系的用户挪用。
这些是一些例子：
open()，open是经由过程克制一些权力来回护文件的翻开。你能够在翻开挪用open_namei()挪用的时分LIDS在检测它。
mknod()，mknod是用来在指定目次下回护mknod。
unlink()，在内核代码反省do_unlink()。
3、回护设备
Linux的设备会在/dev/目次下以文件的情势列出，我们能够用下面回护文件的办法来回护设备。可是在一些情形下，用户也能够用IO操纵来旁路文件体系来读写设备，我们必需注重这个成绩。
1、设备，内核I/O
在GNU/Linux体系下的设备会以文件的情势表达，以是我们能够用回护文件体系那样来回护设备。
用户的I/O会见是经由过程体系挪用sys_operm和sys_iopl来完成的。你能够看看/usr/src/linux/arch/i386/kernel/ioport.。这个是要基于体系布局的，如果到其他平台，就必要注重它们的变更。
2、怎样用LIDS来回护
年夜多半情形下，程序不必要经由过程在/dev的设备文件称号来会见设备。可是，一些特别的程序必要间接会见，如XServer,这个会写到/dev/mem和乃至是I/O设备。我们必要一些分外的器材来回护设备。LIDS会在设置内核的时分来界说这个功效。
CONFIG_LIDS_ALLOW_DEV_MEM,假如你选择了开启这个功效，你就能够同意一些特别程序来会见/dev/men和/dev/kmen这些内核临界的设备。假如你想要用内核的XServer，选择这个功效就会在设置内核的时分供应全部路径和文件名。
CONFIG_LIDS_ALLOW_RAW_DISKS，假如选择这个开启，你就能够同意一些特别的程序来会见物理磁盘。
CONFIG_LIDS_ALLOW_IO_PORTS，假如你选择了开启这个功效，你就能够同意一些特别的程序来访I/O端口。
当体系运转fs/lids.c里的init_vfs_security()的时分初使化就被挪用。
#ifdefCONFIG_LIDS_ALLOW_DEV_MEM
lids_fill_table(allow_dev_mem,&last_dev_mem,LIDS_MAX_ALLOWED,CONFIG_LIDS_DEV_MEM_PROGS);
#endif
#ifdefCONFIG_LIDS_ALLOW_RAW_DISKS
lids_fill_table(allow_raw_disks,&last_raw_disks,LIDS_MAX_ALLOWED,CONFIG_LIDS_RAW_DISKS_PROGS);
#endif
#ifdefCONFIG_LIDS_ALLOW_IO_PORTS
lids_fill_table(allow_io_ports,&last_io_ports,LIDS_MAX_ALLOWED,CONFIG_LIDS_IO_PORTS_PROGS);
#endif
假如一个历程或是程序要间接会见ip端口或是磁盘设备，LIDS就会反省它在数组allow_raw_disk,last_io_ports,等）。这个反省是经由过程挪用lids_check_base()里的lids_search_inode(inode)来完成的。
如，让我们看看CONFIG_LIDS_ALLOW_DEV_MEM
/*inlids_search_inode()*/
#ifdefCONFIG_LIDS_ALLOW_DEV_MEM
for(i=0;i<last_dev_mem;i++){
if(allow_dev_mem.ino==ino&&allow_dev_mem.dev==dev){
returnLIDS_READONLY;
}
}
#endif
#ifdefCONFIG_LIDS_ALLOW_RAW_DISKS
在allow_dev_mem包含了哪个程序结点在体系启动的时分在init_vfs_security()里初使化。用一样的办法，除一些特别程序，我们能够回护设备，I/O会见等等
</p>
常常有些朋友在Linux论坛问一些问题，不过，其中大多数的问题都是很基的。 编程学习及开发，Linux是免费，开源的操作系统，并且可开发工具相当多，如果您支持自由软件，一定要同广大热爱自由软件人士一同为其不懈努力。 下面看看一个让人无法回答的问题：“救命各位高手，向你们请教一些问题：如何在Linux下配制HTTP、FTP、Samba、DNS、DHCP、Sendmail服务器，谢谢”这样的问题。 老实说，第一个程序是在C中编译好的，调试好了才在Linux下运行，感觉用vi比较麻烦，因为有错了不能调试，只是提示错误。 直到学习Linux这门课以后，我才知道，原来我错了。? 对于英语不是很好的读者红旗 Linux、中标Linux这些中文版本比较适合。现在一些Linux网站有一些Linux版本的免费下载，这里要说的是并不适合Linux初学者。 另外Linux上也有很多的应用软件，安装运行了这些软件后，你就可以在Linux上编辑文档、图?片,玩游戏、上网、播放多媒体文件等。
页:
[1]