小心“饮茶”！美国NSA专用网络武器浮出水面，还有哪些信息值得关注？

经技术分析，在此次针对西北工业大学攻击的41种网络武器中， 名为“饮茶”的嗅探窃密类网络武器是导致大量敏感数据遭窃的最直接“罪魁祸首”之一。该网络武器主要针对Unix/Linux平台，其主要功能是对目标主机上的远程访问账号密码进行窃取。

NSA下属特定入侵行动办公室（TAO）使用“饮茶”作为嗅探窃密工具， 将其植入西北工业大学内部网络服务器，窃取了SSH、TELNET、FTP、SCP等远程管理和远程文件传输服务的登录密码，从而获得内网中其他服务器的访问权限，实现内网横向移动，并向其他高价值服务器投送其他嗅探窃密类、持久化控制类和隐蔽消痕类网络武器，造成大规模、持续性敏感数据失窃。

除西工大外其他机构也有被网络攻击痕迹。随着调查的逐步深入， 技术团队还在西北工业大学之外的其他机构网络中发现了“饮茶”的攻击痕迹，很可能是TAO利用“饮茶”对中国发动了大规模的网络攻击活动。

首先研究 Linux 源代码树的顶层目录，它通常（但不总是）位于 /usr/src/linux-。我们不会研究得过于详细，因为 Linux 源代码经常会发生变化，但是，我们将尝试让给出的信息足以找出特定驱动程序或函数的位置。

Makefile：这个文件是整个源代码树的顶层 makefile。它定义了很多实用的变量和规则，比如默认的 gcc 编译标记。

Documentation/：这个目录中包含很多关于配置内核、运行 ramdisk 等任务的实用信息（但通常是过时的）。不过，与不同配置选项相应的帮助条目并不在这里 —— 它们在每个源代码目录的 Kconfig 文件中。

arch/：所有与体系结构相关的代码都在这个目录以及 include/asm- 目录中。在此目录中，每种体系结构都有自己的目录。例如，用于基于 PowerPC 的计算机的代码位于 arch/ppc 目录中。在这些目录里，可以找到底层内存管理、中断处理、早期初始化、汇编例程，等等。

crypto/：这是内核本身所用的加密 API。

drivers/：按照惯例，在此目录的子目录中可以找到运行外围设备的代码。包括视频驱动程序、网卡驱动程序、底层 SCSI 驱动程序，以及其他类似的驱动程序。例如，在 drivers/net 中可以找到大部分网卡驱动程序。将一类驱动程序组合在一起的某些更高层代码，可能会（也可能不会）像底层驱动程序本身那些包含在同一目录中。

fs/：通用文件系统的代码（称做 VFS，即 Virtual File System）和各个不同文件系统的代码都可以在这个目录中找到。ext2 文件系统是在 Linux 中最常广泛使用的文件系统之一；在 fs/ext2 中可以找到读取 ext2 格式的代码。并不是所有文件系统都会编译或运行；对某些寻找内核项目的人而言，更生僻的文件系统永远都是理想的候选者。

include/：在 .c 文件的开头所包含的大部分头文件都可以在这个目录中找到。 asm- 目录下是与体系结构相关的包含（include ）文件。部分内核构建过程创建从 asm 指定 asm- 的符号链接。这样，无需将其固定编码到 .c 文件 #include 就可以获得用于那个体系结构的正确文件。其他目录中包含的是 非-体系结构-相关 的头文件。如果在不只一个 .c 文件中使用了某个结构体、常量或者变量，那么它可能应该放入其中一个头文件中。

init/：这个目录中的文件包括 main.c、创建 早期用户空间（early userspace） 的代码，以及其他初始化代码。可以认为 main.c 是内核“粘合剂（glue）”。在下一部分将深入讨论 main.c。早期用户空间提供了 Linux 内核引导起来时所需要的功能，而这些功能并不需要在内核本身运行。

ipc/：IPC 的意思是 进程间通信（interprocess communication）。它包含了共享内存、信号量以及其他形式 IPC 的代码。

kernel/：不适合放在任何其他位置的通用内核级代码位于此处。这里有高层系统调用代码，以及 printk() 代码、调度程序、信号处理代码，等等。文件名包含很多信息，所以可以使用 ls kernel/，并非能常准确地猜到每个文件的功能。

lib/：这里是对所有内核代码都通用的实用例程。常见的字符串 *** 作、调试例程，以及命令行解析代码都位于此处。

mm/：这个目录中是高层次内核管理代码。联合使用这些例程以及底层的与体系结构相关的例程（通常位于 arch//mm/ 目录中）来实现虚拟内存（Virtual memory，VM）。在这里会完成早期内存管理（在内存子系统完全建立起来之前需要它），以及文件的内存映射、页高速缓存管理、内存分配、RAM 中页的清除（还有很多其他事情）。

net/：这里是高层网络代码。底层网络驱动程序与此层次代码交换数据包，这个层次的代码可以根据数据包将数据传递给用户层应用程序，或者丢弃数据，或者在内核中使用它。net/core 包含大部分不同的网络协议都可以使用的代码，和某些位于 net/ 目录本身中的文件一样。特定的网络协议在 net/ 的子目录下实现。例如，在 net/ipv4 目录中可以找到 IP（版本 4）代码。

scripts/：这个目录中包含的脚本可用于内核的构建，但并不将任何代码加入到内核本身之中。例如，各种配置工具可以将它们的文件放在这里。

security/：在这里可以找到不同 Linux 安全模型的代码，比如 NSA Security-Enhanced Linux 以及套接字和网络安全钩子函数（hooks），以及其他安全选项。

sound/：这里放置的是声卡驱动程序和其他与声音相关的代码。

usr/：此目录中的代码用于构建包含 root 文件系统映像的 cpio-格式 的归档文件，用于早期用户空间。

---