Блин, заждалси прямо ;)

ага, все время чувствовал что чего-то мне не хватает. теперь душа спокойна :))))

Прелестно :-)

> Такие фичи как скрытие сокетов, процессов, файлов, фильтрация syslog и [uw]tmp - замечательно работают на новом ядре :(

Да, благодаря LSM для этого даже особо стараться не надо. :(

троянец находится элементарно через /dev/mem

Наши ядра настолько круты, что трояны под него писать не трудно. Покупайте наши ядра.

RHAS3 :) хотя я переписал и под него ;)

> троянец находится элементарно через /dev/mem

Фиг. Он добавляет свой hook на open и возвращает то, что ему хочется.

>Фиг. Он добавляет свой hook на open и возвращает то, что ему хочется.

ну хз что он там добавляет, но у меня все находится. сам проверял. иначе я бы не стал писать здесь

Хакиров - ДАВИТЬ!!!

факиров - ДАВИТЬ!!!

Linux - R.I.P. :D

линух -- на десктоп!
виндусь -- на сервер!
ура!

> ну хз что он там добавляет, но у меня все находится. сам проверял.

Странно... Значит, он глючит :)

Вообще-то, все такие гадости перво-наперво блокируют доступ к /dev/mem и /dev/kmem. С 2.4 и 2.2 для этого надо было хитро извращаться, а для 2.6 надо написать свой hook и добавить его в register_security.

> Наши ядра настолько круты, что трояны под него писать не трудно.

Откуда ядру знать, ЧТО в него пытаются засунуть -- DTE или этот самый Adore?

P.S.

Module stacking sucks.

Я и говорю - круты, в прямом смысле.

Ув. Rost, расскажите подробнее, плиз... каким таким образом через /dev/mem адор находите? что нить типа cat /tmp/0 && grep /tmp/0 "adore" ?? или прям уВсю памьять дизасемблируете каким нить жутко вумным способом определяя где и что находиться?)

> каким таким образом через /dev/mem адор находите?

Скорее всего, ищет IDT и сравнивает с System.map.

...

а как же монолитные ядра и tripwire :)

про ядро без CONFIG_MODULES=y

Дык /dev/kmem никто не отменял ( к сожалению ).

так в red hat нет /proc/ksyms :)

> каким таким образом через /dev/mem адор находите?
Скорее всего, ищет IDT и сравнивает с System.map.
Dselect

^^
адорка через vfs работает, не вижу связи с IDT.
поэтому смотрим в System.map адреса call'ов
readdir, tcp4_seq_show и сравниваем с текущими,
по-моему тривиально для админа средней руки.
Или нет?

полезный совет - юзайте на тачанках одно ядро, System.map
на винте не держите, скопируйте его на флопик или флэшку.
И вообще, ядро лучше не держать под /, настроить бут с
флэшки несложно ;). После загрузки отключать и ложить в карман.
:).

> полезный совет - юзайте на тачанках одно ядро, System.map > на винте не держите, скопируйте его на флопик или флэшку. > И вообще, ядро лучше не держать под /, настроить бут с > флэшки несложно ;). После загрузки отключать и ложить в карман. > :)

Может еще разбить всю систему на много-много флэшек и нужную из сейфа доставать по мере необходимости?