在/usr/src/Linux/include/Linux/fs.h

struct inode {
struct list_head i_hash;
struct list_head i_list;
struct list_head i_dentry;

unsigned long i_ino; ----> inode number.
unsigned int i_count;
kdev_t i_dev; ----> device number.
umode_t i_mode;
nlink_t i_nlink;
uid_t i_uid;
......
}

　　注意：用來(lái)鑒定一個(gè)結(jié)點(diǎn)inode。這個(gè)意思是你可以用一對(duì)來(lái)得到一個(gè)系統(tǒng)里獨(dú)一無(wú)二的inode。

　　dentry是一個(gè)目錄文件的入口。通過(guò)這個(gè)入口，我們可以很容易的在文件的父目錄下移動(dòng)。

　　例如，如果你一文件的inode是(struct inode*)file_inode，如果你可以用file_inode->d_entry來(lái)得到它的目錄入口并且用file_inode->d_entry->d_parent來(lái)得到父目錄的目錄入口。

在/usr/src/Linux/fs/lids.c

struct secure_ino {
unsigned long int ino; /* the inode number */
kdev_t dev; /* the dev number */
int type; /* the file type */
};

　　上面的結(jié)構(gòu)用一對(duì)來(lái)存儲(chǔ)保護(hù)文件或目錄的結(jié)點(diǎn)�！皌ype”是用來(lái)標(biāo)明保護(hù)結(jié)點(diǎn)文件類(lèi)型的。

　　LIDS有4種類(lèi)型

　　在/usr/src/Linux/include/Linux/fs.h
　　#define LIDS_APPEND 1 /* APPEND ONLY FILE */
　　#define LIDS_READONLY 2 /* Read Only File */
　　#define LIDS_DEVICE 3 /* Protect MBR Writing to device */
　　#define LIDS_IGNORE 4 /* Ignore the protection */

　　通過(guò)secure_ino結(jié)構(gòu)，我們能很容易的初使化保護(hù)的文件或是在內(nèi)核里執(zhí)行以下函數(shù)。

　　就象你在上面代碼上可以看到的，給secure_ino加到一個(gè)結(jié)點(diǎn)上是非常容易的。被保護(hù)的結(jié)點(diǎn)會(huì)在系統(tǒng)啟動(dòng)的時(shí)候初使化。初使化程序在/usr/src/Linux/fs/lids.c的init_vfs_security()里。

　　現(xiàn)在，讓我們看看LIDS是如何來(lái)檢查是否一個(gè)結(jié)點(diǎn)已經(jīng)受到保護(hù)。

　　這個(gè)是LIDS加到內(nèi)核里做檢測(cè)的一個(gè)例子。你會(huì)看到lids_check_base()是LIDS保護(hù)方法的一個(gè)核心函數(shù)。

　　你可以在LIDS要保護(hù)的地方看到很多LIDS保護(hù)方法用到lids_check_base()函數(shù)，特別是在Linux內(nèi)核的子目錄下。

　　注意：如果它的父目錄被保護(hù)，它下面的文件也會(huì)被保護(hù)。

　　例如，如果“/etc/”被保護(hù)，“/etc/passwd”也一樣被保護(hù)。

#ifdef CONFIG_LIDS_ALLOW_DEV_MEM
lids_fill_table(allow_dev_mem,&last_dev_mem,LIDS_MAX_ALLOWED,CONFIG_LIDS_DEV_MEM_PROGS);
#endif

#ifdef CONFIG_LIDS_ALLOW_RAW_DISKS
lids_fill_table(allow_raw_disks,&last_raw_disks,LIDS_MAX_ALLOWED,CONFIG_LIDS_RAW_DISKS_PROGS);
#endif

#ifdef CONFIG_LIDS_ALLOW_IO_PORTS
lids_fill_table(allow_io_ports,&last_io_ports,LIDS_MAX_ALLOWED,CONFIG_LIDS_IO_PORTS_PROGS);
#endif

　　如果一個(gè)進(jìn)程或是程序要直接訪(fǎng)問(wèn)ip端口或是磁盤(pán)設(shè)備，LIDS就會(huì)檢查它在數(shù)組 allow_raw_disk,last_io_ports,等）。這個(gè)檢查是通過(guò)調(diào)用lids_check_base()里的lids_search_inode(inode)來(lái)實(shí)現(xiàn)的。

　　如，讓我們看看CONFIG_LIDS_ALLOW_DEV_MEM

　　在allow_dev_mem包括了哪一個(gè)程序結(jié)點(diǎn)在系統(tǒng)啟動(dòng)的時(shí)候在init_vfs_security()里初使化。用同樣的方法，除了一些特殊程序，我們可以保護(hù)設(shè)備，I/O訪(fǎng)問(wèn)等等。

　　四、保護(hù)重要進(jìn)程

　　進(jìn)程是操作系統(tǒng)的動(dòng)態(tài)入口。內(nèi)核里有兩個(gè)特殊進(jìn)程，進(jìn)程ID 0 （swapd） 和進(jìn)程ID 1（init）。Init進(jìn)程是在系統(tǒng)啟動(dòng)的時(shí)候所有進(jìn)程的父進(jìn)程。

　　4.1 不可殺死的進(jìn)程。

　　就象你可以看到是否有人要奪得root特權(quán)一樣，我們可以很容易的殺死那些該內(nèi)核發(fā)送特別信號(hào)的進(jìn)程。為了殺死一個(gè)進(jìn)程，你必須得到進(jìn)程的ID，然后用kill命令來(lái)殺死它。

　　系統(tǒng)殺死進(jìn)程的調(diào)用是kill，是在內(nèi)核里的sys_kill()命令里的調(diào)用。

　　讓我們看看LIDS的保護(hù)代碼

　　在CONFIG_LIDS_INIT_CHILDREN_LOCK的開(kāi)啟狀態(tài)，LIDS能保護(hù)初使的運(yùn)行程序。如，如果你在系統(tǒng)里運(yùn)行inetd程序，你可以在隱藏內(nèi)核前運(yùn)行它，然后，你還可以殺死它。但是一些人如果telnet到你的機(jī)器，inetd就會(huì)創(chuàng)造子進(jìn)程來(lái)為用戶(hù)服務(wù)，這個(gè)子進(jìn)程不會(huì)被LIDS保護(hù)，因?yàn)橛脩?hù)在任何時(shí)候退出和殺死程序。

在include/Linux/sched.h里

#ifdef CONFIG_LIDS_HIDE_PROC
#define PF_HIDDEN 0x04000000 /* Hidden process */
#endif

/* in fs/lids.c */

#ifdef CONFIG_LIDS_HIDE_PROC
struct allowed_ino proc_to_hide[LIDS_MAX_ALLOWED];
int last_hide=0;
#endif
....

/* in fs/lids.c , init_vfs_security(),
fill up the hidden process in proc_to_hide[]
*/
#ifdef CONFIG_LIDS_HIDE_PROC
lids_fill_table(proc_to_hide,&last_hide,LIDS_MAX_ALLOWED,CONFIG_LIDS_HIDDEN_PROC_PATH);
#endif

　　PF_HIDDEN是否用戶(hù)可以用顯示進(jìn)程的命令（如“ps –a”）來(lái)顯示和檢查進(jìn)程，如果一個(gè)進(jìn)程被LIDS隱藏，當(dāng)他執(zhí)行的時(shí)候，進(jìn)程就會(huì)得到一個(gè)PF_HIDDEN的屬性。然后，當(dāng)系統(tǒng)輸出系統(tǒng)進(jìn)程信息到用戶(hù)的時(shí)候，它就會(huì)可以檢查當(dāng)前輸出進(jìn)程是否有PF_HIDDEN標(biāo)志。如果發(fā)現(xiàn)了，它就不會(huì)輸出這個(gè)進(jìn)程的信息。

　　因?yàn)槊恳粋�(gè)Linux的進(jìn)程都有一個(gè)在/proc文件系統(tǒng)的入口，我們?yōu)榱穗[藏進(jìn)程也需要修改proc的文件入口。

　　然后如果進(jìn)程被PF_HIDDEN標(biāo)記，它就不會(huì)在proc文件系統(tǒng)里顯示。