在针对常规的入侵检测工作中，除了应用如之前提到的Tripwire和rpm等工具外，另一个常用的工具就是chkrootkit。它的使用非常简单，但却很重要。
一、原理
   chkrootkit是用来监测 rootkit 是否被安装到当前系统中的工具。
   所谓 rootkit ，是一类入侵者经常使用的工具。这类工具通常非常的隐秘、令用户不易察觉，通过这类工具，入侵者建立了一条能够常时入侵系统，或者说对系统进行实时控制的途径。所以，我们要用 chkrootkit 来定时监测系统，以保证系统的安全。
   像Tripwire一样，chkrootkit也是“事后诸葛亮”，其只能针对系统可能的漏洞以及已经被入侵的部分进行分析。它并没有防止入侵的功能。

   前面的[原]自己制作rpm软件包（1）和[原]自己制作rpm软件包（2），两篇文章比较详细的介绍了rpmbuild命令的使用，以及.spec文件的编写。而[原]关于rpm打包的一个补充也描述了，针对特定的平台如何加入变量、修改标准宏，然后再进行编译的情况。
   而实际上，通常我们都希望一个套件只针对一个.spec文件，这可以很方便的管理。所以，我们可以在.spec中加入条件判断语句，以便根据不同的条件，执行相对应的编译和打包动作。

   需要自定义Linux发行版光盘的原因有很多，例如：想学习、想自己发布产品、为管理方便、更新Bug软件包等等。而最近由于工作的需要，也研究了一下Linux发行光盘的构造。这里主要是对沿用红帽发行方式的版本，例如CentOS等。他们都是使用anaconda安装环境的。下面的说明也只针对该环境，以组合红旗两CD光盘为1张DVD光盘为例说明。
   另外，网上也有很多可以参考的资料，在附录中有链接。不过，若完全按照这些资料的步骤，会在最后执行buildinstall时出现很多的rpm依赖问题。所以，我绕过了这个脚本，使用更简单、更简单的方式处理。

   Linux在内核中选择支持Large Block Device时，是可以使用大于2T的块设备的。但是当使用Fdisk来查看这个块设备时，却发现最大只能显示出来2T的空间，而且使用其他的分区工具时也很难使用大于2T的块设备。
   Fdisk所使用的分区表为MBR，Master Boot Record，即主引导记录。他是不属于任何一个操作系统，也不能用操作系统提供的磁盘操作命令来读取它。硬盘的0柱面、0磁头、1扇区称为主引导扇区，Fdisk将会写512个字节的记录在此，即MBR记录。启动过程详见How It Works ： Master Boot Record （MBR)，http://cang.baidu.com/lis/snap/2a0542a949b8e3b8ba4fb147.html。

   以前的日志中也曾经提到，由于Linux服务器执行同样的配置，可使用不同的配置及启动方式，所以，我们应该尽可能按照标准的配置模式进行。但万一服务器给入侵，黑客并不会考虑您运行的配置模式，并会通过修改系统的核心执行文件，如：ls、ps、top等方式尽可能的去隐含自己的行踪。此时，若未能及时发现问题，我们将会处在很被动的位置。而解决该问题的其中一个方法，就是利用一些工具，定时对系统的核心文件进行跟踪，在发现文件被修改后，及时采取对应的措施。Tripwire是其中一款常见的完整性检查工具，同时也是红旗上自带的工具之一。
一、原理
   Tripwire可以对要求校验的系统文件进行类似md5的运行，而生成一个唯一的标识，即“快照”snapshot。当这些系统文件的大小、inode号、权限、时间等任意属性被修改后，再次运行Tripwire，其会进行前后属性的对比，并生成相关的详细报告。

   正如前面日志中写到的，我们在编写.spec脚本的时候，应该尽量使用对应操作系统平台的标准宏命令。但有些时候，标准的宏中定义的写法未必可以满足我们的要求，此时就需要给标准的宏添加参数。下面以maildrop这个套件为例说明。
一、举例
  maildrop是一个邮件投递代理（MDA）软件，其可搭配postfix实现过滤和强大的功能。maildrop的邮箱大小限额是用off_t来表示，而off_t在32平台上是32位有符号整数。所以最大只能为2^31次方。也就是最大2GB。如果要突破这个限制，需要在编译的时候增加下述的环境变量：

   上一篇日志写到，为什么要制作rpm包，以及如何使用.src.rpm文件生成rpm包。最后部分还看到.src.rpm的内容，实际上就是由.tar.gz源码、补丁软件和.spec脚本组成的。由此知道，使用.spec生成rpm包是比较简单的，因为.src.rpm通常都是由软件开发者或者第三方的专业制作人根据源码调试好的，所以，只要处理好平台兼容性和相关的版本，不会遇到太大的问题。
   但我觉得单纯明白用.spec生成rpm是不够的。常见有两个原因值得我们去了解用如何用源码制作rpm：

   我们都知道，在目前的Linux环境下，要安装新软件，通常有两种方式：一是使用源码安装；二是使用rpm软件包。使用源码安装可以让用户了解编译过程，及定制一些模块，和修改编译参数，但其工作量通常都很大，而且要求用户有足够的计算机知识。而rpm软件包方式则相对来说比较简单，也易于管理和升级。所以，当前Linux发行版的前十中，有八个都是使用基于二进制软件包方式的（deb和rpm格式可以互转）。同样的，红旗也是基于rpm的打包方式。
  下面要写的，就是如何制作自己的rpm包。这通常是为了减轻工作上带来的麻烦，例如分发软件到客户手上，或统一版本升级等。
一、关于rpm包

   网上很多文章都已经写到如何配置proftpd，这个常见的FTP服务端软件。但自从proftpd升级到1.3.x版本后，我发现配置参数修改了很多，并且很多原有的参数被取消或替换了。刚好今天需要调整一下服务器上的配置，就把一些已经发现的，需要注意的地方列一下。
一、运行平台

   Squid是一个成熟的代理服务器软件，我也在之前的日志[原]用squid实现身份认证的代理描述了一下实现身份认证的正向代理功能。同样的，squid也可以实现反向代理的功能，也就是把内网中的服务器（通常是web）发布到外部，并包括cache的加速。
一、平台

   仔仔今日146天，4个多月咯啵。今晚整理他啲相片个阵，他居然一齐睇喔！？后来仲扑埋台手提度玩添。唔信？有相为证嘎！

   昨天说明了如何给驱动增加一个自定义页面。未免以后需要多次修改驱动，临时写了一个简单的脚本方便使用。目前该脚本只能对指定的EPSON-LQ-300K+.ppd.gz驱动有用。若你希望用于其他驱动，请自行修改Driver变量。注意，该脚本只能修改页面大小，而不能增加自定义页面，要增加的话，请参考昨天的文章吧。
   脚本如下：