让静态路由支持多网关
[ 2008/10/15 15:50 | by selboo ]
我校有如下网络环境，全校450个节点划分成五个子网，各子网的网络号分别为192.168.1.0~192.168.5.0,网关均为192.168.1.1，各个子网通过华为S2026B二层交换机接入烽火R2600出口路由器,出口通过光纤以100Mbps的带宽接入Interne。
现全县组建电子政务网,要求全县各个单位处室以上领导干部的计算机必须能直接访问县电子政务网服务器192.168.20.6/24，县电子政务网办公室给我校划分的子网号为10.1.26.0，掩码为255.255.255.192,网关为10.1.26.1,电子政务网不能访问Internet。
由于县电子政务网的服务器在电信局托管，所以电信局给我校又开通一条10Mbps的光纤连接电子政务网。电信局的建议是，给我校需要直接访问电子政务网的计算机安装两张网卡，分别设置两个网络的网关，来达到同时访问电子政务网和Ineternet的目的。
手动添加静态路由
以上的网络需求实际就是要解决两个子网192.168.0.0及10.1.26.0访问不同目标的问题,由于我校办公大楼在建设时就已将连接各个办公室到网络中心的网线埋入墙内，如果为每个需要直接访问县电子政务网的计算机再安装一张网卡,就需要再单独铺设一根网线,无论从铺设的难度及办公大数的布局来说，都不是一个很好的办法。
如果沿用原来校园网的网线,在需要连接电子政务网的计算机上设置两个网关,就需要人为地切换网关，这对于计算机应用水平不高的人来说，也是一个不小的麻烦.因些,我们决定不采纳电信局的建议,而采用手动添加静态路由的方式来实现两个网关的无缝切换.
1. 将边接电子政务网的光纤接入原有的S2006B交换机。
2. 在需要接入电子政务网的计算机上添加网络事情为10.1.26.0的IP地址,例如:10.1.26.2,掩码为255.255.255.192。
具体操作步骤是:选择"Internet协议（TCP/IP）属性→高级→IP设置→添加"。添加好IP地址后，要特别注意的是，不能添加10.1.26.1这个网关，具体原因见后文的进一步分析。
3．进入DOS命令方式，在提示符合后输：ip route add 192.168.20.0 mask 255.255.255.0 10.1.26.1,从而手动添加一条静态路由。
4．为了能使每次开机时都自动执行这个命令，可以将其写成一个批处理文件，因为建立批处理文件的方法比较简单，此处略去不提。
经过以上4个步骤的操作，在命令行方式中可以用route print命令看到本地路由表中新增了一条到192.168.20.0网络的静态路由，此时本地计算机既可以访问Internet，也可以访问电子政务网，用户在使用过程中完全感觉不到网关切换的过程。
方案原理
通过以上的介绍可以看出，本方法中有两个亮点：
其一是同一个交换机可以连接不同的网络，在平常使用过程中，普遍的固定思维是一个交换机只能接同一个网络。其实我们从交换机的原理就可以知道，这种思维方式是不正确的，因为交换机处于OSI参考模型的数据链路层，是属于网桥，交换机起着桥接的作用，因些交换机可以接入多个不同的网络。上述方案中正是处用了这一点，从而免去了不必要的硬件投入。
其二是不设10.1.26.0这个网络的网关，而采用静态路由的方式，免去了额处的组网开销。
那么为什么不能设置两个网关呢？这就要从网关的作用说起，在设置网关时，本地计算机的路由表中添加了一条默认路由：
0.0.0.0.0.0.0.0 网关IP地址本地接口跃点数如果在路由表中无法找到目标网络的路径时，就把数据包发送到这条默认路由中的网关，如果删除了本机对应的网关，则这条默认路由也将在路由也将在路由表中删除。如果本机设置了两个IP地址，并且分表对应了两上网关，则会在本机的路由表中添加了两条默认路由，它们分别是：
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.88 1
0.0.0.0 0.0.0.0 10.1.26.1 192.168.1.88 1
此时，本机在发送数据时就不知道该如何处理了，而手动添加静态路由与直接设置网关关生路由路径不同，数据在发卷宗这程中会根据本地路由表中指明的路传输。
通过以上的方法，完全可以实现单张网卡实现对不同网络的无缝访问。
现全县组建电子政务网,要求全县各个单位处室以上领导干部的计算机必须能直接访问县电子政务网服务器192.168.20.6/24，县电子政务网办公室给我校划分的子网号为10.1.26.0，掩码为255.255.255.192,网关为10.1.26.1,电子政务网不能访问Internet。
由于县电子政务网的服务器在电信局托管，所以电信局给我校又开通一条10Mbps的光纤连接电子政务网。电信局的建议是，给我校需要直接访问电子政务网的计算机安装两张网卡，分别设置两个网络的网关，来达到同时访问电子政务网和Ineternet的目的。
手动添加静态路由
以上的网络需求实际就是要解决两个子网192.168.0.0及10.1.26.0访问不同目标的问题,由于我校办公大楼在建设时就已将连接各个办公室到网络中心的网线埋入墙内，如果为每个需要直接访问县电子政务网的计算机再安装一张网卡,就需要再单独铺设一根网线,无论从铺设的难度及办公大数的布局来说，都不是一个很好的办法。
如果沿用原来校园网的网线,在需要连接电子政务网的计算机上设置两个网关,就需要人为地切换网关，这对于计算机应用水平不高的人来说，也是一个不小的麻烦.因些,我们决定不采纳电信局的建议,而采用手动添加静态路由的方式来实现两个网关的无缝切换.
1. 将边接电子政务网的光纤接入原有的S2006B交换机。
2. 在需要接入电子政务网的计算机上添加网络事情为10.1.26.0的IP地址,例如:10.1.26.2,掩码为255.255.255.192。
具体操作步骤是:选择"Internet协议（TCP/IP）属性→高级→IP设置→添加"。添加好IP地址后，要特别注意的是，不能添加10.1.26.1这个网关，具体原因见后文的进一步分析。
3．进入DOS命令方式，在提示符合后输：ip route add 192.168.20.0 mask 255.255.255.0 10.1.26.1,从而手动添加一条静态路由。
4．为了能使每次开机时都自动执行这个命令，可以将其写成一个批处理文件，因为建立批处理文件的方法比较简单，此处略去不提。
经过以上4个步骤的操作，在命令行方式中可以用route print命令看到本地路由表中新增了一条到192.168.20.0网络的静态路由，此时本地计算机既可以访问Internet，也可以访问电子政务网，用户在使用过程中完全感觉不到网关切换的过程。
方案原理
通过以上的介绍可以看出，本方法中有两个亮点：
其一是同一个交换机可以连接不同的网络，在平常使用过程中，普遍的固定思维是一个交换机只能接同一个网络。其实我们从交换机的原理就可以知道，这种思维方式是不正确的，因为交换机处于OSI参考模型的数据链路层，是属于网桥，交换机起着桥接的作用，因些交换机可以接入多个不同的网络。上述方案中正是处用了这一点，从而免去了不必要的硬件投入。
其二是不设10.1.26.0这个网络的网关，而采用静态路由的方式，免去了额处的组网开销。
那么为什么不能设置两个网关呢？这就要从网关的作用说起，在设置网关时，本地计算机的路由表中添加了一条默认路由：
0.0.0.0.0.0.0.0 网关IP地址本地接口跃点数如果在路由表中无法找到目标网络的路径时，就把数据包发送到这条默认路由中的网关，如果删除了本机对应的网关，则这条默认路由也将在路由也将在路由表中删除。如果本机设置了两个IP地址，并且分表对应了两上网关，则会在本机的路由表中添加了两条默认路由，它们分别是：
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.88 1
0.0.0.0 0.0.0.0 10.1.26.1 192.168.1.88 1
此时，本机在发送数据时就不知道该如何处理了，而手动添加静态路由与直接设置网关关生路由路径不同，数据在发卷宗这程中会根据本地路由表中指明的路传输。
通过以上的方法，完全可以实现单张网卡实现对不同网络的无缝访问。
北京CCIE面试血的经验！！！
[ 2008/10/14 18:45 | by selboo ]
网上有很多关于北京Lab面试的文章，其中一些很多都是传闻或者小道消息，我在这里以我血的教训来说一下面试。
9点钟考官会带你进入考场，然后他会对你说明：“我会用一切方法让你明白我问的是什么？但是我不会说中文。至于回答，那就要看你自己的了。”
也就是说，如果听力不好也不用十分的担心，但是回答则完全靠你自己，面试时考官会念题，知道你明白了题目，然后你要用英文将你的答案对着电话大声的将答案说出来，而且考官一定会对你说“why”。
在这里，我要说一下，不会的一定不要蒙，因为美国考官如果对你的答案不满意，完全可以认为你不合格，那么一些简单的题就算你答对了也有可能算错，毕竟cisco不会让我们知道他的正确答案，很多题是没有一个明确答案的。
祝各位后来的考生兄弟们好运了！
9点钟考官会带你进入考场，然后他会对你说明：“我会用一切方法让你明白我问的是什么？但是我不会说中文。至于回答，那就要看你自己的了。”
也就是说，如果听力不好也不用十分的担心，但是回答则完全靠你自己，面试时考官会念题，知道你明白了题目，然后你要用英文将你的答案对着电话大声的将答案说出来，而且考官一定会对你说“why”。
在这里，我要说一下，不会的一定不要蒙，因为美国考官如果对你的答案不满意，完全可以认为你不合格，那么一些简单的题就算你答对了也有可能算错，毕竟cisco不会让我们知道他的正确答案，很多题是没有一个明确答案的。
祝各位后来的考生兄弟们好运了！
新型 .net 一句话及客户端
[ 2008/10/14 18:40 | by selboo ]
作者: cnqing
来源: cncert.net
日期: 2008-10-13,16:37
软件说明：
程序包 包括一个基于反射的.net 一句话木马
客户端 当前插件
文件管理
.net探针
CMDshell
端口转发
下载文件 (已下载 471 次)
来源: cncert.net
日期: 2008-10-13,16:37
软件说明：
程序包 包括一个基于反射的.net 一句话木马
客户端 当前插件
文件管理
.net探针
CMDshell
端口转发
下载文件 (已下载 471 次)最近身体不适，原来是血压低。555
低血压是指成年人血压长期低于90／60mmHg的情况，常见的有体质性低血压和体位性低血压。前者主要见于体质较弱的女性和脑力劳动者。一般症状不明显，但较重时会出现疲倦、头晕、健忘，还可能出现心前区憋闷。体位性低血压又叫直立性低血压，常在平卧、下蹲突然站起或长时间站立时出现，此时会出现眩晕等短暂性脑缺血症状。防治体质虚弱性低血压要忌偏食，饮食要荤素搭配，应摄取含蛋白质、铁、叶酸和维生素B12多的食物。加强运动锻炼能调整血压。体位性低血压患者，从卧位、蹲位站起来时动作应缓慢。另外，体位性低血压也可因多种疾病或药物引起，如脊髓有病，内分泌功能紊乱，慢性营养不良或因服用降压药不当及过量等。因此应去医院查明病因后，再进行有针对性的治疗。
无论是哪一种低血压病人，都可以适当多吃些咸一点的食品，因为盐能使血压上升。每天多喝水、多运动能增加血容量，还可吃些桂圆肉、大枣、红小豆等，不但能增加营养，还有利于纠正低血压。
一般认为上肢血压低于12/8kＰa(90/60毫米汞柱)者为低血压。由于血压低，血液循环缓慢无力，远端毛细血管缺血，以致影响向组织细胞送入氧气、营养并带走二氧化碳及代谢废物。长期如此，使机体功能大大下降。根据其发生原因，一般可以分为三类：
(1)体位性低血压：即由卧位突然变为直立或长时间站立，收缩压下降2.67kＰa以上，常于早晨起床后出现，眼前发黑，头晕欲仆，以40-70岁男性较多见，可因久病卧床身体虚弱或服用同时具有扩张静脉作用的降压药所引起。
(2)症状性低血压：由某些疾病或药物所引起，如脊髓空洞症，严重二尖瓣或主动脉瓣狭窄，慢性营养不良，服用降压药等。
(3)体质性低血压：一般认为与体质瘦弱有关，多见于20-40岁的妇性，多有家族遗传史，有的没有任何症状，有的则出现疲乏、健忘、头晕、头痛、心慌，甚至晕厥，或有心前区压迫感等症状。
许多患者伴见有头痛、头晕、胸闷、气短、精神不振、注意力不集中、睡眠浮浅、胃口不好、脚肿等症状。这些表现为夏季气湿较高时更显突出。本病以体质衰弱者及女性为多见。但也有人并无明显异常的感觉。
中医认为低血压是脾肾阳气亏损所致，治疗上注重温脾肾，升阳气。
低血压的防治
临床上，有些以头晕为主诉的患者，总是问是不是贫血，而检查
出来，血色素正常，血压低于90/60mmHg（65岁以上的人低于100/
60mmHg），应该是低血压。低血压与贫血不能划上等号，它不是血量
太少造成，而与血液黏稠度、血管老化、血管弹性缺乏有关。
中医无‘低血压’这个病名，多属于“眩晕”、“虚劳”、“晕
厥”等范畴。中医认为此病多见于脾胃虚弱者；脑力劳动者；或脆弱
的老年心脏病人。认为多由于气虚阳虚，阴血亏虚或气阴两虚所致。
气虚阳虚心脉鼓动无力，气机升降失调，清阳不升，心脉失养；阴血
虚亏，血脉不充也致心脑失养，或由肾阳虚，脑髓空而致头晕，眼花
甚者晕厥；气阴两虚，阴阳失调，脏腑功能低下而发头晕，耳呜，畏
寒肢冷，腰酸腿软，不欲饮食，疲乏无力，临床伴有低血压等症状。
以下是分型论治：
(一)气虚阳虚 气虚可见面色晃白，头晕目眩，少气懒言，神疲
乏力，甚则晕厥。阳虚除气虚症状外，兼有畏寒肢冷、自汗，脉沉缓
或迟而无力，舌质胖淡舌苔白。
a.心气虚，除上述气虚症状外，再加心悸、气短、胸闷等。方可
选独参汤加减。经验方：人参，莲子各3钱，冰糖一两隔水炖熟，吃
莲肉喝汤。
b.脾虚或中气下陷，兼有纳少，腹胀，便溏，气短，乏力等。方
可选补中益气汤。
c.肾阳虚有身寒肢冷，动则气短，或五更泻等。方可选保元汤，
真武汤，四逆汤，金匮肾气丸，右归丸加减。经验方：人参２钱(嚼
服)，黄精一两，枸杞三钱，肉桂一钱，甘草一钱，水煎服，每日1剂
。
(二)气阴两虚 除上述气虚症状以外，尚有阴虚表现。如口干、
五心烦热、便秘、尿少、乏力，舌红苔少脉弦细等症状。
a.心气阴两虚可见心悸、气短、胸闷等。常用生脉饮，炙甘草汤
。经验方：黄耆五钱、党参四钱、麦冬三钱、五味子二钱、柴胡一钱
，水煎后一日分三次服用。（有发炎疾病、火气大、口苦、烦躁、失
眠，属实症，非气阴两虚者，不宜服用此方。）
b.肾阴阳两虚，常有：头晕、眼花、耳呜、耳聋、腰酸、腿软、
神疲、健忘等症状。方可用五子衍宗丸，金匮肾气丸等加减。
低血压的自我保健
※※饮食调理
治疗低血压病，饮食疗法也是治疗本病的有力措施之 一，可逐渐提高患者的身体素质，改善心血管功能，增加心肌收缩力，增加心脏排血量，提高动脉管壁紧张度，从而逐步使血压上升并稳定在正常水平，消除低血压带来的种种不适症状。低血压病人的饮食选择包括下列几点：
1、晕素兼吃，合理搭配饮食，保证摄入全面充足的营养物质，使体质从纤弱逐渐变得健壮。
2、如伴有红细胞过低，血红蛋白不足的贫血症，宜适当多吃富含蛋白质、铁、铜、叶酸、维生素B12、维生素 C 等“造血原料”的食物，诸如猪肝、蛋黄、瘦肉、斗奶、鱼虾、贝类、大豆、豆腐、红糖及新鲜蔬菜、水果。
3、莲子、桂圆、大枣、桑椹等果品，具有养心益血、健脾补脑之功效，可常食用。
4、宜适当食用能刺激食欲的食物和调味品，如姜、葱、醋、酱油、糖、胡椒、辣椒、啤酒、葡萄酒等。
5、与高血压病相反，本病宜选择适当的高钠、高胆固醇饮食。氯化钠(即食盐)每日需摄足 12～15 克。含胆固醇多的脑、肝、蛋、奶油、鱼卵、猪骨等食物，适量常吃，有利于提高血胆固醇浓度，增加动脉紧张度，使血压上升。
6、常吃生姜，能促进消化、健胃、升高血压。可将姜末撒于菜汤中或用姜末泡水代茶。
7、少吃冬瓜、西瓜、芹菜、山楂、苦瓜、绿豆、大蒜、海带、洋葱、葵花子等具降压效应的食品。
※※食疗方法
1、乌骨鸡 1 只(约重 1500 克)。将鸡去毛剖肚洗净，在鸡腹肚中放入当归头 60 克、黄芪 50 克、红糖 150 克、米酒 50 克，再将鸡肚皮缝紧，入锅隔水蒸熟，吃肉喝汤，每半月吃一次，连吃两月。
2、红枣 15 枚去核，粟子 150 克，洗?1 只，鸡切成块状，大火煸炒，后加佐料，煮至八成熟，加红枣、栗子焖熟食之。
3、鲫鱼 1 条，糯米 60 克。将鱼洗净(不要去鳞)与糯米共煮成粥，每周用 2 次，连服两月。
4、嫩母鸡 1 只，黄芪 30 克，新鲜天麻 100 克(干品 15 克)。鸡洗净入沸水中焯一下，用凉水冲洗。将天麻、黄芪切片装入鸡肚内。将鸡放入沙锅中，加葱、姜适量，盐、酒、陈皮 15 克，水适量，用文火炖至鸡烂熟，加胡椒粉 2 克，即可食用。
5、红枣 20 克，沙参 15 克，生熟地各 10 克，加水适量用炖盅隔水蒸 3 小时后，加蜂蜜适量，每日分两次吃完，连服 15 天。
※※自我按摩
床上仰卧，双臂自然放于体侧，闭目，全身放松，排除杂念，吸气时默念“安静”，呼气时默念“放松”，反复2～5分钟。然后进行如下自我按摩：
1 双手十指微屈稍分开，放在头顶，按摩整个头部约2～3分钟。
2 先用两手掌从前额中间向两鬓角按摩30秒钟，再以双手的中指各自在左右鬓角按摩6～ 8次。
3 轻闭双眼，用手指从鼻梁根部经过上眼睑按摩到眼外角。重复4～5次。
4 微抬起下巴，左手掌放在右侧颈部，由下颌角经颈部至锁骨推摩 8～10次。右手按上法按摩左侧。
5 拇指放在同侧颈动脉搏动处，轻轻按压5～6秒钟，休息10～15秒，重复做3～4次，然后做另一侧。
6 两手指放在前额部，向两侧颈部推摩，然后用掌根揉按两侧颈部，重复8～10次。
7 双手中指点压太阳穴，由轻到重，持续5～6秒，重复5～6次。
8 吸气，同时两手掌用力按压胸廓下部（两胁），然后缓缓从半闭的嘴呼气。重复4～5次。
※※ 床上运动
1 仰卧双臂上举，双手叉握，牵拉对抗，拉时吸气，恢复时呼气。重复3～4次。
2 双臂从身体两侧向头上方举起，双手相握，再慢慢伸直手指，随后吸气，同时双臂从两侧放下还原。
3 仰卧，双臂放于体侧。吸气，双膝弯曲并拢上举，尽量触及胸部，恢复时呼气。重复5～6次。也可两腿轮流屈膝上举做。
4 呼气时上举一条腿，吸气时放下，再呼气时上举另一条腿，吸气时放下。重复4～ 5次。
5 仰卧，先吸气，颈部向前弯曲，使下巴触及胸部，然后呼气。重复5～6次。
6 坐在床上，头向左侧旋转，再向右侧旋转。重复5～6次。
7 坐在床上，上身左右扭转。重复4～5次。
8 两腿伸直坐在床上，上体前倾，双臂向前平伸，尽量用双手触及双脚。重复5～6次。
9 呼气时坐起，立即向右转身1次，躺下，恢复预备姿势。第二次呼吸时再坐起，立即向左转身1次，躺下，恢复预备姿势。重复4次。
10 仰卧，双腿伸直并拢，抬高50～60 度，抬腿时吸气，放下时呼气。重复6～8次。
※※治低血压小偏方
1.核桃仁40克，党参30克，生姜3片，水煎服，每日1次。
2.莲子20克，大枣6枚，生姜6片，水煎服，每日2次。
3.陈皮15克，核桃仁20克，甘草6克，水煎服，每日2次。
4.人参、莲子各10克，冰糖30克，隔水炖熟，吃莲子喝汤。
低血压是指成年人血压长期低于90／60mmHg的情况，常见的有体质性低血压和体位性低血压。前者主要见于体质较弱的女性和脑力劳动者。一般症状不明显，但较重时会出现疲倦、头晕、健忘，还可能出现心前区憋闷。体位性低血压又叫直立性低血压，常在平卧、下蹲突然站起或长时间站立时出现，此时会出现眩晕等短暂性脑缺血症状。防治体质虚弱性低血压要忌偏食，饮食要荤素搭配，应摄取含蛋白质、铁、叶酸和维生素B12多的食物。加强运动锻炼能调整血压。体位性低血压患者，从卧位、蹲位站起来时动作应缓慢。另外，体位性低血压也可因多种疾病或药物引起，如脊髓有病，内分泌功能紊乱，慢性营养不良或因服用降压药不当及过量等。因此应去医院查明病因后，再进行有针对性的治疗。
无论是哪一种低血压病人，都可以适当多吃些咸一点的食品，因为盐能使血压上升。每天多喝水、多运动能增加血容量，还可吃些桂圆肉、大枣、红小豆等，不但能增加营养，还有利于纠正低血压。
一般认为上肢血压低于12/8kＰa(90/60毫米汞柱)者为低血压。由于血压低，血液循环缓慢无力，远端毛细血管缺血，以致影响向组织细胞送入氧气、营养并带走二氧化碳及代谢废物。长期如此，使机体功能大大下降。根据其发生原因，一般可以分为三类：
(1)体位性低血压：即由卧位突然变为直立或长时间站立，收缩压下降2.67kＰa以上，常于早晨起床后出现，眼前发黑，头晕欲仆，以40-70岁男性较多见，可因久病卧床身体虚弱或服用同时具有扩张静脉作用的降压药所引起。
(2)症状性低血压：由某些疾病或药物所引起，如脊髓空洞症，严重二尖瓣或主动脉瓣狭窄，慢性营养不良，服用降压药等。
(3)体质性低血压：一般认为与体质瘦弱有关，多见于20-40岁的妇性，多有家族遗传史，有的没有任何症状，有的则出现疲乏、健忘、头晕、头痛、心慌，甚至晕厥，或有心前区压迫感等症状。
许多患者伴见有头痛、头晕、胸闷、气短、精神不振、注意力不集中、睡眠浮浅、胃口不好、脚肿等症状。这些表现为夏季气湿较高时更显突出。本病以体质衰弱者及女性为多见。但也有人并无明显异常的感觉。
中医认为低血压是脾肾阳气亏损所致，治疗上注重温脾肾，升阳气。
低血压的防治
临床上，有些以头晕为主诉的患者，总是问是不是贫血，而检查
出来，血色素正常，血压低于90/60mmHg（65岁以上的人低于100/
60mmHg），应该是低血压。低血压与贫血不能划上等号，它不是血量
太少造成，而与血液黏稠度、血管老化、血管弹性缺乏有关。
中医无‘低血压’这个病名，多属于“眩晕”、“虚劳”、“晕
厥”等范畴。中医认为此病多见于脾胃虚弱者；脑力劳动者；或脆弱
的老年心脏病人。认为多由于气虚阳虚，阴血亏虚或气阴两虚所致。
气虚阳虚心脉鼓动无力，气机升降失调，清阳不升，心脉失养；阴血
虚亏，血脉不充也致心脑失养，或由肾阳虚，脑髓空而致头晕，眼花
甚者晕厥；气阴两虚，阴阳失调，脏腑功能低下而发头晕，耳呜，畏
寒肢冷，腰酸腿软，不欲饮食，疲乏无力，临床伴有低血压等症状。
以下是分型论治：
(一)气虚阳虚 气虚可见面色晃白，头晕目眩，少气懒言，神疲
乏力，甚则晕厥。阳虚除气虚症状外，兼有畏寒肢冷、自汗，脉沉缓
或迟而无力，舌质胖淡舌苔白。
a.心气虚，除上述气虚症状外，再加心悸、气短、胸闷等。方可
选独参汤加减。经验方：人参，莲子各3钱，冰糖一两隔水炖熟，吃
莲肉喝汤。
b.脾虚或中气下陷，兼有纳少，腹胀，便溏，气短，乏力等。方
可选补中益气汤。
c.肾阳虚有身寒肢冷，动则气短，或五更泻等。方可选保元汤，
真武汤，四逆汤，金匮肾气丸，右归丸加减。经验方：人参２钱(嚼
服)，黄精一两，枸杞三钱，肉桂一钱，甘草一钱，水煎服，每日1剂
。
(二)气阴两虚 除上述气虚症状以外，尚有阴虚表现。如口干、
五心烦热、便秘、尿少、乏力，舌红苔少脉弦细等症状。
a.心气阴两虚可见心悸、气短、胸闷等。常用生脉饮，炙甘草汤
。经验方：黄耆五钱、党参四钱、麦冬三钱、五味子二钱、柴胡一钱
，水煎后一日分三次服用。（有发炎疾病、火气大、口苦、烦躁、失
眠，属实症，非气阴两虚者，不宜服用此方。）
b.肾阴阳两虚，常有：头晕、眼花、耳呜、耳聋、腰酸、腿软、
神疲、健忘等症状。方可用五子衍宗丸，金匮肾气丸等加减。
低血压的自我保健
※※饮食调理
治疗低血压病，饮食疗法也是治疗本病的有力措施之 一，可逐渐提高患者的身体素质，改善心血管功能，增加心肌收缩力，增加心脏排血量，提高动脉管壁紧张度，从而逐步使血压上升并稳定在正常水平，消除低血压带来的种种不适症状。低血压病人的饮食选择包括下列几点：
1、晕素兼吃，合理搭配饮食，保证摄入全面充足的营养物质，使体质从纤弱逐渐变得健壮。
2、如伴有红细胞过低，血红蛋白不足的贫血症，宜适当多吃富含蛋白质、铁、铜、叶酸、维生素B12、维生素 C 等“造血原料”的食物，诸如猪肝、蛋黄、瘦肉、斗奶、鱼虾、贝类、大豆、豆腐、红糖及新鲜蔬菜、水果。
3、莲子、桂圆、大枣、桑椹等果品，具有养心益血、健脾补脑之功效，可常食用。
4、宜适当食用能刺激食欲的食物和调味品，如姜、葱、醋、酱油、糖、胡椒、辣椒、啤酒、葡萄酒等。
5、与高血压病相反，本病宜选择适当的高钠、高胆固醇饮食。氯化钠(即食盐)每日需摄足 12～15 克。含胆固醇多的脑、肝、蛋、奶油、鱼卵、猪骨等食物，适量常吃，有利于提高血胆固醇浓度，增加动脉紧张度，使血压上升。
6、常吃生姜，能促进消化、健胃、升高血压。可将姜末撒于菜汤中或用姜末泡水代茶。
7、少吃冬瓜、西瓜、芹菜、山楂、苦瓜、绿豆、大蒜、海带、洋葱、葵花子等具降压效应的食品。
※※食疗方法
1、乌骨鸡 1 只(约重 1500 克)。将鸡去毛剖肚洗净，在鸡腹肚中放入当归头 60 克、黄芪 50 克、红糖 150 克、米酒 50 克，再将鸡肚皮缝紧，入锅隔水蒸熟，吃肉喝汤，每半月吃一次，连吃两月。
2、红枣 15 枚去核，粟子 150 克，洗?1 只，鸡切成块状，大火煸炒，后加佐料，煮至八成熟，加红枣、栗子焖熟食之。
3、鲫鱼 1 条，糯米 60 克。将鱼洗净(不要去鳞)与糯米共煮成粥，每周用 2 次，连服两月。
4、嫩母鸡 1 只，黄芪 30 克，新鲜天麻 100 克(干品 15 克)。鸡洗净入沸水中焯一下，用凉水冲洗。将天麻、黄芪切片装入鸡肚内。将鸡放入沙锅中，加葱、姜适量，盐、酒、陈皮 15 克，水适量，用文火炖至鸡烂熟，加胡椒粉 2 克，即可食用。
5、红枣 20 克，沙参 15 克，生熟地各 10 克，加水适量用炖盅隔水蒸 3 小时后，加蜂蜜适量，每日分两次吃完，连服 15 天。
※※自我按摩
床上仰卧，双臂自然放于体侧，闭目，全身放松，排除杂念，吸气时默念“安静”，呼气时默念“放松”，反复2～5分钟。然后进行如下自我按摩：
1 双手十指微屈稍分开，放在头顶，按摩整个头部约2～3分钟。
2 先用两手掌从前额中间向两鬓角按摩30秒钟，再以双手的中指各自在左右鬓角按摩6～ 8次。
3 轻闭双眼，用手指从鼻梁根部经过上眼睑按摩到眼外角。重复4～5次。
4 微抬起下巴，左手掌放在右侧颈部，由下颌角经颈部至锁骨推摩 8～10次。右手按上法按摩左侧。
5 拇指放在同侧颈动脉搏动处，轻轻按压5～6秒钟，休息10～15秒，重复做3～4次，然后做另一侧。
6 两手指放在前额部，向两侧颈部推摩，然后用掌根揉按两侧颈部，重复8～10次。
7 双手中指点压太阳穴，由轻到重，持续5～6秒，重复5～6次。
8 吸气，同时两手掌用力按压胸廓下部（两胁），然后缓缓从半闭的嘴呼气。重复4～5次。
※※ 床上运动
1 仰卧双臂上举，双手叉握，牵拉对抗，拉时吸气，恢复时呼气。重复3～4次。
2 双臂从身体两侧向头上方举起，双手相握，再慢慢伸直手指，随后吸气，同时双臂从两侧放下还原。
3 仰卧，双臂放于体侧。吸气，双膝弯曲并拢上举，尽量触及胸部，恢复时呼气。重复5～6次。也可两腿轮流屈膝上举做。
4 呼气时上举一条腿，吸气时放下，再呼气时上举另一条腿，吸气时放下。重复4～ 5次。
5 仰卧，先吸气，颈部向前弯曲，使下巴触及胸部，然后呼气。重复5～6次。
6 坐在床上，头向左侧旋转，再向右侧旋转。重复5～6次。
7 坐在床上，上身左右扭转。重复4～5次。
8 两腿伸直坐在床上，上体前倾，双臂向前平伸，尽量用双手触及双脚。重复5～6次。
9 呼气时坐起，立即向右转身1次，躺下，恢复预备姿势。第二次呼吸时再坐起，立即向左转身1次，躺下，恢复预备姿势。重复4次。
10 仰卧，双腿伸直并拢，抬高50～60 度，抬腿时吸气，放下时呼气。重复6～8次。
※※治低血压小偏方
1.核桃仁40克，党参30克，生姜3片，水煎服，每日1次。
2.莲子20克，大枣6枚，生姜6片，水煎服，每日2次。
3.陈皮15克，核桃仁20克，甘草6克，水煎服，每日2次。
4.人参、莲子各10克，冰糖30克，隔水炖熟，吃莲子喝汤。
Linux下的后门和常见日志工具
[ 2008/10/12 16:04 | by selboo ]
攻入Linux系统后,很多入侵者往往就开始得意忘形了.这其中还有一个原因,就是技术性也要求更高了.下面,我们来看看一些常用的经典工具.
1、从这里延伸：后门和连接工具
(1)Httptunnel
Tunnel的意思是隧道,通常HTTPTunnel被称之为HTTP暗道,它的原理就是将数据伪装成HTTP的数据形式来穿过防火墙,实际上,它是在HTTP请求中创建了一个双向的虚拟数据连接来穿透防火墙.说得简单点,就是说在防火墙两边都设立一个转换程序,将原来需要发送或接受的数据包封装成 HTTP请求的格式骗过防火墙,所以它不需要别的代理服务器而直接穿透防火墙.
HTTPTunnel包括两个程序：htc和hts,其中htc是客户端,而hts是服务器端,我们现在来看看我是如何用它们的.比如开了FTP的机器的IP是192.168.10.231,本地机器IP是192.168.10.226,因为防火墙的原因,本地机器无法连接到FTP上.怎么办?现在就可以考虑使用HTTPTunnel了.过程如下：
第一步：在本地机器上启动HTTPTunnel客户端.用Netstat看一下本机现在开放的端口,会发现8888端口已在侦听.
第二步：在对方机器上启动HTTPTunnel的服务器端,并执行命令“hts -f localhost:21 80”,这个命令的意思是说,把本机的21端口发出去的数据全部通过80端口中转一下,并且开放80端口作为侦听端口,再用Neststat看一下他的机器,就会发现80端口现在也在侦听状态.
第三步：在本地机器上用FTP连接本机的8888端口,会发现已经连上对方的机器了.那么,为什么人家看到的是127.0.0.1,而不是 192.168.10.231呢?因为我们现在是连接本机的8888端口,防火墙肯定不会有反应,如果没往外发包,局域网的防火墙肯定就不知道了.现在连接上本机的8888端口以后,FTP的数据包不管是控制信息还是数据信息,都被htc伪装成HTTP数据包然后发过去,在防火墙看来,这都是正常数据,相当于欺骗了防火墙.
需要说明的是,这一招的使用需要其他机器的配合,就是说要在他的机器上启动一个hts,把他所提供的服务,如FTP等重定向到防火墙所允许的80端口上,这样才可以成功绕过防火墙!肯定有人会问,如果对方的机器上本身就有WWW服务,也就是说他的80端口在侦听,这么做会不会冲突?HTTPTunnel的优点就在于,即使他的机器以前80端口开着,现在也不会出现什么问题,重定向的隧道服务将畅通无阻!
(2)Tcp_wrapper
Tcp_wrapper是Wietse Venema开发的一个免费软件. Tcp_wrapper的诞生有个小小的故事,大约1990年,作者所在大学的服务器屡屡受到一个外来黑客侵入,因为受害主机的硬盘数据屡次被rm -rf/命令整个抹掉,所以找寻线索极为困难,直到有一天晚上作者在工作的过程中无意中发现这个黑客在不断的finger 受害主机、偷窥受害者的工作.于是,一个想法诞生了：设计一个软件,使它可以截获发起finger请求的IP,用户名等资料.Venema很快投入了工作,而Tcp_wrapper也由此诞生!此后,Tcp_wrapper随着广泛的应用逐渐成为一种标准的安全工具.通过它,管理员实现了对inetd提供的各种服务进行监控和过滤.
Tcp_wrapper编译安装成功后,会生成一个tcpd程序,它可以在inetd.conf这个控制文件中取代in.telnetd的位置,这样,每当有telnet的连接请求时,tcpd即会截获请求,先读取管理员所设置的访问控制文件,合乎要求,则会把这次连接原封不动的转给真正的 in.telnetd程序,由in.telnetd完成后续工作.如果这次连接发起的ip不符合访问控制文件中的设置,则会中断连接请求,拒绝提供 telnet服务.Tcp_wrapper访问控制的实现是依靠两个文件:hosts.allow,hosts.deny来实现的.如果我们编辑/etc /syslog.conf文件时,加入了日志纪录功能,即：
#tcp wrapper loglocal3.info /var/log/tcplog
编辑结束后,保存文件,在/var/log下会生成tcplog文件,注意这个文件的读写属性, 应该只对root有读写权限.然后ps -ef grep syslogd,找出syslogd的进程号,kill -HUP 重启syslogd进程使改动生效.在这里,我们可以预先看一看以后生成的tcplog文件内容,如下：
Jul 31 22:00:52 www.test.org in.telnetd[4365]: connect from 10.68.32.1Jul 31 22:02:10 www.test.org in.telnetd[4389]: connect from 10.68.32.5Jul 31 22:04:58 www.test.org in.ftpd[4429]: connect from 10.68.32.3Aug 2 02:11:07 www.test.org in.rshd[13660]: connect from 10.68.32.5Aug 2 02:11:07 www.test.org in.rlogind[13659]: connect from 10.68.32.1
从上面我们可以看到,在安装了Tcp_wrapper的主机上,系统的每一次连接,Tcp_wrapper都做了纪录,它的内容包括时间、服务、状态、ip等,对攻击这有很大的参考价值,不过,一定要记得清除日志了.
(3)rootkit工具：LRK
Rootkit出现于二十世纪90年代初,它是攻击者用来隐藏自己的踪迹和保留root访问权限的工具.通常,攻击者通过远程攻击或者密码猜测获得系统的访问权限.接着,攻击者会在侵入的主机中安装rootkit,然后他会通过rootkit的后门检查系统,看是否有其他的用户登录,如果只有自己,攻击者就开始着手清理日志中的有关信息.通过rootkit的嗅探器获得其它系统的用户和密码之后,攻击者就会利用这些信息侵入其它的系统.
如果攻击者能够正确地安装rootkit并合理地清理了日志文件,系统管理员就会很难察觉系统已经被侵入,直到某一天其它系统的管理员和他联系或者嗅探器的日志把磁盘全部填满,他才会察觉已经大祸临头了.不过,在系统恢复和清理过程中,大多数常用的命令例如ps、df和ls已经不可信了.许多rootkit中有一个叫做 FIX的程序,在安装rootkit之前,攻击者可以首先使用这个程序做一个系统二进制代码的快照,然后再安装替代程序.FIX能够根据原来的程序伪造替代程序的三个时间戳(atime、ctime、mtime)、date、permission、所属用户和所属用户组.如果攻击者能够准确地使用这些优秀的应用程序,并且在安装rootkit时行为谨慎,就会让系统管理员很难发现.
下面我们介绍一个非常典型的针对Linux系统的LRK版本6.Linux Rootkit 6是一个开放源码的rootkit,经过多年的发展,Linux Rootkit的功能越来越完善,具有的特征也越来越多.下面我们简单地介绍一下Linux Rootkit包含的各种工具.
首先是隐藏入侵者行踪的程序.为了隐藏入侵者的行踪,Linux Rootkit IV的作者可谓煞费心机,编写了许多系统命令的替代程序,使用这些程序代替原由的系统命令,来隐藏入侵者的行踪.这些程序包括：
ls、find、du 这些程序会阻止显示入侵者的文件以及计算入侵者文件占用的空间.在编译之前,入侵者可以通过ROOTKIT_FILES_FILE设置自己的文件所处的位置,默认是/dev/ptyr.注意如果在编译时使用了SHOWFLAG选项,就可以使用ls -/命令列出所有的文件.这几个程序还能够自动隐藏所有名字为：ptyr、hack.dir和W4r3z的文件.
ps、top、pidof 这几个程序用来隐藏所有和入侵者相关的进程.
netstat 隐藏出/入指定IP地址或者端口的网络数据流量程.
killall 不会杀死被入侵者隐藏的进程.
ifconfig 如果入侵者启动了嗅探器,这个程序就阻止PROMISC标记的显示,使系统管理员难以发现网络接口已经处于混杂模式下.
crontab 隐藏有关攻击者的crontab条目.
tcpd 阻止向日志中记录某些连接.
syslogd 过滤掉日志中的某些连接信息.
其次是后门程序.木马程序可以为本地用户提供后门；木马网络监控程序则可以为远程用户提供inetd、rsh、ssh等后门服务,具体因版本而异.随着版本的升级,Linux Rootkit IV的功能也越来越强大,特征也越来越丰富.一般包括如下网络服务程序：
chfn 提升本地普通用户权限的程序.运行chfn,在它提示输入新的用户名时,如果用户输入rookit密码,他的权限就被提升为root.
chsh 提升本地用户权限的程序.运行chsh,在它提示输入新的shell时,如果用户输入rootkit密码,他的权限就被提升为root.
passwd 和上面两个程序的作用相同.在提示你输入新密码时,如果输入rookit密码,权限就可以变成root.
login 允许使用任何帐户通过rootkit密码登录.如果使用root帐户登录被拒绝,可以尝试一下rewt.当使用后门时,这个程序还能够禁止记录命令的历史记录.
inetd 特洛伊inetd程序,为攻击者提供远程访问服务.
rshd 为攻击者提供远程shell服务.攻击者使用rsh -l rootkitpassword host command命令就可以启动一个远程root shell.
sshd 为攻击者提供ssh服务的后门程序.
再就是工具程序.所有不属于以上类型的程序都可以归如这个类型,它们实现一些诸如：日志清理、报文嗅探以及远程shell的端口绑定等功能,包括：
fix 文件属性伪造程序.
linsniffer 报文嗅探器程序.
sniffchk 一个简单的bash shell脚本,检查系统中是否正有一个嗅探器在运行.
login 允许使用任何帐户通过rootkit密码登录.如果使用root帐户登录被拒绝,可以尝试一下rewt.当使用后门时,这个程序还能够禁止记录命令的历史记录.
z2 utmp/wtmp/lastlog日志清理工具.可以删除utmp/wtmp/lastlog日志文件中有关某个用户名的所有条目.不过,如果用于Linux系统需要手工修改其源代码,设置日志文件的位置.
bindshell 在某个端口上绑定shell服务,默认端口是12497.为远程攻击者提供shell服务.
(4)netcat
这是一个简单而有用的工具,能够通过使用TCP或UDP协议的网络连接去读写数据.它被设计成一个稳定的后门工具,能够直接由其它程序和脚本轻松驱动.同时,它也是一个功能强大的网络调试和探测工具,能够建立你需要的几乎所有类型的网络连接,还有几个很有意思的内置功能.
2、查找Linux下的蛛丝马迹：日志工具
对于高明的攻击者来说,进入系统后,还应了解自己的“蛛丝马迹”并清除这些痕迹,自然就要了解一些日志工具了.
(1)logcheck
logchek 可以自动地检查日志文件,定期检查日志文件以发现违反安全规则以及异常的活动.它先把正常的日志信息剔除掉,把一些有问题的日志保留下来,然后把这些信息 email 给系统管理员.logcheck 用 logtail 程序记住上次已经读过的日志文件的位置,然后从这个位置开始处理新的日志信息.logcheck 主要由下面几个主要的文件：
logcheck.sh 可执行的脚本文件,记录logcheck检查那些日志文件等,我们可以把它加入crontab中定时运行.
logcheck.hacking 是logcheck 检查的模式文件.和下面的文件一起,按从上到下的顺序执行.这个文件表明了入侵活动的模式.
logcheck.violations 这个文件表示有问题,违背常理的活动的模式.优先级小于上面的那个模式文件.
logcheck.violations.ignore 这个文件和上面的logcheck.violations的优先是相对的,是我们所不关心的问题的模式文件.
logcheck.ignore 这是检查的最后一个模式文件.如果没有和前三个模式文件匹配,也没有匹配这个模式文件的话,则输出到报告中.
Logtail 记录日志文件信息.
Logcheck首次运行时读入相关的日志文件的所有内容,Logtail会在日志文件的目录下为每个关心的日志文件建立一个 logfile.offset 的偏移量文件,以便于下次检查时从这个偏移量开始检查.Logcheck执行时,将未被忽略的内容通过邮件的形式发送给 logcheck.sh 中 系统管理员指定的用户.
(2)logrotate
一般Linux 发行版中都自带这个工具.它可以自动使日志循环,删除保存最久的日志,它的配置文件是 /etc/logrotate.conf,我们可以在这个文件中设置日志的循环周期、日志的备份数目以及如何备份日志等等.在/etc /logrotate.d目录下,包括一些工具的日志循环设置文件,如syslog等,在这些文件中指定了如何根据/etc /logrotate.conf做日志循环,也可以在这里面添加其他的文件以循环其他服务的日志.
(3)swatch
swatch 是一个实时的日志监控工具,我们可以设置感兴趣的事件.Swatch 有两种运行方式：一种可以在检查日志完毕退出,另一种可以连续监视日志中的新信息.Swatch提供了许多通知方式,包括email、振铃、终端输出、多种颜色等等.安装前,必须确保系统支持perl.swatch 软件的重点是配置文件swatchmessage,这个文本文件告诉 swatch 需要监视什么日志,需要寻找什么触发器,和当触发时所要执行的动作.当swatch发现与swatchmessage中定义的触发器正则表达式相符时,它将执行在 swatchrc中定义的通知程序.
当然,上面所介绍的软件只是Linux大海中的几只美丽的贝壳,随着越来越多的用户加入到Linux大军中,我们相信,优秀的Hack也将越来越多,这反过来也将促进Linux操作系统逐步走向成熟,我们拭目以待.
1、从这里延伸：后门和连接工具
(1)Httptunnel
Tunnel的意思是隧道,通常HTTPTunnel被称之为HTTP暗道,它的原理就是将数据伪装成HTTP的数据形式来穿过防火墙,实际上,它是在HTTP请求中创建了一个双向的虚拟数据连接来穿透防火墙.说得简单点,就是说在防火墙两边都设立一个转换程序,将原来需要发送或接受的数据包封装成 HTTP请求的格式骗过防火墙,所以它不需要别的代理服务器而直接穿透防火墙.
HTTPTunnel包括两个程序：htc和hts,其中htc是客户端,而hts是服务器端,我们现在来看看我是如何用它们的.比如开了FTP的机器的IP是192.168.10.231,本地机器IP是192.168.10.226,因为防火墙的原因,本地机器无法连接到FTP上.怎么办?现在就可以考虑使用HTTPTunnel了.过程如下：
第一步：在本地机器上启动HTTPTunnel客户端.用Netstat看一下本机现在开放的端口,会发现8888端口已在侦听.
第二步：在对方机器上启动HTTPTunnel的服务器端,并执行命令“hts -f localhost:21 80”,这个命令的意思是说,把本机的21端口发出去的数据全部通过80端口中转一下,并且开放80端口作为侦听端口,再用Neststat看一下他的机器,就会发现80端口现在也在侦听状态.
第三步：在本地机器上用FTP连接本机的8888端口,会发现已经连上对方的机器了.那么,为什么人家看到的是127.0.0.1,而不是 192.168.10.231呢?因为我们现在是连接本机的8888端口,防火墙肯定不会有反应,如果没往外发包,局域网的防火墙肯定就不知道了.现在连接上本机的8888端口以后,FTP的数据包不管是控制信息还是数据信息,都被htc伪装成HTTP数据包然后发过去,在防火墙看来,这都是正常数据,相当于欺骗了防火墙.
需要说明的是,这一招的使用需要其他机器的配合,就是说要在他的机器上启动一个hts,把他所提供的服务,如FTP等重定向到防火墙所允许的80端口上,这样才可以成功绕过防火墙!肯定有人会问,如果对方的机器上本身就有WWW服务,也就是说他的80端口在侦听,这么做会不会冲突?HTTPTunnel的优点就在于,即使他的机器以前80端口开着,现在也不会出现什么问题,重定向的隧道服务将畅通无阻!
(2)Tcp_wrapper
Tcp_wrapper是Wietse Venema开发的一个免费软件. Tcp_wrapper的诞生有个小小的故事,大约1990年,作者所在大学的服务器屡屡受到一个外来黑客侵入,因为受害主机的硬盘数据屡次被rm -rf/命令整个抹掉,所以找寻线索极为困难,直到有一天晚上作者在工作的过程中无意中发现这个黑客在不断的finger 受害主机、偷窥受害者的工作.于是,一个想法诞生了：设计一个软件,使它可以截获发起finger请求的IP,用户名等资料.Venema很快投入了工作,而Tcp_wrapper也由此诞生!此后,Tcp_wrapper随着广泛的应用逐渐成为一种标准的安全工具.通过它,管理员实现了对inetd提供的各种服务进行监控和过滤.
Tcp_wrapper编译安装成功后,会生成一个tcpd程序,它可以在inetd.conf这个控制文件中取代in.telnetd的位置,这样,每当有telnet的连接请求时,tcpd即会截获请求,先读取管理员所设置的访问控制文件,合乎要求,则会把这次连接原封不动的转给真正的 in.telnetd程序,由in.telnetd完成后续工作.如果这次连接发起的ip不符合访问控制文件中的设置,则会中断连接请求,拒绝提供 telnet服务.Tcp_wrapper访问控制的实现是依靠两个文件:hosts.allow,hosts.deny来实现的.如果我们编辑/etc /syslog.conf文件时,加入了日志纪录功能,即：
#tcp wrapper loglocal3.info /var/log/tcplog
编辑结束后,保存文件,在/var/log下会生成tcplog文件,注意这个文件的读写属性, 应该只对root有读写权限.然后ps -ef grep syslogd,找出syslogd的进程号,kill -HUP 重启syslogd进程使改动生效.在这里,我们可以预先看一看以后生成的tcplog文件内容,如下：
Jul 31 22:00:52 www.test.org in.telnetd[4365]: connect from 10.68.32.1Jul 31 22:02:10 www.test.org in.telnetd[4389]: connect from 10.68.32.5Jul 31 22:04:58 www.test.org in.ftpd[4429]: connect from 10.68.32.3Aug 2 02:11:07 www.test.org in.rshd[13660]: connect from 10.68.32.5Aug 2 02:11:07 www.test.org in.rlogind[13659]: connect from 10.68.32.1
从上面我们可以看到,在安装了Tcp_wrapper的主机上,系统的每一次连接,Tcp_wrapper都做了纪录,它的内容包括时间、服务、状态、ip等,对攻击这有很大的参考价值,不过,一定要记得清除日志了.
(3)rootkit工具：LRK
Rootkit出现于二十世纪90年代初,它是攻击者用来隐藏自己的踪迹和保留root访问权限的工具.通常,攻击者通过远程攻击或者密码猜测获得系统的访问权限.接着,攻击者会在侵入的主机中安装rootkit,然后他会通过rootkit的后门检查系统,看是否有其他的用户登录,如果只有自己,攻击者就开始着手清理日志中的有关信息.通过rootkit的嗅探器获得其它系统的用户和密码之后,攻击者就会利用这些信息侵入其它的系统.
如果攻击者能够正确地安装rootkit并合理地清理了日志文件,系统管理员就会很难察觉系统已经被侵入,直到某一天其它系统的管理员和他联系或者嗅探器的日志把磁盘全部填满,他才会察觉已经大祸临头了.不过,在系统恢复和清理过程中,大多数常用的命令例如ps、df和ls已经不可信了.许多rootkit中有一个叫做 FIX的程序,在安装rootkit之前,攻击者可以首先使用这个程序做一个系统二进制代码的快照,然后再安装替代程序.FIX能够根据原来的程序伪造替代程序的三个时间戳(atime、ctime、mtime)、date、permission、所属用户和所属用户组.如果攻击者能够准确地使用这些优秀的应用程序,并且在安装rootkit时行为谨慎,就会让系统管理员很难发现.
下面我们介绍一个非常典型的针对Linux系统的LRK版本6.Linux Rootkit 6是一个开放源码的rootkit,经过多年的发展,Linux Rootkit的功能越来越完善,具有的特征也越来越多.下面我们简单地介绍一下Linux Rootkit包含的各种工具.
首先是隐藏入侵者行踪的程序.为了隐藏入侵者的行踪,Linux Rootkit IV的作者可谓煞费心机,编写了许多系统命令的替代程序,使用这些程序代替原由的系统命令,来隐藏入侵者的行踪.这些程序包括：
ls、find、du 这些程序会阻止显示入侵者的文件以及计算入侵者文件占用的空间.在编译之前,入侵者可以通过ROOTKIT_FILES_FILE设置自己的文件所处的位置,默认是/dev/ptyr.注意如果在编译时使用了SHOWFLAG选项,就可以使用ls -/命令列出所有的文件.这几个程序还能够自动隐藏所有名字为：ptyr、hack.dir和W4r3z的文件.
ps、top、pidof 这几个程序用来隐藏所有和入侵者相关的进程.
netstat 隐藏出/入指定IP地址或者端口的网络数据流量程.
killall 不会杀死被入侵者隐藏的进程.
ifconfig 如果入侵者启动了嗅探器,这个程序就阻止PROMISC标记的显示,使系统管理员难以发现网络接口已经处于混杂模式下.
crontab 隐藏有关攻击者的crontab条目.
tcpd 阻止向日志中记录某些连接.
syslogd 过滤掉日志中的某些连接信息.
其次是后门程序.木马程序可以为本地用户提供后门；木马网络监控程序则可以为远程用户提供inetd、rsh、ssh等后门服务,具体因版本而异.随着版本的升级,Linux Rootkit IV的功能也越来越强大,特征也越来越丰富.一般包括如下网络服务程序：
chfn 提升本地普通用户权限的程序.运行chfn,在它提示输入新的用户名时,如果用户输入rookit密码,他的权限就被提升为root.
chsh 提升本地用户权限的程序.运行chsh,在它提示输入新的shell时,如果用户输入rootkit密码,他的权限就被提升为root.
passwd 和上面两个程序的作用相同.在提示你输入新密码时,如果输入rookit密码,权限就可以变成root.
login 允许使用任何帐户通过rootkit密码登录.如果使用root帐户登录被拒绝,可以尝试一下rewt.当使用后门时,这个程序还能够禁止记录命令的历史记录.
inetd 特洛伊inetd程序,为攻击者提供远程访问服务.
rshd 为攻击者提供远程shell服务.攻击者使用rsh -l rootkitpassword host command命令就可以启动一个远程root shell.
sshd 为攻击者提供ssh服务的后门程序.
再就是工具程序.所有不属于以上类型的程序都可以归如这个类型,它们实现一些诸如：日志清理、报文嗅探以及远程shell的端口绑定等功能,包括：
fix 文件属性伪造程序.
linsniffer 报文嗅探器程序.
sniffchk 一个简单的bash shell脚本,检查系统中是否正有一个嗅探器在运行.
login 允许使用任何帐户通过rootkit密码登录.如果使用root帐户登录被拒绝,可以尝试一下rewt.当使用后门时,这个程序还能够禁止记录命令的历史记录.
z2 utmp/wtmp/lastlog日志清理工具.可以删除utmp/wtmp/lastlog日志文件中有关某个用户名的所有条目.不过,如果用于Linux系统需要手工修改其源代码,设置日志文件的位置.
bindshell 在某个端口上绑定shell服务,默认端口是12497.为远程攻击者提供shell服务.
(4)netcat
这是一个简单而有用的工具,能够通过使用TCP或UDP协议的网络连接去读写数据.它被设计成一个稳定的后门工具,能够直接由其它程序和脚本轻松驱动.同时,它也是一个功能强大的网络调试和探测工具,能够建立你需要的几乎所有类型的网络连接,还有几个很有意思的内置功能.
2、查找Linux下的蛛丝马迹：日志工具
对于高明的攻击者来说,进入系统后,还应了解自己的“蛛丝马迹”并清除这些痕迹,自然就要了解一些日志工具了.
(1)logcheck
logchek 可以自动地检查日志文件,定期检查日志文件以发现违反安全规则以及异常的活动.它先把正常的日志信息剔除掉,把一些有问题的日志保留下来,然后把这些信息 email 给系统管理员.logcheck 用 logtail 程序记住上次已经读过的日志文件的位置,然后从这个位置开始处理新的日志信息.logcheck 主要由下面几个主要的文件：
logcheck.sh 可执行的脚本文件,记录logcheck检查那些日志文件等,我们可以把它加入crontab中定时运行.
logcheck.hacking 是logcheck 检查的模式文件.和下面的文件一起,按从上到下的顺序执行.这个文件表明了入侵活动的模式.
logcheck.violations 这个文件表示有问题,违背常理的活动的模式.优先级小于上面的那个模式文件.
logcheck.violations.ignore 这个文件和上面的logcheck.violations的优先是相对的,是我们所不关心的问题的模式文件.
logcheck.ignore 这是检查的最后一个模式文件.如果没有和前三个模式文件匹配,也没有匹配这个模式文件的话,则输出到报告中.
Logtail 记录日志文件信息.
Logcheck首次运行时读入相关的日志文件的所有内容,Logtail会在日志文件的目录下为每个关心的日志文件建立一个 logfile.offset 的偏移量文件,以便于下次检查时从这个偏移量开始检查.Logcheck执行时,将未被忽略的内容通过邮件的形式发送给 logcheck.sh 中 系统管理员指定的用户.
(2)logrotate
一般Linux 发行版中都自带这个工具.它可以自动使日志循环,删除保存最久的日志,它的配置文件是 /etc/logrotate.conf,我们可以在这个文件中设置日志的循环周期、日志的备份数目以及如何备份日志等等.在/etc /logrotate.d目录下,包括一些工具的日志循环设置文件,如syslog等,在这些文件中指定了如何根据/etc /logrotate.conf做日志循环,也可以在这里面添加其他的文件以循环其他服务的日志.
(3)swatch
swatch 是一个实时的日志监控工具,我们可以设置感兴趣的事件.Swatch 有两种运行方式：一种可以在检查日志完毕退出,另一种可以连续监视日志中的新信息.Swatch提供了许多通知方式,包括email、振铃、终端输出、多种颜色等等.安装前,必须确保系统支持perl.swatch 软件的重点是配置文件swatchmessage,这个文本文件告诉 swatch 需要监视什么日志,需要寻找什么触发器,和当触发时所要执行的动作.当swatch发现与swatchmessage中定义的触发器正则表达式相符时,它将执行在 swatchrc中定义的通知程序.
当然,上面所介绍的软件只是Linux大海中的几只美丽的贝壳,随着越来越多的用户加入到Linux大军中,我们相信,优秀的Hack也将越来越多,这反过来也将促进Linux操作系统逐步走向成熟,我们拭目以待.
