现在这个程序已经变成大写了

MAKEDEV，可以创建设备文件。

MAKEDEB pty，就可以创建pty了

可是我strace bindtty的时候，还是报pty错误

8020   open("/dev/ptyp0", O_RDWR)         = -1 ENXIO (No such device or address)
8020   open("/dev/ptyp1", O_RDWR)         = -1 ENXIO (No such device or address)
8020   open("/dev/ptyp2", O_RDWR)         = -1 ENXIO (No such device or address)
8020   open("/dev/ptyp3", O_RDWR)         = -1 ENXIO (No such device or address)
8020   open("/dev/ptyp4", O_RDWR)         = -1 ENXIO (No such device or address)

但是我有这个设备啊，郁闷

[root@xsec screen]# file /dev/ptyp0
/dev/ptyp0: character special (2/0)

apue2应该也有描述这个。

TTY终端设备文件接口的基本结构

TTY终端设备文件接口的基本结构
=============================

1) 在操作系统中, 应用程序一般不能直接操作硬件, 只能通过系统调用按照内核所提供的抽象形式来间接访问硬件. 在Linux系统中, 所有的硬件对象抽象为文件对象, 通过对文件的系统调用来访问. 用户对文件的系统调用操作基于该文件对象的操作函数表(file_operations), 每一打开的文件都继承了某类文件操作表. 对于一般文件来说(包括目录文件和符号链接文件), 文件对象继承了它所在文件系统的某种文件操作表. 对于设备文件来说, 文件对象继承了它的主设备号所在驱动程序的文件操作表. 设备的文件操作表是设备驱动的起点, 但往往并不在这个层次上直接完成设备操作. 如果在某个层次上对不同对象的某类操作具有某种共性, 那么就可以象提取"公因式"那样将这类操作抽象出来, 然后建立更低一级的操作层次来区分不同的对象, 这样就形成了不同层次的驱动接口.

2) 打开终端的文件操作表为tty_fops, 终端的打开结构用tty_struct结构描述, 文件结构的private_data指针指向打开的终端结构, 如果当前进程的终端指针(current->tty)指向某个打开的终端结构, 则表示该进程与此终端相关联. tty_driver结构描述终端的输出设备, 终端线路规程(tty_ldisc)用来在文件接口与输入设备和输出设备之间进行调控. TTY规程(N_TTY)用于连接终端输入驱动设备和终端显示驱动设备, PPP规程(N_PPP)用来连接终端驱动设备和网络驱动设备.

3) 当用户写入终端文件时, 通过TTY规程的write_chan操作间接输出到终端输出设备. 终端的输入设备将接收数据写入终端打开结构的轮换缓冲区(tty_flip_buffer)之中, 轮换缓冲区使用两个各512字节的缓冲区交替进行读写, 使数据的接收和处理互不重叠同时进行. 轮换缓冲区包含字符数据和字符标志两组缓冲区, 每一字符都具有对应的属性字符. 接收的数据在任务队列中传递给线路规程的receive_buf进行操作. 对于TTY规程, receive_buf操作对接收字符按照终端协议进行处理, 输出数据最终转移到打开终端的read_buf缓冲区中供用户接收. 对于PPP规程, receive_buf操作将识别接收到的PPP帧, 转变为IP帧作为ppp设备的接收帧处理.

4) 伪终端设备是一种特殊的终端驱动设备, 它并不驱动某个物理设备, 而是用来将终端的输出定向到应用程序中进行处理. 伪终端设备由主-从两个成对的设备构成, 当打开主设备(pty)时, 对应的从设备(ttyp)随之打开, 形成连接状态. 输入到主设备数据成为从设备的输出, 输入到从设备的数据成为主设备的输出, 形成双向管道. 伪终端设备常用于远程登录服务器来建立网络和终端的关联. 当通过telnet远程登录到另一台主机时, telnet进程与远程主机的telnet服务器相连接. telnet服务器使用某个pty主设备并通过对应的ttyp从设备与你在远程主机上所运行的程序相互通信.

5) Linux内核是一个以文件为对象的系统, 用户进程的虚拟空间是可执行文件的映射框架, CPU在可执行文件的映射空间中运行. 用户的文件接口实际上是字符流的接口, UNIX将人机接口归结为与终端文件的接口. 我想与文件相对的另一种对象就是窗口, 它们在不同的方向上产生了截然不同的人机界面风格.

6) 熟悉Windows API编程的都知道, Windows应用程序初始化时需要用RegisterClass()注册自已所定义的窗口类, 然后就可以用该窗口类创建它的窗口实例. 从驱动程序观点来看, 每一个窗口类可看成一个以窗口为对象的驱动程序, 所谓窗口元件就是一种窗口驱动设备, Windows应用程序则是在整个操作系统范围内((而不是内核范围内)以窗口为对象的各种层次的驱动程序集合. 如果将窗口类的消息函数(WndProc)看成第一个窗口驱动层次, 那么MFC所提供的应用程序接口可看成更末端层次的一种窗口驱动接口(用户只要在MFC基础上定义一些枝节的操作就可以了). 按照这种推理, 窗口系统由窗口管理核心和各种窗口驱动程序构成, 窗口应用程序则以窗口系统某种抽象而又统一的接口与窗口对象交互.

; drivers/char/tty_io.c:

回头看看rhel4的tty_io.c

coolq提醒我可以strace一下screen程序在rhel4下的调用，看看他是怎么做的，但是貌似没什么发现。

下面是所有操作了dev的记录。

1409   readlink("/proc/self/fd/0", "/dev/pts/0", 4095) = 10
1409   readlink("/proc/self/fd/0", "/dev/pts/0", 4095) = 10
1409   stat64("/dev/pts/0", {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 0), ...}) = 0
1409   open("/dev/pts/0", O_RDWR|O_NONBLOCK) = 3
1410   open("/dev/pts/0", O_RDWR <unfinished ...>
1410   open("/dev/null", O_RDONLY <unfinished ...>
1410   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC, 0666 <unfinished ...>
1410   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC, 0666) = 2
1410   ioctl(1, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbde48) = -1 ENOTTY (Inappropriate ioctl for device)
1410   ioctl(2, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbde48) = -1 ENOTTY (Inappropriate ioctl for device)
1410   ioctl(2, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbde08) = -1 ENOTTY (Inappropriate ioctl for device)
1410   ioctl(1, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbd608) = -1 ENOTTY (Inappropriate ioctl for device)
1410   ioctl(1, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbd608) = -1 ENOTTY (Inappropriate ioctl for device)
1410   ioctl(2, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbd608) = -1 ENOTTY (Inappropriate ioctl for device)
1410   ioctl(2, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbffbd5c8) = -1 ENOTTY (Inappropriate ioctl for device)
1410   open("/dev/ptmx", O_RDWR)          = 6
1410   statfs("/dev/pts", {f_type="DEVPTS_SUPER_MAGIC", f_bsize=4096, f_blocks=0, f_bfree=0, f_bavail=0, f_files=0, f_ffree=0, f_fsid={0, 0}, f_namelen=255, f_frsize=4096}) = 0
1410   stat64("/dev/pts/1", {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
1410   stat64("/dev/pts/1", {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
1410   statfs("/dev/pts/1", {f_type="DEVPTS_SUPER_MAGIC", f_bsize=4096, f_blocks=0, f_bfree=0, f_bavail=0, f_files=0, f_ffree=0, f_fsid={0, 0}, f_namelen=255, f_frsize=4096}) = 0
1410   chown32("/dev/pts/1", 0, 5)        = 0
1410   chmod("/dev/pts/1", 0620)          = 0
1411   open("/dev/pts/1", O_RDWR)         = 0
1411   open("/dev/tty", O_RDWR|O_NONBLOCK|O_LARGEFILE) = 3
1411   read(3, "/dev/sda1 / ext3 rw 0 0\nnone /pr"..., 4096) = 255
1414   read(3, "nodev\tsysfs\nnodev\trootfs\nnodev\tb"..., 4095) = 256
1416   read(3, "nodev\tsysfs\nnodev\trootfs\nnodev\tb"..., 4095) = 256
1418   read(3, "nodev\tsysfs\nnodev\trootfs\nnodev\tb"..., 4095) = 256
1411   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1411   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1421   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1421   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1411   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1411   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1411   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1427   fstat64(0, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
1411   open("/dev/null", O_WRONLY|O_CREAT|O_TRUNC|O_LARGEFILE, 0666) = 3
1411   fstat64(2, {st_mode=S_IFCHR|0666, st_rdev=makedev(1, 3), ...}) = 0
1411   ioctl(2, SNDCTL_TMR_TIMEBASE or TCGETS, 0xbfea6b10) = -1 ENOTTY (Inappropriate ioctl for device)
1411   fstat64(3, {st_mode=S_IFCHR|0666, st_rdev=makedev(1, 3), ...}) = 0
1411   stat64("/root/.bash_history", {st_mode=S_IFCHR|0666, st_rdev=makedev(1, 3), ...}) = 0
1411   fstat64(3, {st_mode=S_IFCHR|0666, st_rdev=makedev(1, 3), ...}) = 0
1411   fstat64(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(136, 1), ...}) = 0
1410   chmod("/dev/pts/1", 0666)          = 0
1410   chown32("/dev/pts/1", 0, 0)        = 0

最近wzt写了个wnps rootkit，我在给他测试和提供完善建议。

遇到了pty的问题，老问题了

rhel4/fc3之后都没了/dev/pty*设备，导致很多后门都无法正常使用 ，比如bindtty.c，如果不用tty后门用起来巨难受的。就这个问题我折腾了一下。

我们看看debian的pty设备

root@debian~# ls /dev/pty* -l | wc -l
256

/dev/ptya0     /dev/ptyb8     /dev/ptyd0     /dev/ptye8     /dev/ptyq0     /dev/ptyr8     /dev/ptyt0     /dev/ptyu8     /dev/ptyw0     /dev/ptyx8     /dev/ptyz0
/dev/ptya1     /dev/ptyb9     /dev/ptyd1     /dev/ptye9     /dev/ptyq1     /dev/ptyr9     /dev/ptyt1     /dev/ptyu9     /dev/ptyw1     /dev/ptyx9     /dev/ptyz1
/dev/ptya2     /dev/ptyba     /dev/ptyd2     /dev/ptyea     /dev/ptyq2     /dev/ptyra     /dev/ptyt2     /dev/ptyua     /dev/ptyw2     /dev/ptyxa     /dev/ptyz2
/dev/ptya3     /dev/ptybb     /dev/ptyd3     /dev/ptyeb     /dev/ptyq3     /dev/ptyrb     /dev/ptyt3     /dev/ptyub     /dev/ptyw3     /dev/ptyxb     /dev/ptyz3

在rhel4下面显然是没有的

[root@rhel4 screen]# ls /dev/pty*
ls: /dev/pty*: No such file or directory

我们再在debian里看看

root@debian~# grep pty /proc/tty/drivers
pty_slave               /dev/pts         136 0-1048575 pty:slave
pty_master              /dev/ptm         128 0-1048575 pty:master
pty_slave               /dev/ttyp          3      0-255 pty:slave
pty_master              /dev/pty           2      0-255 pty:master

再去rhel4下看看

[root@rhel4 screen]# grep pty /proc/tty/drivers
pty_slave               /dev/pts         136 0-1048575 pty:slave
pty_master              /dev/ptm         128 0-1048575 pty:master

我们可以发现，debian下的/dev/pty的含义是pty_master，而rhel4下的pty_master是/dev/ptm，功能都是一样的应该，所以我个人觉得通过编程应该是可以实现的。

看看bindtty.c里的片段吧

/* creates tty/pty name by index */
void get_tty(int num, char *base, char *buf)
{
char series[] = "pqrstuvwxyzabcde";
char subs[] = "0123456789abcdef";
int pos = strlen(base);
strcpy(buf, base);
buf[pos] = series[(num >> 4) & 0xF];
buf[pos+1] = subs[num & 0xF];
buf[pos+2] = 0;
}
/* search for free pty and open it */
int open_tty(int *tty, int *pty)
{
char buf[512];
int i, fd;
fd = open("/dev/ptmx", O_RDWR);
close(fd);
for (i=0; i < 256; i++) {
get_tty(i, "/dev/pty", buf);
*pty = open(buf, O_RDWR);
if (*pty < 0) continue;
get_tty(i, "/dev/tty", buf);
*tty = open(buf, O_RDWR);
if (*tty < 0) {
close(*pty);
continue;
}
return 1;
}
return 0;
}

如果没，就报错了
/* open slave & master side of tty */
if (!open_tty(&tty, &pty)) {
char msg[] = "Can't fork pty, bye!\n";
write(scli, msg, strlen(msg));
close(scli);
exit(0);
}