2014年03月_sdulibh

转载 cgroups

Cgroups是什么？Cgroups是control groups的缩写，是Linux内核提供的一种可以限制、记录、隔离进程组（process groups）所使用的物理资源（如：cpu,memory,IO等等）的机制。最初由google的工程师提出，后来被整合进Linux内核。Cgroups也是LXC为实现虚拟化所使用的资源管理手段，可以说没有cgroups就没有LXC。Cgroups可

2014-03-29 20:03:33 1331

转载 Linux 环境下的高级隐藏技术

摘要：本文深入分析了Linux环境下文件、进程及模块的高级隐藏技术，其中包括：Linux可卸载模块编程技术、修改内存映象直接对系统调用进行修改技术，通过虚拟文件系统proc隐藏特定进程的技术。　　隐藏技术在计算机系统安全中应用十分广泛，尤其是在网络攻击中，当攻击者成功侵入一个系统后，有效隐藏攻击者的文件、进程及其加载的模块变得尤为重要。本文将讨论Linux系统中文件、进程及模块的高级隐藏

2014-03-28 15:13:35 797

转载从Blue Pill、硬件虚拟化谈安全防护完备性上的一个小原则

这篇博客说说一个安全防护系统完备性上所需的一个小原则：防护系统与被防护对象所用资源的完全隔离，包括防护系统自身工作所依赖的资源不能依赖被防护对象。听起来是原理很简单的一个点，实现中往往很复杂。例如操作系统隔离应用程序、虚拟机监视器隔离客户机，需要考虑方方面面、还需要处理器/芯片组硬件的大量支持。分析、设计系统时遵循许多这类小原则是必要的。记得好像是06年的时候吧，Joanna团队在Blackh

2014-03-27 20:51:48 1481

转载渗透Xen hypervisor

BLUEPILL和Vitriol都是目前比较流行的软件项目，可以在运行时给系统安装上恶意的hypervisor（系统管理程序）。原本系统是纯净的，什么都没有，但是这些软件可以即时的向系统中插入一段恶意代码，不需要重启就可以取得操作系统的控制权。很多安全分析人员都预言，在不久的将来，很多系统都将默认的构建在一些hypervisor之上，这给攻击者带来了很多机会，但同时也是挑战。如果渗透进入合

2014-03-27 20:50:25 1370

转载道里云在云计算服务隐私安全保障方面的应用

RSA 2010大会中，有关于云计算安全的专题。其中，在云计算环境里面，如何用虚拟化保证数据的安全性?（一）云环境安全需求在非云时代，我们的数据是怎么样保护的？在非云时代，我们数据放在自己个人电脑里，在自己电脑上装很多防火墙，然后再加上一些密码锁，把数据可以保护起来。在云时代，我们又要逐步把个人数据放到云端里，放到云端里去以后，问题在于怎么样保护我们的数据。现在不能再像自己本地电脑一样

2014-03-27 20:31:22 1159

转载虚拟平台安全威胁

虚拟化技术发展很快，目前通常关注的是其应用，比如利用虚拟技术将原有应用扩展至更大平台，或者利用虚拟技术提高或改进系统安全性；由于虚拟架构本身的特性，很多情况下都假定虚拟平台本身是可控或安全的，但事实上虚拟平台本身也存在一些安全隐患。本文针对虚拟技术的基本特点（如图示），简要分析如下。（这里以类型1中XEN平台为主要分析对象）1.物理安全这点与传统OS平台类似，属于没治的－物理平台都

2014-03-27 19:45:47 1107

转载虚拟机+可信+云计算

来自于：第三届中国云计算大会，2010年，基于虚拟机架构的可信计算环境与可信软件设计：主要包括以下几个部分：构架如图示。*基于虚拟机的可信计算平台研究与设计（TRainbow）*面向管理域虚拟机完整性的实时检测技术（VMGuard）*可信可控用户虚拟计算环境构建方法研究（TRIOB）*面向虚拟存储数据完整性的透明检测技术（Tapwire）*虚拟化全局内存优化技术（TMemC

2014-03-27 19:26:10 2362

转载 hypercall的实现机制

与系统调用类似，Xen中的hypercall是通过软中端（中断号0x82）来实现的：超级调用号：xen/include/public/xen.h中定义了45个超级调用，其中有7个是平台相关调用。超级调用表：xen/arch/x86/x86_32/entry.S中定义了超级调用表，通过超级调用号索引就可以方便的找到对应的处理函数。超级调用页：超级调用页是Xen为Guest OS准备的一个页，可

2014-03-27 19:11:38 2334

转载 Xen HyperCall 详解

A system call, or syscall, is the mechanismused by an application program to request service from the operating system. A hypervisor call, or hypercall, referredto the paravirtualization interface

2014-03-27 19:02:24 3212 1

转载 Linux 内核中的 Device Mapper 机制

本文结合具体代码对 Linux 内核中的 device mapper 映射机制进行了介绍。Device mapper 是 Linux 2.6 内核中提供的一种从逻辑设备到物理设备的映射框架机制，在该机制下，用户可以很方便的根据自己的需要制定实现存储资源的管理策略，当前比较流行的 Linux 下的逻辑卷管理器如 LVM2（Linux Volume Manager 2 version)、EVMS(En

2014-03-09 20:49:25 817

sdulibh的专栏