linuxpickup進程

1. 怎麼安裝《Hiweed linux 2.0 RC 3》(Hiweed Linux 2.0 RC 3)[光碟鏡像]

你先得分給linux一點硬碟 系統文件（也就是根文件「/」）大概5G 然後是交換分區（「/swap」）這個不用太大 一般建議內存的兩倍 也就是說你需要分兩個空閑的分區出來

然後把下載下來的鏡像放到FAT32格式的分區下（不要用你准備用來裝linux的兩個分區）接著解壓 解壓後可以看到一個 hiweed-install 類似名字的可執行文件 雙擊 然後根據提示安裝就行了（做完了過後有提示你要重啟，先不要重啟，先把c:\ubuntu文件夾下面的initrd.gz換成ubuntu8.10鏡像裡面的initrd.gz，然後重啟）
http://pickup.mofile.com/8525188534151422 這里可以下載到initrd.gz

重新啟動的時候你會看到一個雙啟動選擇菜單 上面是xp 下面是hiweed linuz選擇下面的 這時候又會有一個啟動向要求你選擇 選擇install hiweed linux 這時候就會進入到linux 讓你安裝 在啟動等待的過程中 建議最好不要移動滑鼠 否則可能自動登錄失敗 自動登錄之後你就會看到一個安裝界面 不要管 先直接退出 點擊退出之後 就會回到livecd桌面 你會看到一個很綠 很清新的界面 下面是任務欄 點擊上面一個[>_]陽的圖標 是黑色的 然後在裡面輸入 sudo umount /media/s* 回車再輸入sudo umount -l /isodevice之後 再關閉窗口 或者 輸入 exit 接著就雙擊左面上的一個install圖標 就可以正式開始安裝了，按照提示 中間會來到分區設定 選者手動 下一步 接著就會看到你當前的分區列表（和win不太一樣）找到你要裝linux系統的那個分區 選者格式為ext3掛載為「/」 選者格式化 另一個掛載為「/swap」接著按照提示下一步就可以裝了

裝完了之後 xp的啟動項會被淹沒 接下來就是增加xp的啟動項 竟如到hiweed
登錄成功過後 再次選擇任務欄上面的那個黑黑的圖標 單擊他 根上次一樣彈出命令窗口 現在先設置你超級用戶的密碼 即root 用戶 輸入 sudo passwd回車 這時候會要求你輸入當前用戶的密碼 直接鍵入就是了（不會有任何的提示付 即在你輸入的過程中不會出現*或者其他符號來代替你輸入的密碼顯示）如果你輸密碼的時候用到小鍵盤 一定注意小鍵盤是否打開 默認linux是關閉的。接下來會叫你輸入超級用戶的密碼 重復確認 （超級用戶許可權非常強大 慎用 用戶名為root 密碼就是你剛剛設定的）接下來 再輸入 sudo vim /boot/grub/menu.lst 回車 這時候 你會看到一窗口的 英文 按下鍵盤的insert鍵 用鍵盤的上下左右鍵將游標移動到追後一行（當然這是最簡單的辦法 也是最沒有效率的辦法 如果你學過vim那就沒必要這樣用了）換行 輸入
title Windows xp
root (hd0,0)
makeactive
chainloader +1
boot
寫完了後按下鍵盤的Esc鍵 再按「：」即shift+；鍵 這個時候會在窗口的最下派出現一個空白行 前面有一個「：」 輸入wq 然後重啟系統 在剛剛過萬bios後按ESC就可以看到xp的啟動項了。
http://pickup.mofile.com/1313227183266611 這里可以下載到一個圖文的教程

2. 200分！ Ubuntu V9.04 系統安裝！

對於不了解Linux的說，可以使用一樓說的添加刪除程序的方法來安裝

ub提供了在windows下進行安裝刪除自身的功能的程序：wubi.exe

打開光碟根目錄下就可以看到（如下圖），點擊"installinsidewindows"

就可以象普通程序一樣安裝在xp裡面，先保證至少有一個分區有足夠的空間，

然後下一步，

選擇安裝ubuntu的位置(哪個盤空間大安裝到哪個盤）

然後選擇安裝虛擬鏡像文件的大小，這決定了ubuntu能使用真實硬碟中多大的空間（這是通過一個鏡像文件虛擬硬碟的方式）

再選擇下語言，設置下用戶名，密碼（這要記住，否則就不好登陸了）

就可以開始安裝了，速度很快，放心就是了，對原來系統不會有什麼影響，

啟動方式就像普通雙windows系統菜單那樣（如下圖）

用不習慣就在控制面板里可以直接刪除，

注:這樣ub使用虛擬硬碟方式，安裝和刪除都不會改變原來硬碟分區結構

速度不會比真實硬碟慢很多，這個差異是感覺不到的

3. postfix 是做什麼的軟體啊

一、 postfix概述

postfix是Wietse Venema在IBM的GPL協議之下開發的MTA（郵件傳輸代理）軟體。下面一段話摘自postfix的官方站點（http://www.postfix.org）：「postfix是Wietse Venema想要為使用最廣泛的sendmail提供替代品的一個嘗試。在Internet世界中，大部分的電子郵件都是通過sendmail來投遞的，大約有100萬用戶使用sendmail，每天投遞上億封郵件。這真實一個讓人吃驚的數字。Postfix試圖更快、更容易管理、更安全，同時還與sendmail保持足夠的兼容性。」

1.1 postfix的特點

1. postfix是免費的：

postfix想要作用的范圍是廣大的Internet用戶，試圖影響大多數的Internet上的電子郵件系統，因此它是免費的。

2. 更快：

postfix在性能上大約比sendmail快三倍。一部運行postfix的台式PC每天可以收發上百萬封郵件。

3. 兼容性好:

postfix是sendmail兼容的，從而使sendmail用戶可以很方便地遷移到postfix。Postfix支持/var[/spool]/mail、/etc/aliases、 NIS、和 ~/.forward 文件。

4. 更健壯：

postfix被設計成在重負荷之下仍然可以正常工作。當系統運行超出了可用的內存或磁碟空間時，postfix會自動減少運行進程的數目。當處理的郵件數目增長時，postfix運行的進程不會跟著增加。

5. 更靈活：

postfix是由超過一打的小程序組成的，每個程序完成特定的功能。你可以通過配置文件設置每個程序的運行參數。

6. 安全性

postfix具有多層防禦結構，可以有效地抵禦惡意入侵者。如大多數的postfix程序可以運行在較低的許可權之下，不可以通過網路訪問安全性相關的本地投遞程序等等。

1.2 postfix的總體結構

postfix由十幾個具有不同功能的半駐留進程組成，並且在這些進程中並無特定的進程間父子關系。某一個特定的進程可以為其他進程提供特定的服務。

大多數的postfix進程由一個進程統一進行管理，該進程負責在需要的時候調用其他進程，這個管理進程就是master進程。該進程也是一個後台程序。

這些postfix進程是可以配置的，我們可以配置每個進程運行的數目，可重用的次數，生存的時間等等。通過靈活的配置特性可以使整個系統的運行成本大大降低。

1.2.1 postfix的郵件隊列（mail queues）

postfix有四種不同的郵件隊列，並且由隊列管理進程統一進行管理：

1． maildrop：本地郵件放置在maildrop中，同時也被拷貝到incoming中。

2． incoming：放置正在到達或隊列管理進程尚未發現的郵件。

3． active：放置隊列管理進程已經打開了並正准備投遞的郵件，該隊列有長度的限制。

4． deferred：放置不能被投遞的郵件。

隊列管理進程僅僅在內存中保留active隊列，並且對該隊列的長度進行限制，這樣做的目的是為了避免進程運行內存超過系統的可用內存。

1.2.2 postfix對郵件風暴的處理

當有新的郵件到達時，postfix進行初始化，初始化時postfix同時只接受兩個並發的連接請求。當郵件投遞成功後，可以同時接受的並發連接的數目就會緩慢地增長至一個可以配置的值。當然，如果這時系統的消耗已到達系統不能承受的負載就會停止增長。還有一種情況時，如果postfix在處理郵件過程中遇到了問題，則該值會開始降低。

當接收到的新郵件的數量超過postfix的投遞能力時，postfix會暫時停止投遞deferred隊列中的郵件而去處理新接收到的郵件。這是因為處理新郵件的延遲要小於處理deferred隊列中的郵件。Postfix會在空閑時處理deferred中的郵件。

1.2.3 postfix對無法投遞的郵件的處理

當一封郵件第一次不能成功投遞時，postfix會給該郵件貼上一個將來的時間郵票。郵件隊列管理程序會忽略貼有將來時間郵票的郵件。時間郵票到期時，postfix會嘗試再對該郵件進行一次投遞，如果這次投遞再次失敗，postfix就給該郵件貼上一個兩倍於上次時間郵票的時間郵票，等時間郵票到期時再次進行投遞，依此類推。當然，經過一定次數的嘗試之後，postfix會放棄對該郵件的投遞，返回一個錯誤信息給該郵件的發件人。

1.2.4 postfix對不可到達的目的地郵件的處理

postfix會在內存中保存一個有長度限制的當前不可到達的地址列表。這樣就避免了對那些目的地為當前不可到達地址的郵件的投遞嘗試。從而大大提高了系統的性能。

1.2.5 postfix的安全性

postfix通過一系列的措施來提高系統的安全性，這些措施包括：

1． 動態分配內存，從而防止系統緩沖區溢出；

2． 把大郵件分割成幾塊進行處理，投遞時再重組；

3． Postfix的各種進程不在其他用戶進程的控制之下運行，而是運行在駐留主進程master的控制之下，與其他用戶進程無父子關系，所有有很好的絕緣性。

4． Postfix的隊列文件有其特殊的格式，只能被postfix本身識別；

二、 postfix對郵件的處理過程

2.1 接收郵件的過程

當postfix接收到一封新郵件時，新郵件首選在incoming隊列處停留，然後針對不同的情況進行不同的處理：

1．對於來自於本地的郵件：sendmail進程負責接收來自本地的郵件放在maildrop隊列中，然後pickup進程對maildrop中的郵件進行完整性檢測。maildrop目錄的許可權必須設置為某一用戶不能刪除其他用戶的郵件。

2．對於來自於網路的郵件：smtpd進程負責接收來自於網路的郵件，並且進行安全性檢測。可以通過UCE（unsolicited commercial email）控制smtpd的行為。

3．由postfix進程產生的郵件：這是為了將不可投遞的信息返回給發件人。這些郵件是由bounce後台程序產生的。

5． 由postfix自己產生的郵件：提示postmaster（也即postfix管理員）postfix運行過程中出現的問題。（如SMTP協議問題，違反UCE規則的記錄等等。）

關於cleanup後台程序的說明：cleanup是對新郵件進行處理的最後一道工序，它對新郵件進行以下的處理：添加信頭中丟失的Form信息；為將地址重寫成標準的[email protected]格式進行排列；重信頭中抽出收件人的地址；將郵件投入incoming隊列中，並請求郵件隊列管理進程處理該郵件；請求trivial-rewrite進程將地址轉換成標準的[email protected]格式。

2.2 投遞郵件的過程

新郵件一旦到達incoming隊列，下一步就是開始投遞郵件，postfix投遞郵件時的處理過程如圖三所示。相關的說明如下：

郵件隊列管理進程是整個postfix郵件系統的心臟。它和local、smtp、pipe等投遞代理相聯系，將包含有隊列文件路徑信息、郵件發件人地址、郵件收件人地址的投遞請求發送給投遞代理。隊列管理進程維護著一個deferred隊列，那些無法投遞的郵件被投遞到該隊列中。除此之外，隊列管理進程還維護著一個active隊列，該隊列中的郵件數目是有限制的，這是為了防止在負載太大時內存溢出。郵件隊列管理程序還負責將收件人地址在relocated表中列出的郵件返回給發件人，該表包含無效的收件人地址。

如果郵件隊列管理進程請求，rewrite後台程序對收件人地址進行解析。但是預設地，rewrite只對郵件收件人是本地的還是遠程的進行區別。

如果郵件對你管理進程請求，bounce後台程序可以生成一個郵件不可投遞的報告。

本地投遞代理local進程可以理解類似UNIX風格的郵箱，sendmail風格的系統別名資料庫和sendmail風格的.forward文件。可以同時運行多個local進程，但是對同一個用戶的並發投遞進程數目是有限制的。你可以配置local將郵件投遞到用戶的宿主目錄，也可以配置local將郵件發送給一個外部命令，如流行的本地投遞代理procmail。在流行的linux發行版本RedHat中，我們就使用procmail作為最終的本地投遞代理。

遠程投遞代理SMTP進程根據收件人地址查詢一個SMTP伺服器列表，按照順序連接每一個SMTP伺服器，根據性能對該表進行排序。在系統負載太大時，可以有數個並發的SMTP進程同時運行。

4. 5.30 電子郵件sendmail試驗

估計時間： 2個小時

目標： 建立基本的MTA的配置的技能

試驗的起點： 標準的Red Hat Linux安裝

確保在Server1上的sednmail.mc文件中的DAEMON_OPTIONS被注釋並且重新編譯sendmail.cf文件使得能夠接受來自其他主機的電子郵件。

介紹

本次實驗作為一個安裝和配置MTA的介紹。在介紹中我們將提及sendmail和postfix。您可以選擇任何一個MTA，如果時間允許，您兩個都可以做一下試驗。在接下來的步驟中，您將

1. 安裝並且驗證sendmail的「發件箱」

2. 為您的sendmail的安裝添加新的別名

3. 使用m4工具來改變您的轉發行為

4. 安裝POP3伺服器並且配置POP客戶端

在整個試驗中，主機和域名取決於您的機器的IP地址。如果下面的試驗出現了X字樣的名稱，您應該把X字樣的名稱替換成你的工作站的號碼（您的IP地址的最後一個部分）。例如，如果您的工作站的IP的地址是192.168.0.2，您應該將stationX.domainX.example.com轉換成station2.domain2.example.com。

將數據包過濾設定為無效狀態。在本次試驗開始之前，請您確保您的主機上的所有包過濾已被關閉（顯然，在實際使用中您可以利用Linux內核的防火牆機制，然而我們在這里關掉它是為了減少潛在的問題）。

本次試驗中以root身份來使用下面命令達成上面的要求：

service iptables stop

chkconfig iptables off

初始化安裝－安裝必要的軟體包

下列軟體包對於sendmail是必需的： sendmail,sendmail-cf,sendmail-doc,m4和procmail。對於postfix而言，您需要: postfix。如果需要他們，從CD上進行檢視和安裝，server1的NFS安裝點，從: ftp://server1/pub/RedHat/RPMS/

為了安全的原因，sendmail和postfix的預設的配置允許發郵件但是不允許從網路上接收郵件（預設的它們只接受從回環介面上的連接）。按照如下配置您選擇的MTA使得它接受傳入的連接：

⑴ 對於sendmail: 修改 /etc/mail/sendmail.mc使用dnl注釋在下面的行之前，就像這樣：

dnl DAEMON_OPTIONS(`Port=smtp,Addr=127.0.0.1, Name=MTA')

⑵ 將您的sendmail.cf文件做一個備份：

cp /etc/mail/sendmail.cf /etc/mail/sendmail.cf.orig

⑶ 在同一個目錄下，編譯sendmail.cf

m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.cf

⑷ 重新啟動sendmail,通過

service sendmail restart

對於postfix:修改/etc/postfix/main.cf

⑴. 找到並注釋如下行

inet_interfaces = localhost

⑵. 取消注釋該行：

inet_interfaces = all

⑶. 保存文件並且進行到步驟2 的結束的地方。找到和上面一樣的對應於postfix的配置的地方。

對於sendmail: 有幾個步驟您應該採用，以確保sendmail被正確安裝。

⑴. 確信sendmail已經被在適當的運行級別上運行

檢查您的sendmail被適當的配置且能夠在重新啟動以後其能夠運行。使用chkconfig是比較方便的。

chkconfig -–list sendmail

sendmail 0：off 1:off 2:on 3:on 4:on 5:on 6:off

如果sendmail在標準的用戶運行級別時無效，使用chkconfig，ntsysv 或者serviceconf 之類的工具來激活服務。

⑵. 確定sendmail沒有在啟動的時候出現錯誤

Red Hat Linux安裝的時候使用提供的syslog工具來記錄所有的信息到文件/var/log/maillog中去。檢查此文件中的最後出現「starting」的地方以確保sendmail在啟動的時候沒有任何錯誤。

sendmail可執行文件位於/usr/sbin/sendmail。為了確定sendmail是否正確標識您的主機名稱，通過命令行開關開啟其調試模式並且設定為0：

sendmail –d0 < /dev/null

Version 8.11.6

Compiled with: LDAPMAP MAP_REGEX LOG MATCHGECOS MIME7TO8 MIME8TO7

NAMED_BIND NETINET NETINET6 NETUNIX NEWDB NIS QUEUE SASL SCANF

SMTP TCPWRAPPERS USERDB

============ SYSTEM IDENTITY (after readcf) ============

(short domain name) $w = station2

(canonical domain name) $j = station2.example.com

(subdomain name) $m = station2

(node name) $k = station2.example.com

Recipient names must be specified

如果sendmail返回您的主機名稱為localhost,您可能錯誤配置了/etc/hosts文件。檢查您的/etc/hosts文件，刪除所有的但記住留下localhost的指向。如果/etc/hosts文件是正確的，那麼檢查一下在/etc/sysconfig/netwoek中的HOSTNAME的定義。

試圖向root@server1發送簡單的郵件。您可以看到一個合理的您的主機的轉發伺服器的SMTP交換。

#echo 「hello root」 | mail –v –s hello root@server1

root@server1... Connecting to [127.0.0.1] via relay...

220 localhost.localdomain ESMTP Sendmail 8.12.8/8.12.8; Mon, 22 Sep 2003 14:29:24 +0800

>>> EHLO localhost.localdomain

250-localhost.localdomain Hello station1 [127.0.0.1], pleased to meet you

...

>>> MAIL From: SIZE=52 [email protected]

250 2.1.0 ... Sender ok

>>> RCPT To:

>>> DATA

250 2.1.5 ... Recipient ok

354 Enter mail, end with "." on a line by itself

>>> .

250 2.0.0 h8M6TOU5026513 Message accepted for delivery

[email protected]... Sent (h8M6TOU5026513 Message accepted for delivery)

Closing connection to [127.0.0.1]

>>> QUIT

221 2.0.0 localhost.localdomain closing connection

如果SMTP交換向上面一樣正確，那麼消息將被轉發到您的工作站上的本地的轉發伺服器上，並且mailq –Ac將會報告一個空的對列。接下來檢查mail（不使用參數）來檢查一下消息是否從本地的轉發到server1。這樣對列也應該是空的。

您的消息是不是在/var/log/maillog中正確的記錄呢？在下面的步驟中，監視文件/var/log/maillog。下面的命令將會十分的有用：

xterm –e tail –f /var/log/maillog &

對於postfix:

⑴. 運行『service sendmail stop』，接下來使用redhat-switch-mail使得postfix成為活躍的MTA。您也可以使用如下的命令行：

alternatives –set mta /usr/sbin/sendmail.postfix

⑵. 確保postfix在合適的運行級別有效：

chkconfig -–list postfix

postfix 0:off 1:off 2:on 3:on 4:on 5:on 6:off

⑶. 確定hostname命令正確的返回您的主機名稱。應該是您的FQDN。

如果sendmail返回您的主機名稱為localhost，您可能錯誤配置了/etc/hosts文件。檢查您的/etc/hosts文件，刪除所有的但記住留下localhost的指向，然後再試一遍。如果/etc/hosts文件是正確的，那麼檢查一下在/etc/sysconfig/netwoek中的HOSTNAME的定義。當這些值都正確的時候，啟動postfix服務。

⑷. 確定postfix在啟動的時候沒有錯誤

和sendmail一樣，Red Hat Linux的安裝使用提供的syslog工具來記錄所有的信息到文件/var/log/maillog中去。檢查此文件中的最後查找任何錯誤信息。

試圖向root@server1發送簡單的郵件並且檢查/var/log/maillog的記錄文

mail –s `echo $USER` root@server1 < /etc/redhat-release

應該是如下所示：

Sep 22 02:51:50 station1 postfix/pickup[2865]: A20ED348389: uid=0 from=

Sep 22 02:51:50 station1 postfix/cleanup[3534]: A20ED348389: message-id=<2003092

[email protected] >

Sep 22 02:51:50 station1 postfix/nqmgr[2866]: A20ED348389: from=<[email protected] span=""> </[email protected]>

xample.com>, size=341, nrcpt=1 (queue active)

Sep 22 02:51:51 station1 postfix/smtp[3536]: A20ED348389: to=<[email protected] span=""> </[email protected]>

82>, relay=192.168.241.182[192.168.241.182], delay=1, status=sent (250 Message q

ueued)

對於sendmail:

在sendmail決定消息的接受者的目的地的之前，其先試圖在別名中查找。Sendmail的主要的別名配置文件是/etc/aliases。為了優化查找，sendmail為其別名記錄建立了一個哈希表資料庫/etc/aliases.db.該文件通過newalias命令產生（該命令是sendmail –bi的同名）

下列命令將增加用戶student(如果不存在的話)

useradd student

在/etc/aliases 行加入如下的行：

me: student

wizards: root, me

methere: [email protected]

現在運行newalias 命令來更新資料庫，嘗試發送郵件給您定義的收件人：

newalias

echo 「hello there」 | mail –s 「hello」 m

echo 「hello there」 | mail –s 「hello」 wizards

echo 「hello there」 | mail –s 「hello」 methere

您是否得到了期望的結果？是否所有的位於wizards的收件人都收到了郵件？如果沒有，su – 到不是root的用戶再試一次。

在postfix決定消息的接受者的目的地的之前，其先試圖在別名中查找。Postfix的主要的別名配置文件是/etc/postfix/aliases。為了優化查找，postfix為其別名記錄建立了一個哈希表別名資料庫/etc/postfix/aliases.db（和sendmail類似）.該文件通過newalias命令產生。

下列命令將增加用戶student(如果不存在的話)

useradd student

在/etc/postfix/aliases 行加入如下的行：

注意：注釋root別名的那一行為postfix

me: student

wizards: root, me

methere: [email protected]

現在運行newalias 命令來更新資料庫，嘗試發送郵件給您定義的收件人：

newalias

echo 「hello there」 | mail –s 「hello」 me

echo 「hello there」 | mail –s 「hello」 wizards

echo 「hello there」 | mail –s 「hello」 methere

您是否得到了期望的結果？是否所有的位於wizards的收件人都受到了郵件？

轉發允許郵件通過使用中間的「轉發」及其傳遞到其目的地。盡管這個功能曾經有用，但是轉發已經成為Internet上垃圾郵件的源泉了。人們希望發送主動提供的的郵件的時候希望使用轉發機制，從而使得郵件發源地很難被偵測出來。

下列步驟將使用下面的主機。替換X,Y和Z為適合的工作站的號碼：

stationX:源機器，郵件從這里發出

stationY:轉發機器，這里郵件從發送者送出

stationZ:目的機器,郵件的最終目的

該步驟假設您是stationX,轉發機器，與某人的stationY合作，該機器為郵件的源頭。在該步驟中，注意/var/log/maillog的變化。下列命令將會顯得十分的有用。

對於sendmail

步驟⑴ ：允許轉發

您具有控制允許誰在您的機器上轉發的能力。通過控制您的機器的混雜轉發，您可以使得任何人都能夠將您的機器作為轉發的主機。（我們對於這種的嘗試表示反對，也希望通過該實驗顯示出其缺陷）。配置/etc/mail/sendmail.mc, 通過加入如下行使得m4前置處理器允許混雜轉發：

/etc/mail/sendmail.mc

(…其他的內容…)FEATURE（promiscuous_relay）dnl

使用m4前置處理機通過這個模板文件生成一個新的sendmail配置文件，然後將新生成的文件與通過sendmail RPM軟體包提供的進行比較

m4 /etc/mail/sendmail.mc > /etc/mail/sendmail.test-relay

diff /etc/mail/sendmail.test-relay /etc/mail/sendmail.cf

使用混雜轉發以後會有多大的不同呢？現在將新建立的sendmail.test放置在恰當的位置上，重新啟動sendmail.

mv /etc/mail/sendmail.cf /etc/mail/sendmail.cf.accept-mail

cp /etc/mail/sendmail.test-relay /etc/mail/sendmail.cf

service sendmail restart

讓您的夥伴扮演惡意的垃圾郵件的發送者，該人能夠通過telnet到您的機器上的smtp(sendmail)的25號斷口，進行垃圾郵件發送地址的欺騙，在stationY鍵入如下命令：

這個例子對於stationY(源機器) station2,並且stationX(轉發，在這里目的機器) station1

[root@station1 root]# telnet station1 25

Trying station1.example.com...

Connected to station1.example.com (station1.example.com).

Escape character is '^]'.

220 station1.example.com (IMail 8.00 8-1) NT-ESMTP Server X1

helo mail.cracker.org

250 hello station1.example.com

mail from: [email protected]

250 ok

rcpt to:[email protected]

250 ok its for [email protected]

data

354 ok, send it; end with .

Subject: Faked

this was faked!

250 Message queued

quit

221 Goodbye

Connection closed by foreign host.

垃圾郵件現在送到您的機器上了。下一步，看看您的夥伴能不能從您的機器轉發給第三台機器：

這個例子對於stationY(源機器) station2,並且stationX(轉發，在這里目的機器) station1，並且stationZ(目的機器) station3

[root@station1 root]# telnet station1 25

Trying station1.example.com...

Connected to station1.example.com (station1.example.com).

Escape character is '^]'.

220 station1.example.com (IMail 8.00 9-1) NT-ESMTP Server X1

helo mail.craker.org

250 hello station1.example.com

mail from: [email protected]

250 ok

rcpt to [email protected]

250 ok its for [email protected]

data

354 ok, send it; end with .

Subject: Relayed

this was faked any relayed!

250 Message queued

quit

221 Goodbye

Connection closed by foreign host.

由於您的機器已經被配置成為允許混雜轉發，垃圾郵件可以通過您的機器進行郵件轉發。

對於postfix:

您具有控制允許誰在您的機器上轉發的能力。預設的postfix允許在子網上的任何人通過您的機器進行轉發。但是並不是在每一個環境中都安全的。例如，您的機器和其他機器在一起，如果您的本地子網里有一台機器被其他人控制，那麼其他的機器都會有麻煩。

讓您的夥伴扮演惡意的垃圾郵件的發送者，該人能夠通過telnet到您的機器上的postfix的25號斷口，進行垃圾郵件發送地址的欺騙，在stationY鍵入如下命令：

[root@station1 root]# telnet station1 25

Trying 127.0.0.1...

Connected to station1 (127.0.0.1).

Escape character is '^]'.

220 station1.example.com ESMTP Postfix

helo mail.craker.org

250 station1.example.com

mail from:[email protected]

250 Ok

rcpt to: [email protected]

250 Ok

data

354 End data with .

Subject: Faked

this was faked!

.

250 Ok: queued as 4FFA2348389

quit

221 Bye

Connection closed by foreign host.

垃圾郵件現在送到您的機器上了。下一步，看看您的夥伴能不能從您的機器轉發給第三台機器：

這個例子對於stationY(源機器) station2,並且stationX(轉發，在這里目的機器) station1，並且stationZ(目的機器) station3

[root@station1 root]# telnet station1 25

Trying 127.0.0.1...

Connected to station1 (127.0.0.1).

Escape character is '^]'.

220 station1.example.com ESMTP Postfix

helo mail.craker.org

250 station1.example.com

mail from: [email protected]

250 Ok

rcpt to: [email protected]

250 Ok

data

354 End data with .

subject: Relayed

this was faked and relayed!

.

250 Ok: queued as 69C7B348389

quit

221 Bye

Connection closed by foreign host.

由於您的機器已經被配置成為允許混雜轉發，垃圾郵件可以通過您的機器進行郵件轉發。

步驟⑵ ：不允許轉發

對於sendmail

通過替換新的sendmail.cf為接受傳入的信件的配置文件來恢復預設的sendmail的配置，並且重新啟動sendmail：

mv /etc/mail/sendmail.cf.accept-mail /etc/mail/sendmail.cf

service sendmail restart

讓您的夥伴再從stationY轉發垃圾郵件。您的sendmail還是一個轉發器么？任何一個轉發的都會產生如下的消息：

550 [email protected] .. Relaying denied

對於postfix

編輯文件/etc/postfix/main.cf取消轉發。

查找並且取消注釋下面的行，並且重新啟動postfix

mynetworks_style = host

讓您的夥伴再從stationY轉發垃圾郵件。您的postfix還是一個轉發器么？任何一個轉發的都會產生如下的消息：

554 : Recipient address rejected: Relay access denied

步驟⑶ ：選擇性的轉發

對於sendmail

對於特定的主機，域或者網路，編輯/etc/mail/access並且重新啟動sendmail。為了允許所有在example.com域中的機器可以把您的機器作為郵件轉發伺服器，你在/etc/mail/acces中添加如example.com域。和您的夥伴使用場景A中的命令進行測試。

對於postfix

對於特定的主機，域或者網路，編輯/etc/postfix/main.cf並且重新啟動postfix。對於特定的主機允許通過您的機器進行轉發，找到並且取消注釋該行：

mynetworks_style = host

然後添加新行來允許轉發的主機和網路，在這里允許station1和本地轉發

mynetworks = 192.168.0.1, 127.0.0.0/8

和您的夥伴使用場景A中的命令進行測試。

在這個步驟中，你將配製您的機器stationX作為郵件的POP3伺服器，使得您的在stationY的夥伴扮演POP客戶端的角色。

步驟⑴ ：安裝POP3伺服器

配置一個POP3伺服器比較簡單，只需要兩個步驟：

① 安裝相關的RPM軟體包

② 在xinetd中允許服務

① 安裝相關的RPM軟體包

POP守護進程和其他的具有相同功能的守護進程，例如IMAP守護進程綁定在軟體包imap中。再如xinetd,krb5-libs*和imap軟體包來檢查imap軟體包含有什麼軟體。

三個守護進程被包括進來：imapd,ipop2d和ipop3d。POP3被用在很多Internet服務提供商，POP2提供是為了向後兼容。IMAP守護進程提供了根加復雜的能力，包括了在伺服器端的文件夾的管理。

② 在xinetd中允許服務

對於本實驗，我們僅選定POP3服務。ipop3d通過xinetd在請求的時候被啟動。為了激活，運行下面的命令：

service xinetd start

chkconfig ipop3 on

查看一下/etc/xinetd.d/ipop3。顯式的重新啟動xinetd並不是必需的，由於chkconfig發送給xinetd 一個USR2信號告訴他重新調入其配置。

確認服務

運行下面的命令確認服務已經被正確的安裝。下面的命令只是一個指導：

echo 「mail to be poped」 | mail –s 「Hello student」 student

[root@station1 root]# telnet localhost 110

Trying 127.0.0.1...

Connected to station1 (127.0.0.1).

+OK POP3 station1 v2001.78rh server ready

USER student

+OK User name accepted, password please

PASS student

+OK Mailbox open, 1 messages

list

STAT

+OK 1 440

TOP 1 99999

retr 1

+OK Top of message follows

Return-Path: [email protected]

Delivered-To: [email protected]

Received: by station1.example.com (Postfix, from userid 0)

id 72314348390; Mon, 22 Sep 2003 08:02:27 -0400 (EDT)

To: [email protected]

Subject: Hello student

Message-Id: [email protected]

Date: Mon, 22 Sep 2003 08:02:27 -0400 (EDT)

From: [email protected] (root)

Status:

mail to be poped

.

DELE 1

+OK Message deleted

QUIT

+OK Sayonara

Connection closed by foreign host.

如果一切順利的話，您現在有一個安裝好的POP伺服器了。

步驟⑵ ：使用POP客戶端

所有的現在的郵件用戶代理（MUA），例如netscape,elm,Outlook,pine和mutt都是使用POP的，可以被用作POP的客戶端。每一個的配置都有所不同。同樣有一個流行字元界面的的POP客戶端叫做fetchmail。fetchmail是高度的可配置的，可以查詢多個郵箱，可以作為守護進程運行，這樣使得其每五分鍾查詢用戶的郵箱。fetchmail在主機上遞送郵件到郵件傳送代理（MTA），例如sendmail。我們將勾畫出以後如何安裝fetchmail和使用其來查詢我們裝過的POP伺服器。

從CD或者從 ftp://server1/pub/RedHat/RPMS來安裝fetchmail軟體包

注意到有很多選項可以影響fetchmail的行為。建立一個~/.fetchmailrc文件如下所示：

~student/.fetchmailrc

poll stationX.exmaple.com with protocol pop3: user studentXX there is user studentXX here password 「password」

由於密碼存儲在該文件中，因此fetchmail將會拒絕運行除非您把該文件的屬性設定為對於僅僅文件的所有者只讀。注意還可以使用chown改變由root創建的文件的所有者為studentXX。

chmod 600 ~student/.fetchmailrc

chown student.student ~student/.fetchmailrc

嘗試使用studentXX登陸到POP3郵

echo 「hello student」 | mail –s 「Hola」 student

su – student

fetchmail –v

exit

fetchmail能不能接收到student的POP郵件？將遞送student的郵件到哪裡？比從本地獲取POP郵件有意義么？

讓您的夥伴在另外一台機器上建立相同的~/.fetchmailrc文件（或者配置其它諸如mozilla的MTA）試圖從您的伺服器上進行收信。

⑴ m4宏語言提供給sendmail管理哪些東西？把所有的在xyz.com的用戶郵件導向到本地用戶xzplogin該使用什麼語法？該在什麼文件的和處填上這句話？

⑵ mailq命令用來作什麼？您如何使用？

⑶ 當命令sendmail –q發出以後，sendmail將會試圖仍在隊列中等待的郵件。何時使用該命令是有用的？

⑷ 如果去除FEATURE(accept_unresolvable_domains)的注釋將對垃圾郵件產生如何的影響？

⑸ m4有什麼特徵允許sendmail發送郵件作為整個域（例如，「example.com」）而不是完全的符合標準的主機名稱（例如，「mail.example.com」）？

⑹ 在postfix中mynetworks_style如何影響轉發？
請您查看文件/etc/postfix/main.cf。

⑺ 在文件/etc/postfix/access中需要如何的活躍的變化？

5. 現在最好的殺毒軟體是什麼

【轉貼自龍族論壇】

絕對值得一看的殺毒軟體和防火牆評論

最近經常有網友發消息問我，到底哪個哪個殺毒軟體最厲害，哪個殺毒軟體售價最高？呵呵，諸如此類的問題老實說我也無法做出肯定的答復。我就隨便談一些我個人的見解。世界上公認的比較著名的殺毒軟體有卡巴斯基，F-SECURE，MACFEE，諾頓，趨勢科技，熊貓，NOD32，AVG，F-PORT等等。其中卡巴，macfee，諾頓又被譽為世界三大殺毒軟體！每個殺毒軟體都有自身的優勢，當然也有不足之處！
比如卡巴斯基的殺毒能力確實很強，對的起排名世界第一的稱號，但是監控方面卻存在不足，而且在內存佔用方面始終令人頭疼。Macfee的系統監控恰恰是做的最好的。NOD32的掃毒速度最快，內存佔用方面最少，全球獲獎無數，因而成為微軟御用4年的殺毒軟體也絕非空穴來風。熊貓可能大家以為是中國的，其實也是洋貨啦，殺毒理念和模塊最先進，可惜老是提示你要重新激活，所以破解的不大完美！諾頓大家很熟悉，老實說諾頓的廣告宣傳還真是不錯的，但是大家注意，別看廣告，看療效！當諾頓屢次告訴你XX病毒被隔離，無法清除時，你是否感到厭倦了呢？當然諾頓企業版要比個人版本的殺毒能力更強悍，建議大家使用9.0的，最新10.0佔用資源有點大，不算完美。F-SECURE可能知道的人很少，別說用的人了，呵呵。我自己現在用的殺軟就是這款，其實這款殺毒軟體名氣是相當響的。來自芬蘭的殺毒軟體，集合AVP,LIBRA,ORION,DRACO四套殺毒引擎,其中一個就是Kaspersky的殺毒內核，而且青出於藍勝於藍，個人感覺殺毒效率比Kaspersky要好，對網路流行病毒尤其有效。在《PC Utilites》評測中超過Kaspersky名列第一。該軟體採用分布式防火牆技術。f-secure 曾經超過Kaspersky，排名第一，但後來Kaspersky增加了擴展病毒庫，反超f-secure 。鑒於普通用戶用不到擴展病毒庫，因此f-secure還是普通用戶很不錯的一個選擇。所以我用下來的感覺就是F-SECURE的綜合能力可以排第一名！但是這個軟體也有不足，就是進程太多，要近15個進程，呵呵，誰叫它有四套殺毒引擎呢？不過也夠安全吧。進程雖多，卻一點不覺得卡！
在此不得不提起國產殺毒軟體，國產殺毒軟體也有很多用戶群，個性化的界面也贏得了很多用戶的青睞。比如瑞星的那個小獅子就蠻可愛的，做個桌面寵物也不錯。但是有很多人會說，國產的技術不行，靠不住的。呵呵，其實我倒不這么認為！國產殺毒軟體我最喜歡的就是KV2005，江民的東西還是老牌子，殺毒監控實力不俗。瑞星和金山的起步晚一些，有些地方做的還是不夠理想，但畢竟是在不斷進步，希望能越做越好，給中國人也爭光一把，哈哈。也許有人會說實際的殺毒能力說明一切，金山，瑞星和卡巴比就是垃圾等等。呵呵，那你就錯了，如果說卡巴能殺掉這個病毒，金山殺不掉，就說明卡巴強於金山？反過來金山能殺掉這個病毒，卡巴無法清除這個病毒就說明卡巴不行？網路上可以找到一個2005年病毒測試包樣本，是個壓縮包文件，裡面大概有26個病毒樣本，試試你的殺軟吧，呵呵，江民，金山，瑞星兵不血刃的殺光了所有病毒，再看看卡巴啊，這次傻了吧，所以說每個殺毒軟體都有自己的長處，不能一拍子否定。
還有的朋友問我一個殺毒軟體保險伐，要不要裝兩個來個雙保險，呵呵，對於這個我覺得是可行的，但是前提是你對殺毒軟體的各項設置要比較了解而且自己的電腦配置要高檔點，否則不是系統容易崩潰就是電腦被兩個殺毒軟體拖垮的。比較典型的例子就是卡巴斯基＋KV2005的組合，很顯然卡巴系統監控的不足由KV2005來彌補。卡巴只負責殺毒即可了。但是這個豪華組合要犧牲很多內存，你電腦夠勁的話可以試試。另外卡巴加NOD32也是不錯的搭配，NOD32查毒和監控方面都不錯，而且查毒速度奇快，內存佔用很小，這樣你可以用NOD32進行查毒，大家都知道卡巴的查毒速度是很慢的，因為病毒庫多啊，每個文件都要那13W病毒庫去套，能不慢嘛！
有的朋友關心哪個殺毒軟體病毒庫多哪個就牛，呵呵，大家都以為卡巴病毒庫很多是吧，現在大概13萬4千左右吧，但是面對羅馬尼亞的殺軟BitDefender Professional近20W的病毒庫，卡巴一邊涼快去吧。所以BitDefender Professional在2005年一些網站的測試中取得過第一名的成績。但是病毒庫多並不能說明問題，實際殺毒能力BitDefender Professional並沒有比卡巴更好，所以這個也是大家理解的誤區！有人認為卡巴病毒庫升級極其迅速所以最牛，雖然卡巴每小時都有升級，很頻繁，但是很多病毒庫都非最終版，也就是很容易出現誤報現象，所以建議大家到周末的時候再升級自己的卡巴，因為周末是卡巴整理一周病毒庫，刪除錯誤病毒庫的時候。 �
還有有的朋友認為殺毒軟體只要殺毒厲害就是一流的，其實這種觀點我認為也不對，比如macfee，它其實殺毒並沒有怎麼厲害，肯定沒有卡巴那麼野蠻，但是為什麼它也擁有廣泛的用戶群，有很好的口碑，很顯然macfee的監控做的很完美，可以說滴水不漏，監控這么好的殺軟我想殺毒能力稍微弱點又有何妨呢？因為第一道防線病毒都無法逾越的話不就是最大的成功么？反觀卡巴殺毒是厲害，但是恰恰是由於它監控的不足，使病毒可以入侵，但鑒於殺毒能力很牛，所以第二道防線病毒就通不過了，這樣逆向思考或許就能想通了！
另外一個大家關心的問題就是裝了殺毒軟體是否還要加裝防火牆的問題，哪款防火牆最好等等！呵呵，其實個人感覺XP SP2自帶的防火牆也已經蠻不錯了，夠用了。如果大家真的有要求的話，我個人認為可以這么做:
1，如果你選擇安裝的是F-SECURE client security的話，那麼這款殺毒軟體自帶防火牆程序，而且這個防火牆排名歐洲第一，絕對可以了已經。這樣你就可以不必再另外安裝了，這個選擇比較便捷！
2，ZA，也就是ZONEALARM，用戶群也蠻多額，ZA功能確實比較強大，但是對普通用戶而言還是比較難上手，而且過於嚴格的規則可能導致上某些論壇出錯，而且最新的ZA版本與卡巴斯基有嚴重沖突，所以卡巴的用戶如果要安裝ZA防火牆的話還是悠著點，哈哈。實在想嘗試的話可以考慮安裝5.5版本的，這個穩定。
'
3，OP，也就是outpost，口碑很好，用戶對其評價很高，號稱世界排名第二的東東，對於廣告攔截很有效果，反黑能力也很強悍，網上找個破解補丁可以使用10年，但是可能佔用系統資源多一點，配置不高的用戶可能上網會感覺有點延遲。而且這款防火牆比較專業，上網過濾的東西也很多，很多網站的圖片也被過濾掉，用戶可能看的不習慣，所以大家自己看著辦吧。
4，Tiny personal firewall pro，tiny防火牆是我用過的防火牆裡面感覺技術最為先進的一款，貌似是國外軍方防火牆，呵呵。Tiny的規則相當嚴格和復雜，對於一些剛上手的朋友而言肯定吃不消的，而且tiny防火牆與卡巴的網頁掃描功能有沖突，所以這款防火牆是超級強悍，東西絕對是一流的，不怕麻煩的朋友可以嘗試安裝。
5，Lns，也就是傳說中的look'n'stop，號稱世界第一的頂級防火牆，只有600多KB，容量很小，系統資源占的很少，但是功能極其強大，只可惜設置超級復雜，很難上手，一般用戶還是選擇放棄吧，呵呵，雖然有一些別人編訂的規則包，但還是不大適合我們使用。
6，天網，相信用的人滿天飛，世界排名未知，呵呵，其實是根本埃不到邊。天網可以算是一款入門級別的防火牆，和上述5款防火牆最大區別是非常容易上手，根本不需要設置什麼東西，拿來就用！普通用戶如果怕不裝防火牆感覺不安，但又怕設置麻煩的話，乾脆就用用天網算了。
國產的瑞星或者天網都會標榜自己的防火牆規則是多麼多麼豐富，貌似搞的很牛的樣子，其實恰恰相反，規則越多防火牆性能越差，比如瑞星幾乎天天更新規則，天網更是廣告做到聲稱自己有1000條規則庫文件，每次上網，天網防火牆不斷閃動紅色感嘆號，報告XX用戶試圖連接本機XX埠，該包已被攔截，這個是不是增加你的心裡安慰呢？每時每刻都在攔截信息，哪有這么多黑客會盯著你，天網這樣做好像有點誇大其詞了。其實有這么多規則頂用么？規則一多上網速度就越慢，每個探測埠的信息防火牆就要用近千條規則去衡量，這不傻掉啊！真正一流的防火牆並不需要超級多的規則，也不需要頻繁更新，就如卡巴防火牆，雖然界面極其簡單，更新也不快，但是一個隱藏模式就足以令國產的瑞星和天網閉嘴！
很多人熱衷於做網上安全測試，我也做過幾次，後來發現也不能說明什麼問題，加裝一流防火牆和不裝防火牆就一定有本質區別？就拿諾頓安全測試來看，只用XP SP2自帶防火牆就可以輕鬆通過所有測試，全部顯示安全。呵呵，裝個ZA也是安全，那到底裝不裝呢？所以大家也不要迷信這些測試網站。自己認為怎麼順手就怎麼用好了！
亂七八糟說了這么多，也不知道大家有沒有耐心看完額。以上涉及的殺毒軟體或者防火牆本人每個都使用過，所以寫的內容也是真實的使用體會。大家隨便看看吧。如果各點陣圖個方便，不想裝其他設置繁瑣的防火牆，但又希望系統有最大限度的安全保障的話，可以考慮使用國外的F-Secure Anti-Virus Client Security或者BitDefender Professional，都是殺毒軟體＋防火牆的組合裝。個人更看好F-Secure Anti-Virus Client Security，集合AVP,LIBRA,ORION,DRACO四套殺毒引擎＋內置防火牆＋反間諜監控程序，可以說各方面功能都比較均衡實在，怕麻煩的朋友們不仿可以考慮一下。但是這個軟體只有英文原版的，但是我想英文界面也並非那麼令人望而卻步吧。
其實對於殺毒軟體除了國內的，國外的殺軟建議大家都使用英文原版的，那些漢化內核的版本最好別用，bug太多，除了真正出過簡體中文版本的，不過我個人還是不喜歡，呵呵。
另外我需要強調一點的就是卡巴其實並不適合每個人，大家應該依照自己的實際情況裝殺毒軟體，卡巴佔用系統資源更象暴發戶，所以很容易拖垮電腦，如果自己電腦配置本身就不高，CPU處理器能力也不強，或者內存就256MB那麼點，我想還是算了吧，畢竟裝了以後你才知道什麼叫慢，開了個卡巴，除了得到我系統應該很安全了這樣的心裡安慰，其他事情都不能做，開個大程序就卡，玩個游戲載入要老半天，這又何苦呢？與其這樣，我寧可欣賞飄哥的做法，撒殺毒軟體也不裝，就搞個防火牆玩玩，畢竟節省資源啊！敢於裸奔電腦上網的用戶我就更服帖了！
我寫這篇文章就是希望大家不要盲目跟風，卡巴是好卡巴是比較牛，但不是意味著就要一窩蜂都去裝卡巴，何必呢，天下殺毒軟體如此之多，何必單戀他一個呢？大家說對伐？

6. xp系統能用vista主題么

可以的
windows是不直接接受第三方主題的
給你介紹一款軟體裝力以後就好了，
Universal UXTheme Patcher v1.1
把你解壓縮的文件放在
下載主題後把主題放在C盤，
C:\WINDOWS\RESOURCES\theme目錄下
在桌面空白處右擊屬性主題里改或外觀里改直接使用。
幾款主題分享
解壓縮後放在C:\WINDOWS\RESOURCES\theme目錄下
在桌面空白處右擊屬性主題里改或外觀里改
注意破解uxtheme.dll文件
用下面這款軟體破解
Universal UXTheme Patcher v1.1
匿名提取文件連接 http://pickup.mofile.com/4164139198337515
或登錄Mofile，使用提取碼 4164139198337515 提取文件
VistaXP2桌面主題
匿名提取文件連接 http://pickup.mofile.com/0620597031330495
或登錄Mofile，使用提取碼 0620597031330495 提取文件
Kol_Tiger (Modified by Nick)桌面主題
匿名提取文件連接 http://pickup.mofile.com/7957925503835868
或登錄Mofile，使用提取碼 7957925503835868 提取文件
theme54in1桌面主題54合一
匿名提取文件連接 http://pickup.mofile.com/3373343860139035
或登錄Mofile，使用提取碼 3373343860139035 提取文件
Bister桌面主題
匿名提取文件連接 http://pickup.mofile.com/4514488333630361
或登錄Mofile，使用提取碼 4514488333630361 提取文件
Chinese painting Vista桌面主題
匿名提取文件連接 http://pickup.mofile.com/4904879670837273
或登錄Mofile，使用提取碼 4904879670837273 提取文件
HanaHana桌面主題
匿名提取文件連接 http://pickup.mofile.com/8218185506334108
或登錄Mofile，使用提取碼 8218185506334108 提取文件
Jeans桌面主題
匿名提取文件連接 http://pickup.mofile.com/0060031338434792
或登錄Mofile，使用提取碼 0060031338434792 提取文件
ZeroR撣子修改版桌面主題
匿名提取文件連接 http://pickup.mofile.com/3243213696338297
或登錄Mofile，使用提取碼 3243213696338297 提取文件
NeoGeniX桌面主題
匿名提取文件連接 http://pickup.mofile.com/2732700816231166
或登錄Mofile，使用提取碼 2732700816231166 提取文件

7. linux中pickup是什麼進程

pickup[英][ˈpɪkʌp][美][ˈpɪkˌʌp] n.收集; 搭車（者）; 唱機唱頭; 小卡車; adj.臨時湊成的，偶然認識的; 例句: 1. Who fired at my pickup? 誰朝我小卡車開槍？

8. 伺服器遭受攻擊後的處理流程

伺服器遭受攻擊後的處理流程

安全總是相對的，再安全的伺服器也有可能遭受到攻擊。作為一個安全運維人員，要把握的原則是：盡量做好系統安全防護，修復所有已知的危險行為，同時，在系統遭受攻擊後能夠迅速有效地處理攻擊行為，最大限度地降低攻擊對系統產生的影響。下面是我整理的伺服器遭受攻擊後的處理流程：

一、處理伺服器遭受攻擊的一般思路

系統遭受攻擊並不可怕，可怕的是面對攻擊束手無策，下面就詳細介紹下在伺服器遭受攻擊後的一般處理思路。

1. 切斷網路

所有的攻擊都來自於網路，因此，在得知系統正遭受黑客的攻擊後，首先要做的就是斷開伺服器的網路連接，這樣除了能切斷攻擊源之外，也能保護伺服器所在網路的其他主機。

2. 查找攻擊源

可以通過分析系統日誌或登錄日誌文件，查看可疑信息，同時也要查看系統都打開了哪些埠，運行哪些進程，並通過這些進程分析哪些是可疑的程序。這個過程要根據經驗和綜合判斷能力進行追查和分析。下面的章節會詳細介紹這個過程的處理思路。

3. 分析入侵原因和途徑

既然系統遭到入侵，那麼原因是多方面的，可能是系統漏洞，也可能是程序漏洞，一定要查清楚是哪個原因導致的，並且還要查清楚遭到攻擊的途徑，找到攻擊源，因為只有知道了遭受攻擊的原因和途徑，才能刪除攻擊源同時進行漏洞的修復。

4. 備份用戶數據

在伺服器遭受攻擊後，需要立刻備份伺服器上的用戶數據，同時也要查看這些數據中是否隱藏著攻擊源。如果攻擊源在用戶數據中，一定要徹底刪除，然後將用戶數據備份到一個安全的地方。

5. 重新安裝系統

永遠不要認為自己能徹底清除攻擊源，因為沒有人能比黑客更了解攻擊程序，在伺服器遭到攻擊後，最安全也最簡單的方法就是重新安裝系統，因為大部分攻擊程序都會依附在系統文件或者內核中，所以重新安裝系統才能徹底清除攻擊源。

6. 修復程序或系統漏洞

在發現系統漏洞或者應用程序漏洞後，首先要做的就是修復系統漏洞或者更改程序bug，因為只有將程序的漏洞修復完畢才能正式在伺服器上運行。

7. 恢復數據和連接網路

將備份的數據重新復制到新安裝的伺服器上，然後開啟服務，最後將伺服器開啟網路連接，對外提供服務。

二、檢查並鎖定可疑用戶

當發現伺服器遭受攻擊後，首先要切斷網路連接，但是在有些情況下，比如無法馬上切斷網路連接時，就必須登錄系統查看是否有可疑用戶，如果有可疑用戶登錄了系統，那麼需要馬上將這個用戶鎖定，然後中斷此用戶的遠程連接。

1. 登錄系統查看可疑用戶

通過root用戶登錄，然後執行“w”命令即可列出所有登錄過系統的用戶，如圖1-11所示。

通過這個輸出可以檢查是否有可疑或者不熟悉的用戶登錄，同時還可以根據用戶名以及用戶登錄的源地址和它們正在運行的進程來判斷他們是否為非法用戶。

2. 鎖定可疑用戶

一旦發現可疑用戶，就要馬上將其鎖定，例如上面執行“w”命令後發現nobody用戶應該是個可疑用戶(因為nobody默認情況下是沒有登錄許可權的)，於是首先鎖定此用戶，執行如下操作：

[root@server ~]# passwd -l nobody

鎖定之後，有可能此用戶還處於登錄狀態，於是還要將此用戶踢下線，根據上面“w”命令的輸出，即可獲得此用戶登錄進行的pid值，操作如下：

[root@server ~]# ps -ef|grep @pts/3

531 6051 6049 0 19:23 ? 00:00:00 sshd: nobody@pts/3

[root@server ~]# kill -9 6051

這樣就將可疑用戶nobody從線上踢下去了。如果此用戶再次試圖登錄它已經無法登錄了。

3. 通過last命令查看用戶登錄事件

last命令記錄著所有用戶登錄系統的日誌，可以用來查找非授權用戶的登錄事件，而last命令的輸出結果來源於/var/log/wtmp文件，稍有經驗的入侵者都會刪掉/var/log/wtmp以清除自己行蹤，但是還是會露出蛛絲馬跡在此文件中的。

三、查看系統日誌

查看系統日誌是查找攻擊源最好的方法，可查的'系統日誌有/var/log/messages、/var/log/secure等，這兩個日誌文件可以記錄軟體的運行狀態以及遠程用戶的登錄狀態，還可以查看每個用戶目錄下的.bash_history文件，特別是/root目錄下的.bash_history文件，這個文件中記錄著用戶執行的所有歷史命令。

四、檢查並關閉系統可疑進程

檢查可疑進程的命令很多，例如ps、top等，但是有時候只知道進程的名稱無法得知路徑，此時可以通過如下命令查看：

首先通過pidof命令可以查找正在運行的進程PID，例如要查找sshd進程的PID，執行如下命令：

[root@server ~]# pidof sshd

13276 12942 4284

然後進入內存目錄，查看對應PID目錄下exe文件的信息：

[root@server ~]# ls -al /proc/13276/exe

lrwxrwxrwx 1 root root 0 Oct 4 22:09 /proc/13276/exe -> /usr/sbin/sshd

這樣就找到了進程對應的完整執行路徑。如果還有查看文件的句柄，可以查看如下目錄：

[root@server ~]# ls -al /proc/13276/fd

通過這種方式基本可以找到任何進程的完整執行信息，此外還有很多類似的命令可以幫助系統運維人員查找可疑進程。例如，可以通過指定埠或者tcp、udp協議找到進程PID，進而找到相關進程：

[root@server ~]# fuser -n tcp 111

111/tcp: 1579

[root@server ~]# fuser -n tcp 25

25/tcp: 2037

[root@server ~]# ps -ef|grep 2037

root 2037 1 0 Sep23 ? 00:00:05 /usr/libexec/postfix/master

postfix 2046 2037 0 Sep23 ? 00:00:01 qmgr -l -t fifo -u

postfix 9612 2037 0 20:34 ? 00:00:00 pickup -l -t fifo -u

root 14927 12944 0 21:11 pts/1 00:00:00 grep 2037

在有些時候，攻擊者的程序隱藏很深，例如rootkits後門程序，在這種情況下ps、top、netstat等命令也可能已經被替換，如果再通過系統自身的命令去檢查可疑進程就變得毫不可信，此時，就需要藉助於第三方工具來檢查系統可疑程序，例如前面介紹過的chkrootkit、RKHunter等工具，通過這些工具可以很方便的發現系統被替換或篡改的程序。

五、檢查文件系統的完好性

檢查文件屬性是否發生變化是驗證文件系統完好性最簡單、最直接的方法，例如可以檢查被入侵伺服器上/bin/ls文件的大小是否與正常系統上此文件的大小相同，以驗證文件是否被替換，但是這種方法比較低級。此時可以藉助於Linux下rpm這個工具來完成驗證，操作如下：

[root@server ~]# rpm -Va

....L... c /etc/pam.d/system-auth

S.5..... c /etc/security/limits.conf

S.5....T c /etc/sysctl.conf

S.5....T /etc/sgml/docbook-simple.cat

S.5....T c /etc/login.defs

S.5..... c /etc/openldap/ldap.conf

S.5....T c /etc/sudoers

..5....T c /usr/lib64/security/classpath.security

....L... c /etc/pam.d/system-auth

S.5..... c /etc/security/limits.conf

S.5..... c /etc/ldap.conf

S.5....T c /etc/ssh/sshd_config

對於輸出中每個標記的含義介紹如下：

? S 表示文件長度發生了變化

? M 表示文件的訪問許可權或文件類型發生了變化

? 5 表示MD5校驗和發生了變化

? D 表示設備節點的屬性發生了變化

? L 表示文件的符號鏈接發生了變化

? U 表示文件/子目錄/設備節點的owner發生了變化

? G 表示文件/子目錄/設備節點的group發生了變化

? T 表示文件最後一次的修改時間發生了變化

如果在輸出結果中有“M”標記出現，那麼對應的文件可能已經遭到篡改或替換，此時可以通過卸載這個rpm包重新安裝來清除受攻擊的文件。

不過這個命令有個局限性，那就是只能檢查通過rpm包方式安裝的所有文件，對於通過非rpm包方式安裝的文件就無能為力了。同時，如果rpm工具也遭到替換，就不能通過這個方法了，此時可以從正常的系統上復制一個rpm工具進行檢測。

;