[ kubectl 命令行工具在Daemo...]的搜索结果

...- 软件bug：某些应用程序可能存在bug，导致它们请求了不合理的资源数量。 让我给大家分享一个小故事。嘿，有次我正鼓捣一个脚本呢，结果它就不停地跟我唱反调，各种报错，说什么“分配日志资源失败”啥的，气得我都想把它扔进垃圾桶了！折腾了半天才发现，原来是脚本里有段代码疯了一样想同时打开几千个文件，但系统设定的文件句柄上限才1024个，这不直接给整崩溃了嘛！修改了这个限制后，问题就解决了。真是哭笑不得啊！ --- 3. 实践 如何查看和分析日志？ 既然知道了问题的来源，接下来就要学会如何查看和分析这些日志了。在Linux系统里头，咱们经常会用到一些小工具，帮咱找出那些捣蛋的问题到底藏哪儿了。 3.1 查看日志文件 首先，我们需要找到存放日志的地方。一般来说，系统日志会存放在 /var/log/ 目录下。你可以通过命令 ls /var/log/ 来列出所有的日志文件。 bash $ ls /var/log/ 然后，我们可以使用 tail 命令实时监控日志文件的变化： bash $ tail -f /var/log/syslog 这段代码的意思是实时显示 /var/log/syslog 文件的内容。如果你看到类似 Failed process resource allocation logging 的字样，就可以进一步分析了。 3.2 使用 dmesg 查看内核日志 除了系统日志，内核日志也是查找问题的好地方。我们可以使用 dmesg 命令来查看内核日志： bash $ dmesg | grep "Failed process resource allocation" 这条命令会过滤出所有包含关键词 Failed process resource allocation 的日志条目。这样可以快速定位问题发生的上下文。 --- 4. 解决 动手实践解决问题 找到了问题的根源后，接下来就是解决它啦！这里我给大家提供几个实用的小技巧。 4.1 调整资源限制 如果问题是由于资源限制引起的，比如文件句柄数或内存配额不足，那么我们可以调整这些限制。例如，要增加文件句柄数，可以编辑 /etc/security/limits.conf 文件： bash soft nofile 65535 hard nofile 65535 保存后，重启系统或重新登录即可生效。 4.2 优化脚本逻辑 如果是脚本本身的问题，比如请求了过多的资源，那么就需要优化脚本逻辑了。比如，将大文件分块处理，而不是一次性加载整个文件到内存中。 bash !/bin/bash split -l 1000 large_file.txt part_ for file in part_ do 对每个小文件进行处理 echo "Processing $file" done 这段脚本将大文件分割成多个小文件，然后逐个处理，避免了内存溢出的风险。 4.3 检查硬件状态 最后，别忘了检查一下硬件的状态。有时候，内存不足可能是由于物理内存条损坏或容量不足造成的。可以用 free 命令查看当前的内存使用情况： bash $ free -h 如果发现内存确实不足，考虑升级硬件或者清理不必要的进程。 --- 5. 总结 与错误共舞 通过今天的讨论，希望大家对进程资源分配日志 Failed process resource allocation logging 有了更深入的理解。说实话，遇到这种问题确实挺让人抓狂的，但别慌！只要你搞清楚该怎么一步步排查、怎么解决，慢慢就成高手了，啥问题都难不倒你。 记住，技术的世界就像一场冒险，遇到问题并不可怕，可怕的是放弃探索。所以，下次再遇到类似的日志时，不妨静下心来，一步步分析，相信你也能找到解决问题的办法！ 好了，今天的分享就到这里啦。如果你还有其他疑问，欢迎随时来找我交流哦！😄 --- 希望这篇文章对你有所帮助！如果有任何补充或建议，也欢迎留言告诉我。

...op 身上的数据仓库工具，说白了嘛，它的工作方式特别直白——把你的 SQL 查询语句给翻译成 MapReduce 任务，然后甩给 Hadoop 去干活儿。而HDFS呢，就是存储这些数据的地方。它们就像一对老朋友，互相依赖，缺一不可。 但有时候，这俩家伙可能会闹别扭，尤其是当你发现Hive突然不能访问HDFS了。这可真是让人头疼，因为这意味着你的数据查询直接凉凉。所以今天我们就来聊聊，为什么会出现这种情况，以及该怎么解决。 二、可能的原因 为什么Hive访问不了HDFS？ 2.1 网络问题 首先，我们得想想是不是网络出了问题。嘿，你知道吗？我猜你们公司那位网络大神最近是不是偷偷调整了防火墙的设置？或者是服务器那边抽风了，直接断网了？反正不管咋回事儿，现在Hive跟HDFS就像是隔了一座大山，怎么也连不上，所以它想读数据都读不到啊！ 举个例子吧，假设你的Hive配置文件里写着HDFS的地址是hdfs://namenode:9000/，但是实际上NameNode所在的机器根本不在网络范围内，那Hive当然会报错啦。 解决方法：检查一下网络连接是否正常。你可以试着ping一下HDFS的NameNode地址，看看能不能通。如果不行的话，赶紧找网络管理员帮忙修一下。 2.2 权限问题 其次，权限问题也是常见的原因。HDFS对文件和目录是有严格权限控制的，如果你的用户没有足够的权限去读取某个文件，那么Hive自然也无能为力。 举个栗子，假如你有一个HDFS路径/user/hive/warehouse/my_table，但是这个目录的权限设置成了只有root用户才能访问，而你的Hive用户不是root，那肯定就悲剧了。 解决方法：检查HDFS上的文件和目录权限。如果你想看看某个文件的权限，可以用这个命令：hadoop fs -ls /path/to/file。看完之后，要是觉得权限不对劲，就动手改一下呗，比如说用hadoop fs -chmod 755 /path/to/file，给它整成合适的权限就行啦！ 2.3 HDFS服务未运行 还有一种可能是HDFS服务本身挂掉了。比如说，NameNode突然罢工了，DataNode也闹起了情绪，甚至整个集群都瘫痪了，啥都不干了。哎呀糟糕了，这情况有点悬啊！HDFS直接罢工了，完全不干活，任凭Hive使出浑身解数也无济于事。这下可好，整个系统像是瘫了一样，啥也跑不起来了。 解决方法：检查HDFS的服务状态。可以通过命令jps查看是否有NameNode和DataNode进程在运行。如果没有，那就得赶紧启动它们，或者重启整个HDFS服务。 三、实战演练 Hive访问HDFS的具体操作 接下来，我们通过一些实际的例子来看看如何用Hive操作HDFS。 3.1 创建表并加载数据到HDFS 假设我们现在要创建一个简单的表，并将数据加载到HDFS中。我们可以先创建一个本地文件data.txt，内容如下： id,name,age 1,Alice,25 2,Bob,30 3,Charlie,35 然后上传到HDFS： bash hadoop fs -put data.txt /user/hive/warehouse/my_table/ 接着在Hive中创建表： sql CREATE TABLE my_table ( id INT, name STRING, age INT ) ROW FORMAT DELIMITED FIELDS TERMINATED BY ',' STORED AS TEXTFILE; 最后加载数据： sql LOAD DATA INPATH '/user/hive/warehouse/my_table/data.txt' INTO TABLE my_table; 这样，我们的数据就成功存到了HDFS上，并且Hive也能读取到了。 3.2 查询数据 现在我们可以试试查询数据： sql SELECT FROM my_table; 如果一切正常，你应该能看到类似这样的结果： OK 1 Alice 25 2 Bob 30 3 Charlie 35 Time taken: 0.077 seconds, Fetched: 3 row(s) 但如果之前出现了访问不了HDFS的情况，这里就会报错。所以我们要确保每一步都正确无误。 四、总结与展望 总之，Hive无法访问HDFS的问题虽然看起来很复杂，但实际上只要找到根本原因，解决起来并不难。无论是网络问题、权限问题还是服务问题，都有相应的解决办法。嘿，大家听我说啊！以后要是再碰到这种事儿，别害怕，也别乱了阵脚。就当是玩个解谜游戏，一步一步慢慢来，肯定能找出办法搞定它！ 未来，随着大数据技术的发展，Hive和HDFS的功能也会越来越强大。说不定哪天它们还能像人类一样交流感情呢！（开玩笑啦） 好了，今天的分享就到这里啦。如果你还有什么疑问或者经验想要分享，欢迎随时留言讨论哦！让我们一起进步，一起探索大数据的奥秘吧！

...个HBase用户或者运维人员，你是不是经常遇到这样的问题？“我的HBase集群到底跑得怎么样？”、“为什么有时候查询特别慢？”、“是不是哪里配置出问题了？”这些问题困扰着每一个对HBase有所依赖的人。 其实，HBase集群的性能检查并不复杂，只要你掌握了正确的方法和工具。就好比开车吧，谁没事不看看油还有多少，轮胎气足不足，引擎有没有毛病？这车才能跑得稳当。HBase集群也跟这差不多，咱们得时不时给它来个“体检”，确保一切正常运转。那么今天，我们就来聊聊怎么高效地检查HBase集群的性能。 --- 2. 第一步 从宏观到微观——整体性能概览 在检查HBase集群性能之前，我们需要先搞清楚几个核心指标。这些指标啊，就相当于HBase集群的“身体状况晴雨表”。只要瞅一眼这些数据，就能知道这个集群是健健康康的，还是出了啥问题。 2.1 关键指标有哪些？ - 吞吐量（Throughput）：每秒钟处理多少请求。 - 延迟（Latency）：一次操作完成所需的时间。 - Region分布：各个RegionServer上的Region是否均匀分布。 - GC时间：垃圾回收占用的时间比例。 - CPU利用率：集群中各节点的CPU使用率。 2.2 使用JMX监控 HBase提供了丰富的JMX接口，通过这些接口我们可以获取上述指标。比如说呀，你可以用 jconsole 这个工具连到你的 HBase 节点上，看看它的内存用得怎么样，GC 日志里有没有啥问题之类的。 示例代码： java import javax.management.MBeanServer; import javax.management.ObjectName; public class HBaseJMXExample { public static void main(String[] args) throws Exception { MBeanServer mbs = ManagementFactory.getPlatformMBeanServer(); ObjectName name = new ObjectName("Hadoop:service=HBase,name=Master,sub=MasterStatus"); Integer load = (Integer) mbs.getAttribute(name, "AverageLoad"); System.out.println("当前HBase Master的平均负载：" + load); } } 这段代码展示了如何通过Java程序读取HBase Master的负载信息。虽然看起来有点复杂，但只要理解了基本原理，后续操作就简单多了！ --- 3. 第二步 深入分析——聚焦热点问题 当我们拿到整体性能数据后，接下来就需要深入分析具体的问题所在。这里我建议大家按照以下几个方向逐一排查： 3.1 Region分布不均怎么办？ 如果发现某些RegionServer的压力过大，而其他节点却很空闲，这可能是由于Region分布不均造成的。解决方法很简单，调整负载均衡策略即可。 示例代码： bash hbase shell balance_switch true 上面这条命令会开启自动负载均衡功能。当然，你也可以手动执行balancer命令强制进行一次平衡操作。 3.2 GC时间过长怎么办？ GC时间过长往往意味着内存不足。这时候你需要检查HBase的堆内存设置，并适当增加Xmx参数值。 示例代码： xml hbase.regionserver.heapsize 8g 将heapsize调大一些，看看是否能缓解GC压力。 --- 4. 第三步 实战演练——真实案例分享 为了让大家更直观地感受到性能优化的过程，我来分享一个真实的案例。有一天，我们团队收到用户的吐槽：“你们这个查询也太慢了吧？等得我花都谢了！”我们赶紧查看了一下情况，结果发现是RegionServer上某个Region在搞事情，一直在上演“你进我也进”的读写冲突大戏，把自己整成了个“拖油瓶”。 解决方案： 1. 首先，定位问题区域。通过以下命令查看哪些Region正在发生大量读写： sql scan 'hbase:metrics' 2. 然后，调整Compaction策略。如果发现Compaction过于频繁，可以尝试降低触发条件： xml hbase.hregion.majorcompaction 86400000 最终，经过一系列调整后，查询速度果然得到了显著提升。这种成就感真的让人欲罢不能！ --- 5. 结语 保持好奇心，不断学习进步 检查HBase集群的性能并不是一件枯燥无味的事情，相反，它充满了挑战性和乐趣。每次解决一个问题，都感觉是在玩拼图游戏，最后把所有碎片拼在一起的时候，那成就感真的太爽了，简直没法用语言形容！ 最后，我想说的是，无论你是刚入门的新手还是经验丰富的老手，都不要停止学习的步伐。HBase的技术栈非常庞大，每一次深入研究都会让你受益匪浅。所以，让我们一起努力吧！💪 希望这篇文章对你有所帮助，如果你还有任何疑问，欢迎随时来找我交流哦～

...轻数据库的压力，提升应用的响应速度。其实说白了就是这么个事儿——把数据都存到内存里，用的时候直接拿出来，省得每次都要跑去数据库翻箱倒柜找一遍，多麻烦啊！ 举个例子，假设你正在做一个电商网站，用户点击商品详情页时，如果每次都要从数据库拉取商品信息，那服务器负载肯定爆表。但如果我们将这些数据缓存在MemCache中，用户访问时直接从内存读取，岂不是快如闪电？ 不过呢，事情可没那么简单。MemCache这小子虽然挺能干的，但也不是省油的灯啊！比如说吧，你老是疯狂地去请求数据，结果服务器偏偏不给面子，连个响应都没有，那它就直接给你来个“服务连接超时”的报错，气得你直跺脚。这就像你去餐厅点菜，服务员一直不在，你说能不急吗？ --- 2. 服务连接超时到底是个啥？ 服务连接超时，简单来说就是你的程序试图与MemCache服务器建立连接，但因为某些原因（比如网络延迟、服务器过载等），连接请求迟迟得不到回应，最终超时失败。这种错误通常会伴随着一条令人沮丧的信息：“连接超时”。 让我分享一个小故事：有一次我在调试一个项目时，发现某个接口总是返回“服务连接超时”，我当时的第一反应是“天啊，是不是MemCache崩了？”于是我赶紧登录服务器检查日志，结果发现MemCache运行正常，只是偶尔响应慢了一点。后来我才意识到，可能是客户端配置的问题。 所以，当遇到这种错误时，不要慌！我们得冷静下来，分析一下可能的原因。 --- 2.1 可能的原因有哪些？ 1. 网络问题 MemCache服务器和客户端之间的网络不稳定。 2. MemCache配置不当 比如设置了太短的超时时间。 3. 服务器负载过高 MemCache服务器被太多请求压垮。 4. 客户端代码问题 比如没有正确处理异常情况。 --- 3. 如何解决服务连接超时？ 接下来，咱们就从代码层面入手，看看如何优雅地解决这个问题。我会结合实际例子，手把手教你如何避免“服务连接超时”。 --- 3.1 检查网络连接 首先，确保你的MemCache服务器和客户端之间网络通畅。你可以试试用ping命令测试一下： bash ping your-memcache-server 如果网络不通畅，那就得找运维同事帮忙优化网络环境了。不过，如果你确定网络没问题，那就继续往下看。 --- 3.2 调整超时时间 很多时候，“服务连接超时”是因为你设置的超时时间太短了。默认情况下，MemCache的超时时间可能比较保守，你需要根据实际情况调整它。 在Java中，可以这样设置超时时间： java import net.spy.memcached.AddrUtil; import net.spy.memcached.MemcachedClient; public class MemCacheExample { public static void main(String[] args) throws Exception { // 创建MemCache客户端，设置超时时间为5秒 MemcachedClient memcachedClient = new MemcachedClient(AddrUtil.getAddresses("localhost:11211"), 5000); System.out.println("成功连接到MemCache服务器！"); } } 这里的关键是5000，表示超时时间为5秒。你可以根据实际情况调整这个值，比如改成10秒或者20秒。 --- 3.3 使用重试机制 有时候，一次连接失败并不代表MemCache服务器真的挂了。在这种情况下，我们可以加入重试机制，让程序自动尝试重新连接。 下面是一个简单的Python示例： python import time from pymemcache.client.base import Client def connect_to_memcache(): attempts = 3 while attempts > 0: try: client = Client(('localhost', 11211)) print("成功连接到MemCache服务器！") return client except Exception as e: print(f"连接失败，重试中... ({attempts}次机会)") time.sleep(2) attempts -= 1 raise Exception("无法连接到MemCache服务器，请检查配置！") client = connect_to_memcache() 在这个例子中，程序会尝试三次连接MemCache服务器，每次失败后等待两秒钟再重试。如果三次都失败，就抛出异常提示用户。 --- 3.4 监控MemCache状态 最后，建议你定期监控MemCache服务器的状态。你可以通过工具（比如MemAdmin）查看服务器的健康状况，包括内存使用率、连接数等指标。 如果你发现服务器负载过高，可以考虑增加MemCache实例数量，或者优化业务逻辑减少不必要的请求。 --- 4. 总结 服务连接超时不可怕，可怕的是不去面对 好了，到这里，关于“服务连接超时”的问题基本就说完了。虽然MemCache确实容易让人踩坑，但只要我们用心去研究，总能找到解决方案。 最后想说的是，技术这条路没有捷径，遇到问题不要急躁，多思考、多实践才是王道。希望我的分享对你有所帮助，如果你还有什么疑问，欢迎随时来找我讨论！😄 祝大家编码愉快！

...注点转向其在现代IT运维领域的实际应用与最新发展动态。近期，随着DevOps理念的普及以及云计算、容器化技术的广泛应用，Nagios也在不断迭代升级以适应新的运维场景。 例如，Nagios XI作为Nagios系列的旗舰产品，不仅继承了原有的强大监控功能，更提供了直观易用的Web界面和实时仪表板，方便用户快速定位问题并作出响应。此外，它支持大规模分布式环境下的监控，并能够无缝集成各类第三方工具和服务，如Prometheus、Grafana等，实现全方位的监控解决方案。 与此同时，开源社区对Nagios的贡献也日益丰富，涌现出了像Icinga、Naemon等基于Nagios核心的衍生项目，它们在保持兼容性的同时，引入更多现代化特性，比如灵活的插件体系、API驱动的自动化运维能力等，进一步提升了监控系统的灵活性和可扩展性。 而在最新的行业实践案例中，许多大型企业已成功运用Nagios搭建起高效稳定的监控平台，通过精细化的配置管理，有效预防潜在故障，确保业务连续性和稳定性。因此，对于任何想要提升IT基础设施监控管理水平的组织来说，深入研究Nagios的配置技巧并跟进其最新发展动态，无疑是一项极具价值的工作。

...，适合构建各种Web应用；而Docker则可以让我们的应用轻松打包成容器，无论是在开发环境还是生产环境中都能保持一致的状态。这话让我一下就想起了小时候玩积木的场景——不管你东拆西挪、反复折腾，只要那些最基本的积木块没动，整座“高楼”就稳得跟啥似的，塌不下来！ 那么问题来了：如果我想在我的Node.js项目里用上Docker，该怎么操作呢？别急，咱们一步一步来。 --- 2. 为什么选择Docker？ 首先，让我们聊聊为什么要用Docker。简单来说，Docker解决了两个核心痛点： - 环境一致性：想象一下，你在本地调试好的Node.js程序，在服务器上跑却报错。哎呀，这可能是你的服务器上装的软件版本不一样，或者是系统设置没调成一个样儿，所以才出问题啦！Docker可厉害了，它把整个运行环境——比如Node.js、各种依赖库，还有配置文件啥的——全都打包成一个“镜像”，就像是给你的应用做一个完整的备份。这样，无论你什么时候部署，都像是复制了一份一模一样的东西，绝不会出岔子！ - 高效部署：传统的部署方式可能是手动上传文件到服务器再启动服务，不仅费时还容易出错。而Docker只需要推送镜像，然后在目标机器上拉取并运行即可，省去了很多麻烦。 当然，这些优点的背后离不开Docker的核心概念——镜像、容器和仓库。简单来说啊，镜像就像是做菜的菜谱，容器就是按照这个菜谱写出来的菜，仓库呢，就是放这些菜谱的地方，想做菜的时候随时拿出来用就行啦！听起来是不是有点抽象？没关系，接下来我们会一步步实践！ --- 3. 准备工作 搭建Node.js项目 既然要学怎么用Docker部署Node.js应用，那我们得先有个项目吧？这里我假设你已经会用npm初始化一个Node.js项目了。如果没有的话，可以按照以下步骤操作： bash mkdir my-node-app cd my-node-app npm init -y 这会在当前目录下生成一个package.json文件，用于管理项目的依赖。接下来，我们随便写点代码让这个项目动起来。比如新建一个index.js文件，内容如下： javascript // index.js const http = require('http'); const hostname = '127.0.0.1'; const port = 3000; const server = http.createServer((req, res) => { res.statusCode = 200; res.setHeader('Content-Type', 'text/plain'); res.end('Hello World\n'); }); server.listen(port, hostname, () => { console.log(Server running at http://${hostname}:${port}/); }); 现在你可以直接运行它看看效果： bash node index.js 打开浏览器访问http://127.0.0.1:3000/，你会看到“Hello World”。不错，我们的基础项目已经搭建好了！ --- 4. 第一步 编写Dockerfile 接下来我们要做的就是给这个项目添加Docker的支持。为此，我们需要创建一个特殊的文件叫Dockerfile。这个名字是固定的，不能改哦。 进入项目根目录，创建一个空文件名为Dockerfile，然后在里面输入以下内容： dockerfile 使用官方的Node.js镜像作为基础镜像 FROM node:16-alpine 设置工作目录 WORKDIR /app 将当前目录下的所有文件复制到容器中的/app目录 COPY . /app 安装项目依赖 RUN npm install 暴露端口 EXPOSE 3000 启动应用 CMD ["node", "index.js"] 这段代码看起来有点复杂，但其实逻辑很简单： 1. FROM node:16-alpine 告诉Docker从官方的Node.js 16版本的Alpine镜像开始构建。 2. WORKDIR /app 指定容器内的工作目录为/app。 3. COPY . /app 把当前项目的文件拷贝到容器的/app目录下。 4. RUN npm install 在容器内执行npm install命令，安装项目的依赖。 5. EXPOSE 3000 声明应用监听的端口号。 6. CMD ["node", "index.js"]：定义容器启动时默认执行的命令。 保存完Dockerfile后，我们可以试着构建镜像了。 --- 5. 构建并运行Docker镜像 在项目根目录下运行以下命令来构建镜像： bash docker build -t my-node-app . 这里的. 表示当前目录，my-node-app是我们给镜像起的名字。构建完成后，可以用以下命令查看是否成功生成了镜像： bash docker images 输出应该类似这样： REPOSITORY TAG IMAGE ID CREATED SIZE my-node-app latest abcdef123456 2 minutes ago 150MB 接着，我们可以启动容器试试看： bash docker run -d -p 3000:3000 my-node-app 参数解释： - -d：以后台模式运行容器。 - -p 3000:3000：将主机的3000端口映射到容器的3000端口。 - my-node-app：使用的镜像名称。 启动成功后，访问http://localhost:3000/，你会发现依然可以看到“Hello World”！这说明我们的Docker化部署已经初步完成了。 --- 6. 进阶 多阶段构建优化镜像大小 虽然上面的方法可行，但生成的镜像体积有点大（大约150MB左右）。有没有办法让它更小呢？答案是有！这就是Docker的“多阶段构建”。 修改后的Dockerfile如下： dockerfile 第一阶段：构建阶段 FROM node:16-alpine AS builder WORKDIR /app COPY package.json ./ RUN npm install COPY . . RUN npm run build 假设你有一个build脚本 第二阶段：运行阶段 FROM node:16-alpine WORKDIR /app COPY --from=builder /app/dist ./dist 假设build后的文件存放在dist目录下 COPY package.json ./ RUN npm install --production EXPOSE 3000 CMD ["node", "dist/index.js"] 这里的关键在于“--from=builder”，它允许我们在第二个阶段复用第一个阶段的结果。这样就能让开发工具和测试依赖 stays 在它们该待的地方，而不是一股脑全塞进最终的镜像里，这样一来镜像就能瘦成一道闪电啦！ --- 7. 总结与展望 写到这里，我相信你已经对如何用Docker部署Node.js应用有了基本的认识。虽然过程中可能会遇到各种问题，但每一次尝试都是成长的机会。记得多查阅官方文档，多动手实践，这样才能真正掌握这项技能。 未来，随着云计算和微服务架构的普及，容器化将成为每个开发者必备的技能之一。所以，别犹豫啦，赶紧去试试呗！要是你有什么不懂的，或者想聊聊自己的经历，就尽管来找我聊天，咱们一起唠唠~咱们一起进步！ 最后，祝大家都能早日成为Docker高手！😄

...功能。你可以使用以下命令： bash echo "Hello, Hadoop!" > test.txt 然后，我们将这个文件上传到HDFS中： bash hadoop fs -put test.txt /user/hadoop/ 这里的/user/hadoop/是HDFS上的一个目录路径。 3.3 查看文件的副本分布 上传完成后，我们可以检查一下这个文件的副本分布情况。使用以下命令： bash hadoop fsck /user/hadoop/test.txt -files -blocks -locations 这段命令会输出类似如下的结果： /user/hadoop/test.txt 128 bytes, 1 block(s): OK 0. BP-123456789-192.168.1.1:50010 file:/path/to/local/file 1. BP-123456789-192.168.1.2:50010 file:/path/to/local/file 2. BP-123456789-192.168.1.3:50010 file:/path/to/local/file 从这里可以看到，我们的文件已经被复制到了三台不同的服务器上。 --- 4. 深度解读 Hadoop的副本策略 在前面的步骤中，我们已经看到了Hadoop是如何将文件复制到不同节点上的。但是，你知道吗？Hadoop的副本策略其实是非常灵活的。它可以根据网络拓扑结构来决定副本的位置。 例如，默认情况下，第一个副本会放在与客户端最近的节点上，第二个副本会放在另一个机架上，而第三个副本则会放在同一个机架的不同节点上。这样的策略可以最大限度地减少网络延迟，提高读取效率。 当然，如果你对默认的副本策略不满意，也可以自己定制。比如，如果你想让所有副本都放在同一个机架内，可以通过修改dfs.replication.policy参数来实现。 --- 5. 总结与展望 通过今天的讨论，我们了解了Hadoop是如何通过HDFS实现文件的跨硬件复制的。虽然这个功能看似简单，但它背后蕴含着复杂的设计理念和技术细节。正是这些设计，才使得Hadoop成为了一个强大的大数据处理工具。 最后，我想说的是，学习新技术的过程就像探险一样，充满了未知和挑战。嘿，谁还没遇到过点麻烦事儿呢？有时候一头雾水，感觉前路茫茫，但这不正是探索的开始嘛！别急着放弃，熬过去你会发现，那些让人头疼的问题其实藏着不少小惊喜，等你拨开云雾时，成就感绝对让你觉得值了！希望这篇文章能给你带来一些启发，也希望你能亲自尝试一下Hadoop的实际操作，感受一下它的魅力！ 好了，今天的分享就到这里啦！如果你有任何疑问或者想法，欢迎随时留言交流。让我们一起探索更多有趣的技术吧！

...相关的前沿技术和实践应用。近期，随着JDK 17的发布，对Class文件格式的支持和优化有了新的进展。例如，JEP 391（密封类）引入了新的类声明语法，允许限制哪些其他类或模块可以继承或实现一个密封类或接口，这种特性在编译阶段会生成更为精确的符号引用，有助于增强类型安全性和提升性能。 同时，随着JIT即时编译器的发展，如GraalVM项目，其先进的动态编译技术能更高效地将字节码转换为机器码，使得Java应用程序执行效率大幅提升。对于Class文件内部结构的理解，有助于我们更好地利用这些新特性和工具进行优化配置。 此外，随着微服务、容器化和云原生架构的普及，Class文件在服务启动速度和资源占用上的优化也显得尤为重要。例如，通过提前解析和验证Class文件以减少运行时开销，或者采用Ahead-of-Time(AOT)编译技术将部分Class文件直接编译成本地代码，从而提升系统启动速度和降低内存使用。 另外，对于安全领域，深入理解Class文件结构有助于分析恶意字节码攻击手段，以及如何通过虚拟机层面的安全防护措施来避免有害类文件的加载执行。例如，最新的Java版本不断强化类加载验证机制，防止非法或恶意篡改的Class文件危害系统安全。 综上所述，随着Java技术栈的持续演进，Class文件这一基础而又关键的概念，在实际开发和运维过程中仍具有极高的研究价值和实战意义，值得开发者们密切关注和深入探索。

...播平台优化的视频下载工具项目，这些项目不仅实现了对.ts文件片段的智能解析和合并，还有的开始探索基于机器学习的方法来预测和模拟签名算法，以适应日益严格的反爬策略。例如，“Streamlink”是一款跨平台的命令行实用程序，能够从各种受保护的流媒体网站中提取并播放视频流，为研究人员提供了合法获取和处理流媒体数据的新思路。 此外，国家版权局近年来也加大了对网络侵权盗版行为的打击力度，并呼吁广大网民自觉抵制非法下载和传播他人作品的行为，倡导尊重原创、保护版权的社会风尚。在实际操作中，开发者应关注《信息网络传播权保护条例》等相关法规，确保个人或团队的研究活动既满足学术探究需求，又符合法律规定。 总之，面对流媒体视频下载与处理这一领域，我们既要掌握先进的技术方法以适应日新月异的网络环境，又要时刻保持对法律边界的敬畏之心，做到技术发展与法制建设相得益彰。

...不大 随着业务增长、工具的更替、技术的演进。CI系统也必然随之改动，往往会导致阶段性的不稳定和人力物力的耗费 如果CI的基本设定不到位，开发流程将会增加特别的开销 注意点 CI流程的触发方式 跟踪触发式：在每次提交到源码版本管理系统时触发 计划任务：预配置好的计划 手动：无论是通过CI服务器的管理界面还是脚本，用户可以手工执行CI工作流 代码审核 可在持续集成服务器里使用代码分析工具（例如Sonar）来执行自动代码审查 自动代码审查通过后，可发起一个人工代码审查，揪出那些自动审查无法找出的问题，即验证业务需求，架构问题，代码是否可读，以及是否易于扩展。 可灵活配置代码审核策略，例如：如果某些人没有审查代码便阻止对主干分支的任何提交。 最常用的工具是Gerrit 持续交付 简述 持续交付简称CD或CDE，是一种能够使得软件在较短的循环中可靠的发布的软件工程方法 与持续集成相比，持续交付的重点在于 交付，其核心对象不在于代码，而在于可交付的产物。 由于持续集成仅仅针对于新旧代码的集成过程执行来了一定的测试，其变动到持续交付后还需要一些额外的流程 持续交付可以看作为是持续集成的下一步，它强调的是，不敢怎么更新，软件是随时随快可以交付的 有图可看出，持续交付在持续集成的基础上，将集成后的代码部署到更贴近真实的运行环境的[类生产环境]中 目的 持续交付永爱确保让代码能够快速、安全的部署到产品环境中，它通过将每一次改动都会提交到一个模拟产品环境中，使用严格的自动化测试，确保业务应用和服务能符合预期 好处 持续交付和持续集成的好处非常相似： 快速发布。能够应对业务需求，并更快地实现软件价值 编码→测试→上线→交付的频繁迭代周期缩短，同时获得迅速反馈 高质量的软件发布标准。整个交付过程标准化、可重复、可靠 整个交付过程进度可视化，方便团队人员了解项目完成度 更先进的团队协作方式。从需求分析、产品的用户体验到交互、设计、开发、测试、运维等角色密切协作，相比于传统的瀑布式软件团队，更少浪费 持续部署 简述 持续部署 意味着：通过自动化部署的手段将软件功能频繁的进行交付 持续部署是持续交付的下一步，指的是代码通过审批以后，自动化部署到生产环境。 持续部署是持续交付的最高阶段，这意味着，所有通过了一系列的自动化测试的改动都将自动部署到生产环境。它也可以被称为“Continuous Release” 持续化部署的目标是：代码在任何时候都是可部署的，可以进入生产阶段。 持续部署的前提是能自动化完成测试、构建、部署等步骤 注：持续交付不等于持续集成 与持续交付以及持续集成相比，持续部署强调了通过 automated deployment 的手段，对新的软件功能进行集成 目标 持续部署的目标是：代码在任何时刻都是可部署的，可以进入生产阶段 有很多的业务场景里，一种业务需要等待另外的功能特征出现才能上线，这是的持续部署成为不可能。虽然使用功能切换能解决很多这样的情况，但并不是没每次都会这样。所以，持续部署是否适合你的公司是基于你们的业务需求——而不是技术限制 优点 持续部署主要的好处是：可以相对独立地部署新的功能，并能快速地收集真实用户的反馈 敏捷开发 简述 敏捷开发就是一种以人为核心、迭代循环渐进的开发方式。 在敏捷开发中，软件仙姑的构建被切分成多个子项目，各个子项目的成果都经过测试，具备集成和可运行的特征。 简单的说就是把一个大的项目分为多个相互联系，但也可以独立运行的小项目，并分别完成，在此过程中软件一直处于可使用状态 注意事项 敏捷开的就是一种面临迅速变化的需求快速开发的能力，要注意一下几点： 敏捷开发不仅仅是一个项目快速完成，而是对整个产品领域需求的高效管理 敏捷开发不仅仅是简单的快，而是短周期的不断改进、提高和调整 敏捷开发不仅仅是一个版本只做几个功能，而是突出重点、果断放弃当前的非重要点 敏捷开发不仅仅是随时增加需求，而是每个迭代周期对需求的重新审核和排序 如何进行敏捷开发 1、组织建设 也就是团队建设，建立以产品经理为主导，包含产品、设计、前后台开发和测试的team，快速进行产品迭代开发；扁平化的团队管理，大家都有共同目标，更有成就感； 2、敏捷制度 要找准适合自身的敏捷开发方式，主要是制定一个完善的效率高的设计、开发、测试、上线流程，制定固定的迭代周期，让用户更有期待； 3、需求收集 这个任何方式下都需要有，需求一定要有交互稿，评审通过后，一定要确定功能需求列表、责任人、工作量、责任人等； 4、工具建设 是指能够快速完成某项事情的辅助工具，比如开发环境的一键安装，各种底层的日志、监控等平台，发布、打包工具等； 5、系统架构 略为超前架构设计：支持良好的扩容性和可维护性；组件化基础功能模块：代码耦合度低，模块间的依赖性小；插件化业务模块：降低营销活动与业务耦合度，自升级、自维护；客户端预埋逻辑；技术预研等等； 6、数据运营与灰度发布 点击率分析、用户路径分析、渠道选择、渠道升级控制等等 原则、特点和优势 敏捷开发技术的12个原则： 1．我们最优先要做的是通过尽早的、持续的交付有价值的软件来使客户满意。 2．即使到了开发的后期，也欢迎改变需求。 3．经常性地交付可以工作的软件，交付的间隔可以从几周到几个月，交付的时间间隔越短越好。 4．在整个项目开发期间，业务人员和开发人员必须天天都在一起工作。 5．围绕被激励起来的个人来构建项目。 6．在团队内部，最具有效果并且富有效率的传递信息的方法，就是面对面的交谈。 7．工作的软件是首要的进度度量标准。 8．敏捷过程提倡可持续的开发速度。 9．不断地关注优秀的技能和好的设计会增强敏捷能力。 10．简单使未完成的工作最大化。 11．最好的构架、需求和设计出自于自组织的团队。 12．每隔一定时间，团队会在如何才能更有效地工作方面进行反省，然后相应地对自己的行为进行调整。 特点： 个体和交互胜过过程和工具 可以工作的软件胜过面面俱到的文档 客户合作胜过合同谈判 响应变化胜过遵循计划 优势总结： 敏捷开发确实是项目进入实质开发迭代阶段，用户很快可以看到一个基线架构班的产品。敏捷注重市场快速反应能力，也即具体应对能力，客户前期满意度高 适用范围： 项目团队的人不能太多 项目经常发生变更 高风险的项目实施 开发人员可以参与决策 劣势总结： 敏捷开发注重人员的沟通 忽略文档的重要性 若项目人员流动太大，维护的时候很难 项目存在新手的比较多的时候，老员工会比较累 需要项目中存在经验较强的人，要不然大项目中容易遇到瓶颈问题 Open-falcon 简述 open-falcon是小米的监控系统，是一款企业级、高可用、可扩展的开源监控解决方案 公司用open-falcon来监控调度系统各种信息，便于监控各个节点的调度信息。在服务器安装了falcon-agent自动采集各项指标，主动上报 特点 强大灵活的数据采集 （自动发现，支持falcon-agent、snmp、支持用户主动push、用户自定义插件支持、opentsdb data model like（timestamp、endpoint、metric、key-value tags） ） 水平扩展能力 （支持每个周期上亿次的数据采集、告警判定、历史数据存储和查询 ） 高效率的告警策略管理 （高效的portal、支持策略模板、模板继承和覆盖、多种告警方式、支持callback调用 ） 人性化的告警设置 （最大告警次数、告警级别、告警恢复通知、告警暂停、不同时段不同阈值、支持维护周期 ） 高效率的graph组件 （单机支撑200万metric的上报、归档、存储（周期为1分钟） ） 高效的历史数据query组件 （采用rrdtool的数据归档策略，秒级返回上百个metric一年的历史数据 ） dashboard（面向用户的查询界面，可以看到push到graph中的所有数据，并查看数据发展趋势 ） （对维度的数据展示，用户自定义Screen） 高可用 （整个系统无核心单点，易运维，易部署，可水平扩展） 开发语言 （整个系统的后端，全部golang编写，portal和dashboard使用python编写。 ） 监控范围 Open-Falcon支持系统基础监控，第三方服务监控，JVM监控，业务应用监控 基础监控指的是Linux系统的指标监控，包括CPU、load、内存、磁盘、IO、网络等， 这些指标由Openfalcon的agent节点直接支持，无需插件 第三方服务监控指的是一些常见的服务监控，包括Mysql、Redis、Nginx等 OpenFalcon官网提供了很多第三方服务的监控插件，也可以自己实现插件，定义采集指标。而采集到的指标，也是通过插件先发送给agent，再由agent发送到OpenFalcon。 JVM监控主要通过插件完成，插件通过JVM开放的JMX通信端口，获取到JVM参数指标，并推送到agent节点，再由agent发送到OpenFalcon。 业务应用监控就是监控企业自主开发的应用服务 主要通过插件完成，插件通过JVM开放的JMX通信端口，获取到JVM参数指标，并推送到agent节点，再由agent发送到OpenFalcon。 数据流向 常见的OpenFalcon包含transfer、hbs、agent、judge、graph、API几个进程 以下是各个节点的数据流向图，主数据流向是agent -> transfer -> judge/graph： SNMP 简述 SNMP：简单网络管理协议，是TCP/IP协议簇 的一个应用层协议，由于SNMP的简单性，在Internet时代得到了蓬勃的发展 ，1992年发布了SNMPv2版本，以增强SNMPv1的安全性和功能。现在，已经有了SNMPv3版本（它对网络管理最大的贡献在于其安全性。增加了对认证和密文传输的支持 ）。 一套完整的SNMP系统主要包括：管理信息库（MIB）、管理信息结构（SMI）和 SNMP报文协议 为什么要用SNMP 作为运维人员，我们很大一部分的工作就是为了保证我们的网络能够正常、稳定的运行。因此监控，控制，管理各种网络设备成了我们日常的工作 优点和好处 优点: 简单易懂，部署的开销成本也小 ，正因为它足够简单，所以被广泛的接受，事实上它已经成为了主要的网络管理标准。在一个网络设备上实现SNMP的管理比绝大部分其他管理方式都简单直接。 好处： 标准化的协议：SNMP是TCP/IP网络的标准网络管理协议。 广泛认可：所有主流供应商都支持SNMP。 可移植性：SNMP独立于操作系统和编程语言。 轻量级：SNMP增强对设备的管理能力的同时不会对设备的操作方式或性能产生冲击。 可扩展性：在所有SNMP管理的设备上都会支持相同的一套核心操作集。 广泛部署：SNMP是最流行的管理协议，最为受设备供应商关注，被广泛部署在各种各样的设备上。 MIB、SMI和SNMP报文 MIB 管理信息库MIB：任何一个被管理的资源都表示成一个对象，称为被管理的对象。 MIB是被管理对象的集合。 它定义了被管理对象的一系列属性：对象的名称、对象的访问权限和对象的数据类型等。 每个SNMP设备（Agent）都有自己的MIB。 MIB也可以看作是NMS（网管系统）和Agent之间的沟通桥梁。 MIB文件中的变量使用的名字取自ISO和ITU管理的对象表示符命名空间，他是一个分级数的结构 SMI SMI定义了SNNMP框架多用信息的组织、组成和标识，它还未描述MIB对象和表述协议怎么交换信息奠定了基础 SMI定义的数据类型： 简单类型（simple）： Integer：整型是-2,147,483,648~2,147,483,647的有符号整数 octet string: 字符串是0~65535个字节的有序序列 OBJECT IDENTIFIER: 来自按照ASN.1规则分配的对象标识符集 简单结构类型（simple-constructed ）： SEQUENCE 用于列表。这一数据类型与大多数程序设计语言中的“structure”类似。一个SEQUENCE包括0个或更多元素，每一个元素又是另一个ASN.1数据类型 SEQUENCE OF type 用于表格。这一数据类型与大多数程序设计语言中的“array”类似。一个表格包括0个或更多元素，每一个元素又是另一个ASN.1数据类型。 应用类型（application-wide）： IpAddress: 以网络序表示的IP地址。因为它是一个32位的值，所以定义为4个字节； counter：计数器是一个非负的整数，它递增至最大值，而后回零。在SNMPv1中定义的计数器是32位的，即最大值为4，294，967，295； Gauge ：也是一个非负整数，它可以递增或递减，但达到最大值时保持在最大值，最大值为232-1； time ticks：是一个时间单位，表示以0.01秒为单位计算的时间； SNMP报文 SNMP规定了5种协议数据单元PDU（也就是SNMP报文），用来在管理进程和代理之间的交换。 get-request操作：从代理进程处提取一个或多个参数值。 get-next-request操作：从代理进程处提取紧跟当前参数值的下一个参数值。 set-request操作：设置代理进程的一个或多个参数值。 get-response操作：返回的一个或多个参数值。这个操作是由代理进程发出的，它是前面三种操作的响应操作。 trap操作：代理进程主动发出的报文，通知管理进程有某些事情发生。 操作命令 SNMP协议之所以易于使用，这是因为它对外提供了三种用于控制MIB对象的基本操作命令。它们是：Get、Set 和 Trap。 Get：管理站读取代理者处对象的值 Set：管理站设置代理者处对象的值 Trap： 代理者主动向管理站通报重要事件 SLA 简述 SLA（服务等级协议）：是关于网络服务供应商和客户之间的一份合同，其中定义了服务类型、服务质量和客户付款等术语 一个完整的SLA同时也是一个合法的文档，包括所涉及的当事人、协定条款(包含应用程序和支持的服务)、违约的处罚、费用和仲裁机构、政策、修改条款、报告形式和双方的义务等。同样服务提供商可以对用户在工作负荷和资源使用方面进行规定。 KPI 简述 KPI（关键绩效指标）：是通过对组织内部流程的输入端、输出端的关键参数进行设置、取样、计算、分析，衡量流程绩效的一种目标式量化管理指标，是把企业的战略目标分解为可操作的工作目标的工具，是企业绩效管理的基础。 KPI可以是部门主管明确部门的主要责任，并以此为基础，明确部门人员的业绩衡量指标，建立明确的切实可行的KPI体系，是做好绩效管理的关键。 KPI（关键绩效指标）是用于衡量工作人员工作绩效表现的量化指标，是绩效计划的重要组成部分 转载于:https://www.cnblogs.com/woshinideyugegea/p/11242034.html 本篇文章为转载内容。原文链接：https://blog.csdn.net/anqiongsha8211/article/details/101592137。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...t》中分析，96%的应用中包含有开源组件和代码，开源代码在应用全部代码中的占比约为57%，78%的应用中在引用的三方开源代码中存在历史漏洞。也就是说，现在互联网上所有厂商开发的软件、应用，其开发人员自己写的代码都是一少部分，多数都是借鉴来的。而这还只是可统计、可追溯的；至于上面提到的非规范的代码引用，如果也纳入进来考虑，三方代码占应用中的比例会上升到多少？曾经有分析认为至少占80%，我们只期望不会更高。 Ⅱ. 从碎片到乱刃：OpenSSH在野后门一览 在进行基础软件梳理时，回忆到反病毒安全软件提供商ESET在2018年十月发布的一份白皮书《THE DARK SIDE OF THE FORSSHE: A landscape of OpenSSH backdoors》。其站在一个具有广泛用户基础的软件提供商角度，给出了一份分析报告，数据和结论超出我们对于当前基础软件使用全景的估量。以下以我的角度对其中一方面进行解读。 一些必要背景 SSH的作用和重要性无需赘言；虽然我们站在传统互联网公司角度，可以认为SSH是通往生产服务器的生命通道，但当前多样化的产业环境已经不止于此（如之前libssh事件中，不幸被我言中的，SSH在网络设备、IoT设备上（如f5）的广泛使用）。 OpenSSH是目前绝大多数SSH服务端的基础软件，有完备的开发团队、发布规范、维护机制，本身是靠谱的。如同绝大多数基础软件开源项目的做法，OpenSSH对漏洞有及时的响应，针对最新版本代码发出安全补丁，但是各大Linux发行版使用的有各种版本的OpenSSH，这些社区自行负责将官方开发者的安全补丁移植到自己系统搭载的低版本代码上。天空彩 白皮书披露的现状 如果你是一个企业的运维管理人员，需要向企业生产服务器安装OpenSSH或者其它基础软件，最简单的方式当然是使用系统的软件管理安装即可。但是有时候，出于迁移成本考虑，可能企业需要在一个旧版本系统上，使用较新版本的OpenSSL、OpenSSH等基础软件，这些系统不提供，需要自行安装；或者需要一个某有种特殊特性的定制版本。这时，可能会选择从某些rpm包集中站下载某些不具名第三方提供的现成的安装包，或者下载非官方的定制化源码本地编译后安装，总之从这里引入了不确定性。 这种不确定性有多大？我们粗估一下，似乎不应成为问题。但这份白皮书给我们看到了鲜活的数据。 ESET研究人员从OpenSSH的一次历史大规模Linux服务端恶意软件Windigo中获得启示，采用某种巧妙的方式，面向在野的服务器进行数据采集，主要是系统与版本、安装的OpenSSH版本信息以及服务端程序文件的一个特殊签名。整理一个签名白名单，包含有所有能搜索到的官方发布二进制版本、各大Linux发行版本各个版本所带的程序文件版本，将这些标定为正常样本进行去除。最终结论是： ·共发现了几百个非白名单版本的OpenSSH服务端程序文件ssh和sshd； ·分析这些样本，将代码部分完全相同，仅仅是数据和配置不同的合并为一类，且分析判定确认有恶意代码的，共归纳为 21个各异的恶意OpenSSH家族； ·在21个恶意家族中，有12个家族在10月份时完全没有被公开发现分析过；而剩余的有一部分使用了历史上披露的恶意代码样本，甚至有源代码； ·所有恶意样本的实现，从实现复杂度、代码混淆和自我保护程度到代码特征有很大跨度的不同，但整体看，目的以偷取用户凭证等敏感信息、回连外传到攻击者为主，其中有的攻击者回连地址已经存在并活跃数年之久； ·这些后门的操控者，既有传统恶意软件黑产人员，也有APT组织； ·所有恶意软件或多或少都在被害主机上有未抹除的痕迹。ESET研究者尝试使用蜜罐引诱出攻击者，但仍有许多未解之谜。这场对抗，仍未取胜。 白皮书用了大篇幅做技术分析报告，此处供细节分析，不展开分析，以下为根据恶意程序复杂度描绘的21个家族图谱： 问题思考 问题引入的可能渠道，我在开头进行了一点推测，主要是由人的原因切入的，除此以外，最可能的是恶意攻击者在利用各种方法入侵目标主机后，主动替换了目标OpenSSH为恶意版本，从而达成攻击持久化操作。但是这些都是止血的安全运维人员该考虑的事情；关键问题是，透过表象，这显露了什么威胁形式？ 这个问题很好回答，之前也曾经反复说过：基础软件碎片化。 如上一章节简单提到，在开发过程中有各种可能的渠道引入开发者不完全了解和信任的代码；在运维过程中也是如此。二者互相作用，造成了软件碎片化的庞杂现状。在企业内部，同一份基础软件库，可能不同的业务线各自定制一份，放到企业私有软件仓库源中，有些会有人持续更新供自己产品使用，有些由系统软件基础设施维护人员单独维护，有些则可能是开发人员临时想起来上传的，他们自己都不记得；后续用到的这个基础软件的开发和团队，在这个源上搜索到已有的库，很大概率会倾向于直接使用，不管来源、是否有质量背书等。长此以往问题会持续发酵。而我们开最坏的脑洞，是否可能有黑产人员入职到内部，提交个恶意基础库之后就走人的可能？现行企业安全开发流程中审核机制的普遍缺失给这留下了空位。 将源码来源碎片化与二进制使用碎片化并起来考虑，我们不难看到一个远远超过OpenSSH事件威胁程度的图景。但这个问题不是仅仅靠开发阶段规约、运维阶段规范、企业内部管控、行业自查、政府监管就可以根除的，最大的问题归根结底两句话： 不可能用一场战役对抗持续威胁；不可能用有限分析对抗无限未知。 Ⅲ. 从自信到自省：RHEL、CentOS backport版本BIND漏洞 2018年12月20日凌晨，在备战冬至的软件供应链安全大赛决赛时，我注意到漏洞预警平台捕获的一封邮件。但这不是一个漏洞初始披露邮件，而是对一个稍早已披露的BIND在RedHat、CentOS发行版上特定版本的1day漏洞CVE-2018-5742，由BIND的官方开发者进行额外信息澄(shuǎi)清(guō)的邮件。 一些必要背景 关于BIND 互联网的一个古老而基础的设施是DNS，这个概念在读者不应陌生。而BIND“是现今互联网上最常使用的DNS软件，使用BIND作为服务器软件的DNS服务器约占所有DNS服务器的九成。BIND现在由互联网系统协会负责开发与维护参考。”所以BIND的基础地位即是如此，因此也一向被大量白帽黑帽反复测试、挖掘漏洞，其开发者大概也一直处在紧绷着应对的处境。 关于ISC和RedHat 说到开发者，上面提到BIND的官方开发者是互联网系统协会（ISC）。ISC是一个老牌非营利组织，目前主要就是BIND和DHCP基础设施的维护者。而BIND本身如同大多数历史悠久的互联网基础开源软件，是4个UCB在校生在DARPA资助下于1984年的实验室产物，直到2012年由ISC接管。 那么RedHat在此中是什么角色呢？这又要提到我之前提到的Linux发行版和自带软件维护策略。Red Hat Enterprise Linux（RHEL）及其社区版CentOS秉持着稳健的软件策略，每个大的发行版本的软件仓库，都只选用最必要且质量久经时间考验的软件版本，哪怕那些版本实在是老掉牙。这不是一种过分的保守，事实证明这种策略往往给RedHat用户在最新漏洞面前提供了保障——代码总是跑得越少，潜在漏洞越多。 但是这有两个关键问题。一方面，如果开源基础软件被发现一例有历史沿革的代码漏洞，那么官方开发者基本都只为其最新代码负责，在当前代码上推出修复补丁。另一方面，互联网基础设施虽然不像其上的应用那样爆发性迭代，但依然持续有一些新特性涌现，其中一些是必不可少的，但同样只在最新代码中提供。两个刚需推动下，各Linux发行版对长期支持版本系统的软件都采用一致的策略，即保持其基础软件在一个固定的版本，但对于这些版本软件的最新漏洞、必要的最新软件特性，由发行版维护者将官方开发者最新代码改动“向后移植”到旧版本代码中，即backport。这就是基础软件的“官宣”碎片化的源头。 讲道理，Linux发行版维护者与社区具有比较靠谱的开发能力和监督机制，backport又基本就是一些复制粘贴工作，应当是很稳当的……但真是如此吗？ CVE-2018-5742漏洞概况 CVE-2018-5742是一个简单的缓冲区溢出类型漏洞，官方评定其漏洞等级moderate，认为危害不大，漏洞修复不积极，披露信息不多，也没有积极给出代码修复patch和新版本rpm包。因为该漏洞仅在设置DEBUG_LEVEL为10以上才会触发，由远程攻击者构造畸形请求造成BIND服务崩溃，在正常的生产环境几乎不可能具有危害，RedHat官方也只是给出了用户自查建议。 这个漏洞只出现在RHEL和CentOS版本7中搭载的BIND 9.9.4-65及之后版本。RedHat同ISC的声明中都证实，这个漏洞的引入原因，是RedHat在尝试将BIND 9.11版本2016年新增的NTA机制向后移植到RedHat 7系中固定搭载的BIND 9.9版本代码时，偶然的代码错误。NTA是DNS安全扩展（DNSSEC）中，用于在特定域关闭DNSSEC校验以避免不必要的校验失败的机制；但这个漏洞不需要对NTA本身有进一步了解。 漏洞具体分析 官方没有给出具体分析，但根据CentOS社区里先前有用户反馈的bug，我得以很容易还原漏洞链路并定位到根本原因。 若干用户共同反馈，其使用的BIND 9.9.4-RedHat-9.9.4-72.el7发生崩溃（coredump），并给出如下的崩溃时调用栈backtrace： 这个调用过程的逻辑为，在9 dns_message_logfmtpacket函数判断当前软件设置是否DEBUG_LEVEL大于10，若是，对用户请求数据包做日志记录，先后调用8 dns_message_totext、7 dns_message_sectiontotext、6 dns_master_rdatasettotext、5 rdataset_totext将请求进行按协议分解分段后写出。 由以上关键调用环节，联动RedHat在9.9.4版本BIND源码包中关于引入NTA特性的源码patch，进行代码分析，很快定位到问题产生的位置，在上述backtrace中的5，masterdump.c文件rdataset_totext函数。漏洞相关代码片段中，RedHat进行backport后，这里引入的代码为： 这里判断对于请求中的注释类型数据，直接通过isc_buffer_putstr宏对缓存进行操作，在BIND工程中自定义维护的缓冲区结构对象target上，附加一字节字符串（一个分号）。而漏洞就是由此产生：isc_buffer_putstr中不做缓冲区边界检查保证，这里在缓冲区已满情况下将造成off-by-one溢出，并触发了缓冲区实现代码中的assertion。 而ISC上游官方版本的代码在这里是怎么写的呢？找到ISC版本BIND 9.11代码，这里是这样的： 这里可以看到，官方代码在做同样的“附加一个分号”这个操作时，审慎的使用了做缓冲区剩余空间校验的str_totext函数，并额外做返回值成功校验。而上述提到的str_totext函数与RETERR宏，在移植版本的masterdump.c中，RedHat开发者也都做了保留。但是，查看代码上下文发现，在RedHat开发者进行代码移植过程中，对官方代码进行了功能上的若干剪裁，包括一些细分数据类型记录的支持；而这里对缓冲区写入一字节，也许开发者完全没想到溢出的可能，所以自作主张地简化了代码调用过程。 问题思考 这个漏洞本身几乎没什么危害，但是背后足以引起思考。 没有人在“借”别人代码时能不出错 不同于之前章节提到的那种场景——将代码文件或片段复制到自己类似的代码上下文借用——backport作为一种官方且成熟的做法，借用的代码来源、粘贴到的代码上下文，是具有同源属性的，而且开发者一般是追求稳定性优先的社区开发人员，似乎质量应该有足够保障。但是这里的关键问题是：代码总要有一手、充分的语义理解，才能有可信的使用保障；因此，只要是处理他人的代码，因为不够理解而错误使用的风险，只可能减小，没办法消除。 如上分析，本次漏洞的产生看似只是做代码移植的开发者“自作主张”之下“改错了”。但是更广泛且可能的情况是，原始开发者在版本迭代中引入或更新大量基础数据结构、API的定义，并用在新的特性实现代码中；而后向移植开发人员仅需要最小规模的功能代码，所以会对增量代码进行一定规模的修改、剪裁、还原，以此适应旧版本基本代码。这些过程同样伴随着第三方开发人员不可避免的“望文生义”，以及随之而来的风险。后向移植操作也同样助长了软件碎片化过程，其中每一个碎片都存在这样的问题；每一个碎片在自身生命周期也将有持续性影响。 多级复制粘贴无异于雪上加霜 这里简单探讨的是企业通行的系统和基础软件建设实践。一些国内外厂商和社区发布的定制化Linux发行版，本身是有其它发行版，如CentOS特定版本渊源的，在基础软件上即便同其上游发行版最新版本间也存在断层滞后。RedHat相对于基础软件开发者之间已经隔了一层backport，而我们则人为制造了二级风险。 在很多基础而关键的软件上，企业系统基础设施的维护者出于与RedHat类似的初衷，往往会决定自行backport一份拷贝；通过早年心脏滴血事件的洗礼，即暴露出来OpenSSL一个例子。无论是需要RHEL还没来得及移植的新版本功能特性，还是出于对特殊使用上下文场景中更高执行效率的追求，企业都可能自行对RHEL上基础软件源码包进行修改定制重打包。这个过程除了将风险幂次放大外，也进一步加深了代码的不可解释性（包括基础软件开发人员流动性带来的不可解释）。 Ⅳ. 从武功到死穴：从systemd-journald信息泄露一窥API误用 1月10日凌晨两点，漏洞预警平台爬收取一封漏洞披露邮件。披露者是Qualys，那就铁定是重型发布了。最后看披露漏洞的目标，systemd？这就非常有意思了。 一些必要背景 systemd是什么，不好简单回答。Linux上面软件命名，习惯以某软件名后带个‘d’表示后台守护管理程序；所以systemd就可以说是整个系统的看守吧。而即便现在描述了systemd是什么，可能也很快会落伍，因为其初始及核心开发者Lennart Poettering（供职于Red Hat）描述它是“永无开发完结完整、始终跟进技术进展的、统一所有发行版无止境的差异”的一种底层软件。笼统讲有三个作用：中央化系统及设置管理；其它软件开发的基础框架；应用程序和系统内核之间的胶水。如今几乎所有Linux发行版已经默认提供systemd，包括RHEL/CentOS 7及后续版本。总之很基础、很底层、很重要就对了。systemd本体是个主要实现init系统的框架，但还有若干关键组件完成其它工作；这次被爆漏洞的是其journald组件，是负责系统事件日志记录的看守程序。 额外地还想简单提一句Qualys这个公司。该公司创立于1999年，官方介绍为信息安全与云安全解决方案企业，to B的安全业务非常全面，有些也是国内企业很少有布局的方面；例如上面提到的涉及碎片化和代码移植过程的历史漏洞移动，也在其漏洞管理解决方案中有所体现。但是我们对这家公司粗浅的了解来源于其安全研究团队近几年的发声，这两年间发布过的，包括有『stack clash』、『sudo get_tty_name提权』、『OpenSSH信息泄露与堆溢出』、『GHOST：glibc gethostbyname缓冲区溢出』等大新闻（仅截至2017年年中）。从中可见，这个研究团队专门啃硬骨头，而且还总能开拓出来新的啃食方式，往往爆出来一些别人没想到的新漏洞类型。从这个角度，再联想之前刷爆朋友圈的《安全研究者的自我修养》所倡导的“通过看历史漏洞、看别人的最新成果去举一反三”的理念，可见差距。 CVE-2018-16866漏洞详情 这次漏洞披露，打包了三个漏洞： ·16864和16865是内存破坏类型 ·16866是信息泄露 ·而16865和16866两个漏洞组和利用可以拿到root shell。 漏洞分析已经在披露中写的很详细了，这里不复述；而针对16866的漏洞成因来龙去脉，Qualys跟踪的结果留下了一点想象和反思空间，我们来看一下。 漏洞相关代码片段是这样的（漏洞修复前）： 读者可以先肉眼过一遍这段代码有什么问题。实际上我一开始也没看出来，向下读才恍然大悟。 这段代码中，外部信息输入通过buf传入做记录处理。输入数据一般包含有空白字符间隔，需要分隔开逐个记录，有效的分隔符包括空格、制表符、回车、换行，代码中将其写入常量字符串；在逐字符扫描输入数据字符串时，将当前字符使用strchr在上述间隔符字符串中检索是否匹配，以此判断是否为间隔符；在240行，通过这样的判断，跳过记录单元字符串的头部连续空白字符。 但是问题在于，strchr这个极其基础的字符串处理函数，对于C字符串终止字符'\0'的处理上有个坑：'\0'也被认为是被检索字符串当中的一个有效字符。所以在240行，当当前扫描到的字符为字符串末尾的NULL时，strchr返回的是WHITESPACE常量字符串的终止位置而非NULL，这导致了越界。 看起来，这是一个典型的问题：API误用（API mis-use），只不过这个被误用的库函数有点太基础，让我忍不住想是不是还会有大量的类似漏洞……当然也反思我自己写的代码是不是也有同样情况，然而略一思考就释然了——我那么笨的代码都用for循环加if判断了:) 漏洞引入和消除历史 有意思的是，Qualys研究人员很贴心地替我做了一步漏洞成因溯源，这才是单独提这个漏洞的原因。漏洞的引入是在2015年的一个commit中： 在GitHub中，定位到上述2015年的commit信息，这里commit的备注信息为： journald: do not strip leading whitespace from messages. Keep leading whitespace for compatibility with older syslog implementations. Also useful when piping formatted output to the logger command. Keep removing trailing whitespace. OK，看起来是一个兼容性调整，对记录信息不再跳过开头所有连续空白字符，只不过用strchr的简洁写法比较突出开发者精炼的开发风格（并不），说得过去。 之后在2018年八月的一个当时尚未推正式版的另一次commit中被修复了，先是还原成了ec5ff4那次commit之前的写法，然后改成了加校验的方式： 虽然Qualys研究者认为上述的修改是“无心插柳”的改动，但是在GitHub可以看到，a6aadf这次commit是因为有外部用户反馈了输入数据为单个冒号情况下journald堆溢出崩溃的issue，才由开发者有目的性地修复的；而之后在859510这个commit再次改动回来，理由是待记录的消息都是使用单个空格作为间隔符的，而上一个commit粗暴地去掉了这种协议兼容性特性。 如果没有以上纠结的修改和改回历史，也许我会倾向于怀疑，在最开始漏洞引入的那个commit，既然改动代码没有新增功能特性、没有解决什么问题（毕竟其后三年，这个改动的代码也没有被反映issue），也并非出于代码规范等考虑，那么这么轻描淡写的一次提交，难免有人为蓄意引入漏洞的嫌疑。当然，看到几次修复的原因，这种可能性就不大了，虽然大家仍可以保留意见。但是抛开是否人为这个因素，单纯从代码的漏洞成因看，一个传统但躲不开的问题仍值得探讨：API误用。 API误用：程序员何苦为难程序员 如果之前的章节给读者留下了我反对代码模块化和复用的印象，那么这里需要正名一下，我们认可这是当下开发实践不可避免的趋势，也增进了社会开发速度。而API的设计决定了写代码和用代码的双方“舒适度”的问题，由此而来的API误用问题，也是一直被当做单纯的软件工程课题讨论。在此方面个人并没有什么研究，自然也没办法系统地给出分类和学术方案，只是谈一下自己的经验和想法。 一篇比较新的学术文章总结了API误用的研究，其中一个独立章节专门分析Java密码学组件API误用的实际，当中引述之前论文认为，密码学API是非常容易被误用的，比如对期望输入数据（数据类型，数据来源，编码形式）要求的混淆，API的必需调用次序和依赖缺失（比如缺少或冗余多次调用了初始化函数、主动资源回收函数）等。凑巧在此方面我有一点体会：曾经因为业务方需要，需要使用C++对一个Java的密码基础中间件做移植。Java对密码学组件支持，有原生的JDK模块和权威的BouncyCastle包可用；而C/C++只能使用第三方库，考虑到系统平台最大兼容和最小代码量，使用Linux平台默认自带的OpenSSL的密码套件。但在开发过程中感受到了OpenSSL满满的恶意：其中的API设计不可谓不反人类，很多参数没有明确的说明（比如同样是表示长度的函数参数，可能在不同地方分别以字节/比特/分组数为计数单位）；函数的线程安全没有任何解释标注，需要自行试验；不清楚函数执行之后，是其自行做了资源释放还是需要有另外API做gc，不知道资源释放操作时是否规规矩矩地先擦除后释放……此类问题不一而足，导致经过了漫长的测试之后，这份中间件才提供出来供使用。而在业务场景中，还会存在比如其它语言调用的情形，这些又暴露出来OpenSSL API误用的一些完全无从参考的问题。这一切都成为了噩梦；当然这无法为我自己开解是个不称职开发的指责，但仅就OpenSSL而言其API设计之恶劣也是始终被人诟病的问题，也是之后其他替代者宣称改进的地方。 当然，问题是上下游都脱不了干系的。我们自己作为高速迭代中的开发人员，对于二方、三方提供的中间件、API，又有多少人能自信地说自己仔细、认真地阅读过开发指南和API、规范说明呢？做过通用产品技术运营的朋友可能很容易理解，自己产品的直接用户日常抛出不看文档的愚蠢问题带来的困扰。对于密码学套件，这个问题还好办一些，毕竟如果在没有背景知识的情况下对API望文生义地一通调用，绝大多数情况下都会以抛异常形式告终；但还是有很多情况，API误用埋下的是长期隐患。 不是所有API误用情形最终都有机会发展成为可利用的安全漏洞，但作为一个由人的因素引入的风险，这将长期存在并困扰软件供应链（虽然对安全研究者、黑客与白帽子是很欣慰的事情）。可惜，传统的白盒代码扫描能力，基于对代码语义的理解和构建，但是涉及到API则需要预先的抽象，这一点目前似乎仍然是需要人工干预的事情；或者轻量级一点的方案，可以case by case地分析，为所有可能被误用的API建模并单独扫描，这自然也有很强局限性。在一个很底层可信的开发者还对C标准库API存在误用的现实内，我们需要更多的思考才能说接下来的解法。 Ⅴ. 从规则到陷阱：NASA JIRA误配置致信息泄露血案 软件的定义包括了代码组成的程序，以及相关的配置、文档等。当我们说软件的漏洞、风险时，往往只聚焦在其中的代码中；关于软件供应链安全风险，我们的比赛、前面分析的例子也都聚焦在了代码的问题；但是真正的威胁都来源于不可思议之处，那么代码之外有没有可能存在来源于上游的威胁呢？这里就借助实例来探讨一下，在“配置”当中可能栽倒的坑。 引子：发不到500英里以外的邮件？ 让我们先从一个轻松愉快的小例子引入。这个例子初见于Linux中国的一篇译文。 简单说，作者描述了这么一个让人啼笑皆非的问题：单位的邮件服务器发送邮件，发送目标距离本地500英里范围之外的一律失败，邮件就像悠悠球一样只能飞出一定距离。这个问题本身让描述者感到尴尬，就像一个技术人员被老板问到“为什么从家里笔记本上Ctrl-C后不能在公司台式机上Ctrl-V”一样。 经过令人窒息的分析操作后，笔者定位到了问题原因：笔者作为负责的系统管理员，把SunOS默认安装的Senmail从老旧的版本5升级到了成熟的版本8，且对应于新版本诸多的新特性进行了对应配置，写入配置文件sendmail.cf；但第三方服务顾问在对单位系统进行打补丁升级维护时，将系统软件“升级”到了系统提供的最新版本，因此将Sendmail实际回退到了版本5，却为了软件行为一致性，原样保留了高版本使用的配置文件。但Sendmail并没有在大版本间保证配置文件兼容性，这导致很多版本5所需的配置项不存在于保留下来的sendmail.cf文件中，程序按默认值0处理；最终引起问题的就是，邮件服务器与接收端通信的超时时间配置项，当取默认配置值0时，邮件服务器在1个单位时间（约3毫秒）内没有收到网络回包即认为超时，而这3毫秒仅够电信号打来回飞出500英里。 这个“故事”可能会给技术人员一点警醒，错误的配置会导致预期之外的软件行为，但是配置如何会引入软件供应链方向的安全风险呢？这就引出了下一个重磅实例。 JIRA配置错误致NASA敏感信息泄露案例 我们都听过一个事情，马云在带队考察美国公司期间问Google CEO Larry Page自视谁为竞争对手，Larry的回答是NASA，因为最优秀的工程师都被NASA的梦想吸引过去了。由此我们显然能窥见NASA的技术水位之高，这样的人才团队大概至少是不会犯什么低级错误的。 但也许需要重新定义“低级错误”……1月11日一篇技术文章披露，NASA某官网部署使用的缺陷跟踪管理系统JIRA存在错误的配置，可分别泄漏内部员工（JIRA系统用户）的全部用户名和邮件地址，以及内部项目和团队名称到公众，如下： 问题的原因解释起来也非常简单：JIRA系统的过滤器和配置面板中，对于数据可见性的配置选项分别选定为All users和Everyone时，系统管理人员想当然地认为这意味着将数据对所有“系统用户”开放查看，但是JIRA的这两个选项的真实效果逆天，是面向“任意人”开放，即不限于系统登录用户，而是任何查看页面的人员。看到这里，我不厚道地笑了……“All users”并不意味着“All ‘users’”，意不意外，惊不惊喜？ 但是这种字面上把戏，为什么没有引起NASA工程师的注意呢，难道这样逆天的配置项没有在产品手册文档中加粗标红提示吗？本着为JIRA产品设计找回尊严的态度，我深入挖掘了一下官方说明，果然在Atlassian官方的一份confluence文档（看起来更像是一份增补的FAQ）中找到了相关说明： 所有未登录访客访问时，系统默认认定他们是匿名anonymous用户，所以各种权限配置中的all users或anyone显然应该将匿名用户包括在内。在7.2及之后版本中，则提供了“所有登录用户”的选项。 可以说是非常严谨且贴心了。比较讽刺的是，在我们的软件供应链安全大赛·C源代码赛季期间，我们设计圈定的恶意代码攻击目标还包括JIRA相关的敏感信息的窃取，但是却想不到有这么简单方便的方式，不动一行代码就可以从JIRA中偷走数据。 软件的使用，你“配”吗？ 无论是开放的代码还是成型的产品，我们在使用外部软件的时候，都是处于软件供应链下游的消费者角色，为了要充分理解上游开发和产品的真实细节意图，需要我们付出多大的努力才够“资格”？ 上一章节我们讨论过源码使用中必要细节信息缺失造成的“API误用”问题，而软件配置上的“误用”问题则复杂多样得多。从可控程度上讨论，至少有这几种因素定义了这个问题： ·软件用户对必要配置的现有文档缺少了解。这是最简单的场景，但又是完全不可避免的，这一点上我们所有有开发、产品或运营角色经验的应该都曾经体会过向不管不顾用户答疑的痛苦，而所有软件使用者也可以反省一下对所有软件的使用是否都以完整细致的文档阅读作为上手的准备工作，所以不必多说。 ·软件拥有者对配置条目缺少必要明确说明文档。就JIRA的例子而言，将NASA工程师归为上一条错误有些冤枉，而将JIRA归为这条更加合适。在边角但重要问题上的说明通过社区而非官方文档形式发布是一种不负责任的做法，但未引发安全事件的情况下还有多少这样的问题被默默隐藏呢？我们没办法要求在使用软件之前所有用户将软件相关所有文档、社区问答实现全部覆盖。这个问题范围内一个代表性例子是对配置项的默认值以及对应效果的说明缺失。 ·配置文件版本兼容性带来的误配置和安全问题。实际上，上面的SunOS Sendmail案例足以点出这个问题的存在性，但是在真实场景下，很可能不会以这么戏剧性形式出现。在企业的系统运维中，系统的版本迭代常见，但为软件行为一致性，配置的跨版本迁移是不可避免的操作；而且软件的更新迭代也不只会由系统更新推动，还有大量出于业务性能要求而主动进行的定制化升级，对于中小企业基础设施建设似乎是一个没怎么被提及过的问题。 ·配置项组合冲突问题。尽管对于单个配置项可能明确行为与影响，但是特定的配置项搭配可能造成不可预知的效果。这完全有可能是由于开发者与用户在信息不对等的情况下产生：开发者认为用户应该具有必需的背景知识，做了用户应当具备规避配置冲突能力的假设。一个例子是，对称密码算法在使用ECB、CBC分组工作模式时，从密码算法上要求输入数据长度必须是分组大小的整倍数，但如果用户搭配配置了秘钥对数据不做补齐（nopadding），则引入了非确定性行为：如果密码算法库对这种组合配置按某种默认补齐方式操作数据则会引起歧义，但如果在算法库代码层面对这种组合抛出错误则直接影响业务。 ·程序对配置项处理过程的潜在暗箱操作。这区别于简单的未文档化配置项行为，仅特指可能存在的蓄意、恶意行为。从某种意义上，上述“All users”也可以认为是这样的一种陷阱，通过浅层次暗示，引导用户做出错误且可能引起问题的配置。另一种情况是特定配置组合情况下触发恶意代码的行为，这种触发条件将使恶意代码具有规避检测的能力，且在用户基数上具有一定概率的用户命中率。当然这种情况由官方开发者直接引入的可能性很低，但是在众包开发的情况下如果存在，那么扫描方案是很难检测的。 Ⅵ. 从逆流到暗流：恶意代码溯源后的挑战 如果说前面所说的种种威胁都是面向关键目标和核心系统应该思考的问题，那么最后要抛出一个会把所有人拉进赛场的理由。除了前面所有那些在软件供应链下游被动污染受害的情况，还有一种情形：你有迹可循的代码，也许在不经意间会“反哺”到黑色产业链甚至特殊武器中；而现在研究用于对程序进行分析和溯源的技术，则会让你陷入百口莫辩的境地。 案例：黑产代码模块溯源疑云 1月29日，猎豹安全团队发布技术分析通报文章《电信、百度客户端源码疑遭泄漏，驱魔家族窃取隐私再起波澜》，矛头直指黑产上游的恶意信息窃取代码模块，认定其代码与两方产品存在微妙的关联：中国电信旗下“桌面3D动态天气”等多款软件，以及百度旗下“百度杀毒”等软件（已不可访问）。 文章中举证有三个关键点。 首先最直观的，是三者使用了相同的特征字符串、私有文件路径、自定义内部数据字段格式； 其次，在关键代码位置，三者在二进制程序汇编代码层面具有高度相似性； 最终，在一定范围的非通用程序逻辑上，三者在经过反汇编后的代码语义上显示出明显的雷同，并提供了如下两图佐证（图片来源）： 文章指出的涉事相关软件已经下线，对于上述样本文件的相似度试验暂不做复现，且无法求证存在相似、疑似同源的代码在三者中占比数据。对于上述指出的代码雷同现象，猎豹安全团队认为： 我们怀疑该病毒模块的作者通过某种渠道(比如“曾经就职”)，掌握有中国电信旗下部分客户端/服务端源码，并加以改造用于制作窃取用户隐私的病毒，另外在该病毒模块的代码中，我们还发现“百度”旗下部分客户端的基础调试日志函数库代码痕迹，整个“驱魔”病毒家族疑点重重，其制作传播背景愈发扑朔迷离。 这样的推断，固然有过于直接的依据（例如三款代码中均使用含有“baidu”字样的特征注册表项）；但更进一步地，需要注意到，三个样本在所指出的代码位置，具有直观可见的二进制汇编代码结构的相同，考虑到如果仅仅是恶意代码开发者先逆向另外两份代码后借鉴了代码逻辑，那么在面临反编译、代码上下文适配重构、跨编译器和选项的编译结果差异等诸多不确定环节，仍能保持二进制代码的雷同，似乎确实是只有从根本上的源代码泄漏（抄袭）且保持相同的开发编译环境才能成立。 但是我们却又无法做出更明确的推断。这一方面当然是出于严谨避免过度解读；而从另一方面考虑，黑产代码的一个关键出发点就是“隐藏自己”，而这里居然如此堂而皇之地照搬了代码，不但没有进行任何代码混淆、变形，甚至没有抹除疑似来源的关键字符串，如果将黑产视为智商在线的对手，那这里背后是否有其它考量，就值得琢磨了。 代码的比对、分析、溯源技术水准 上文中的安全团队基于大量样本和粗粒度比对方法，给出了一个初步的判断和疑点。那么是否有可能获得更确凿的分析结果，来证实或证伪同源猜想呢？ 无论是源代码还是二进制，代码比对技术作为一种基础手段，在软件供应链安全分析上都注定仍然有效。在我们的软件供应链安全大赛期间，针对PE二进制程序类型的题目，参赛队伍就纷纷采用了相关技术手段用于目标分析，包括：同源性分析，用于判定与目标软件相似度最高的同软件官方版本；细粒度的差异分析，用于尝试在忽略编译差异和特意引入的混淆之外，定位特意引入的恶意代码位置。当然，作为比赛中针对性的应对方案，受目标和环境引导约束，这些方法证明了可行性，却难以保证集成有最新技术方案。那么做一下预言，在不计入情报辅助条件下，下一代的代码比对将能够到达什么水准？ 这里结合近一年和今年内，已发表和未发表的学术领域顶级会议的相关文章来简单展望： ·针对海量甚至全量已知源码，将可以实现准确精细化的“作者归属”判定。在ACM CCS‘18会议上曾发表的一篇文章《Large-Scale and Language-Oblivious Code Authorship Identification》，描述了使用RNN进行大规模代码识别的方案，在圈定目标开发者，并预先提供每个开发者的5-7份已知的代码文件后，该技术方案可以很有效地识别大规模匿名代码仓库中隶属于每个开发者的代码：针对1600个Google Code Jam开发者8年间的所有代码可以实现96%的成功识别率，而针对745个C代码开发者于1987年之后在GitHub上面的全部公开代码仓库，识别率也高达94.38%。这样的结果在当下的场景中，已经足以实现对特定人的代码识别和跟踪（例如，考虑到特定开发人员可能由于编码习惯和规范意识，在时间和项目跨度上犯同样的错误）；可以预见，在该技术方向上，完全可以期望摆脱特定已知目标人的现有数据集学习的过程，并实现更细粒度的归属分析，例如代码段、代码行、提交历史。 ·针对二进制代码，更准确、更大规模、更快速的代码主程序分析和同源性匹配。近年来作为一项程序分析基础技术研究，二进制代码相似性分析又重新获得了学术界和工业界的关注。在2018年和2019（已录用）的安全领域四大顶级会议上，每次都会有该方向最新成果的展示，如S&P‘2019上录用的《Asm2Vec: Boosting Static Representation Robustness for Binary Clone Search against Code Obfuscation and Compiler Optimization》，实现无先验知识的条件下的最优汇编代码级别克隆检测，针对漏洞库的漏洞代码检测可实现0误报、100%召回。而2018年北京HITB会议上，Google Project Zero成员、二进制比对工具BinDiff原始作者Thomas Dullien，探讨了他借用改造Google自家SimHash算法思想，用于针对二进制代码控制流图做相似性检测的尝试和阶段结果；这种引入规模数据处理的思路，也可期望能够在目前其他技术方案大多精细化而低效的情况下，为高效、快速、大规模甚至全量代码克隆检测勾出未来方案。 ·代码比对方案对编辑、优化、变形、混淆的对抗。近年所有技术方案都以对代码“变种”的检测有效性作为关键衡量标准，并一定程度上予以保证。上文CCS‘18论文工作，针对典型源代码混淆（如Tigress）处理后的代码，大规模数据集上可有93.42%的准确识别率；S&P‘19论文针对跨编译器和编译选项、业界常用的OLLVM编译时混淆方案进行试验，在全部可用的混淆方案保护之下的代码仍然可以完成81%以上的克隆检测。值得注意的是以上方案都并非针对特定混淆方案单独优化的，方法具有通用价值；而除此以外还有很多针对性的的反混淆研究成果可用；因此，可以认为在采用常规商用代码混淆方案下，即便存在隐藏内部业务逻辑不被逆向的能力，但仍然可以被有效定位代码复用和开发者自然人。 代码溯源技术面前的“挑战” 作为软件供应链安全的独立分析方，健壮的代码比对技术是决定性的基石；而当脑洞大开，考虑到行业的发展，也许以下两种假设的情景，将把每一个“正当”的产品、开发者置于尴尬的境地。 代码仿制 在本章节引述的“驱魔家族”代码疑云案例中，黑产方面通过某种方式获得了正常代码中，功能逻辑可以被自身复用的片段，并以某种方法将其在保持原样的情况下拼接形成了恶意程序。即便在此例中并非如此，但这却暴露了隐忧：将来是不是有这种可能，我的正常代码被泄漏或逆向后出现在恶意软件中，被溯源后扣上黑锅？ 这种担忧可能以多种渠道和形式成为现实。 从上游看，内部源码被人为泄漏是最简单的形式（实际上，考虑到代码的完整生命周期似乎并没有作为企业核心数据资产得到保护，目前实质上有没有这样的代码在野泄漏还是个未知数），而通过程序逆向还原代码逻辑也在一定程度上可获取原始代码关键特征。 从下游看，则可能有多种方式将恶意代码伪造得像正常代码并实现“碰瓷”。最简单地，可以大量复用关键代码特征（如字符串，自定义数据结构，关键分支条件，数据记录和交换私有格式等）。考虑到在进行溯源时，分析者实际上不需要100%的匹配度才会怀疑，因此仅仅是仿造原始程序对于第三方公开库代码的特殊定制改动，也足以将公众的疑点转移。而近年来类似自动补丁代码搜索生成的方案也可能被用来在一份最终代码中包含有二方甚至多方原始代码的特征和片段。 基于开发者溯源的定点渗透 既然在未来可能存在准确将代码与自然人对应的技术，那么这种技术也完全可能被黑色产业利用。可能的忧患包括强针对性的社会工程，结合特定开发者历史代码缺陷的漏洞挖掘利用，联动第三方泄漏人员信息的深层渗透，等等。这方面暂不做联想展开。 〇. 没有总结 作为一场旨在定义“软件供应链安全”威胁的宣言，阿里安全“功守道”大赛将在后续给出详细的分解和总结，其意义价值也许会在一段时间之后才能被挖掘。 但是威胁的现状不容乐观，威胁的发展不会静待；这一篇随笔仅仅挑选六个侧面做摘录分析，可即将到来的趋势一定只会进入更加发散的境地，因此这里，没有总结。 本篇文章为转载内容。原文链接：https://blog.csdn.net/systemino/article/details/90114743。 该文由互联网用户投稿提供，文中观点代表作者本人意见，并不代表本站的立场。 作为信息平台，本站仅提供文章转载服务，并不拥有其所有权，也不对文章内容的真实性、准确性和合法性承担责任。 如发现本文存在侵权、违法、违规或事实不符的情况，请及时联系我们，我们将第一时间进行核实并删除相应内容。

...）等Vue高级特性的应用场景，帮助开发者提升组件化开发效率。 另外，InfoQ的一篇报道《Vue.js在大型项目中的CSS类管理策略》也值得一看，文中不仅回顾了v-bind:class的基本用法，还分享了一些实际项目中如何结合模块化、CSS预处理器等工具进行复杂场景下的class动态管理，这对于面临大规模应用架构挑战的前端开发者具有很高的参考价值。 最后，Vue社区的一些教程如"Vue Conditional Classes: The Complete Guide"，提供了大量实战案例，引导读者逐步掌握条件class的各种绑定技巧，包括但不限于基于状态切换、事件驱动、以及与其他Vue指令如v-if、v-for等协同工作的方法，为读者深化Vue技能树提供有力支撑。

...操作系统平台而被广泛应用于网站开发、企业级应用系统以及各种需要持久化存储数据的应用场景。 关系型数据库管理系统(RDBMS) , 关系型数据库管理系统是一种建立在关系模型基础上的软件系统，它能通过表格、列和行的形式来组织、存储和管理数据，并利用SQL（Structured Query Language）语句进行数据操作。在文章中，MySQL即是一个典型的关系型数据库管理系统，通过它可以创建多个相互关联的数据库，确保数据的一致性和完整性。 SQL , SQL（Structured Query Language）是一种标准化的编程语言，用于管理和处理关系型数据库中的数据。在本文所描述的MySQL环境中，用户使用SQL命令来与数据库交互，例如“CREATE DATABASE”用于创建新的数据库，“SHOW DATABASES”则用于查看所有已存在的数据库列表。SQL语言不仅包括数据定义语言（DDL，如创建表或数据库），还包括数据操作语言（DML，如插入、更新和删除记录）以及数据查询语言（DQL，如SELECT语句）。

...统参数。可以通过以下命令启动 MySQL 终端： mysql -u username -p password 然后键入你的账户名和口令。接下来，键入以下命令： SHOW VARIABLES; 这将展示 MySQL 现有的系统参数及其数值。 2. 变更系统参数 要变更 MySQL 的系统参数，可以使用以下命令： SET GLOBAL VARIABLE_NAME=value; 其中，VARIABLE_NAME 是你想要变更的系统参数的名字，value 是你要将其配置为的数值。比如，要将 max_connections 系统参数配置为 200，可以键入以下命令： SET GLOBAL max_connections=200; 3. 配置永久系统参数 要使所做的更改在 MySQL 重启后持续保留，请将其写入 MySQL 的 my.cnf 文件。该文件包括了 MySQL 的配置配置，包括系统参数。 可以使用以下命令启动该文件进行编辑： sudo vi /etc/mysql/my.cnf 在文件中找到你要更改的参数，并进行变更。比如，若要将 max_connections 系统参数配置为 200，可以使用以下命令： max_connections=200 然后保存文件并重启 MySQL 服务： sudo service mysql restart 现在， MySQL 应该以 200 为最大并发连接数来运行了。 总结 本文介绍了如何配置 MySQL 的系统参数。首先要查看现有的系统参数，然后变更它们。要确保所做的更改在 MySQL 重启后持续保留，请将其写入 MySQL 的 my.cnf 文件。下次你需要配置 MySQL 系统参数时，不妨试试这些方法吧。

...r是一种普遍的虚拟化工具，可以轻松地将应用程序封装在容器中以进行部署。有时，我们要求将一个目录放入Docker容器中。在这篇文章中，我们将介绍如何将目录放入Docker容器中。 首先，我们要求建立一个目录来保存我们要放入Docker容器的文件。假定我们把这个目录命名为myfolder。 $ mkdir myfolder 接下来，我们要求建立一个Dockerfile文件。Dockerfile文件是一个文本文件，其中包括用于创建Docker映像的命令。在这里，我们将采用COPY命令将myfolder目录移动到Docker容器中。下面是一个简单的Dockerfile示例： FROM ubuntu:latest COPY myfolder /myfolder 在此Dockerfile中，我们选择了最新版本的Ubuntu作为我们的操作系统。我们采用COPY命令将myfolder目录移动到容器的根目录下。现在，我们可以采用Docker命令创建这个映像了： $ docker build -t myimage . 在这个命令中，我们采用了-t选项来标明映像的名字，.是Dockerfile所在的目录。接下来，我们可以采用docker run命令来启动容器并运行我们的应用程序： $ docker run -it --rm myimage /bin/bash --rm选项表示容器在退出后应自动删除。在容器启动后，我们可以通过执行以下命令来检查myfolder目录是否已成功移动到容器中： $ ls / 如果您看到myfolder目录出现在列表中，那么您已经成功将目录放入了Docker容器中。

...术在主流硬件平台上的应用得到了进一步拓宽。这一举措不仅简化了开发人员在不同架构间迁移应用程序的过程，也为大量使用x86服务器的企业带来了显著的灵活性和成本效益。 实际上，在当前云计算和微服务架构盛行的时代背景下，跨平台能力对于任何一款容器化工具而言都至关重要。近日，有业内专家指出，Docker对x86的支持优化将进一步巩固其在企业级IT基础设施中的地位，尤其在混合云部署、持续集成/持续部署(CI/CD)流程以及边缘计算等场景下将发挥更大作用。 此外，值得注意的是，尽管Docker为x86架构提供了原生级别的支持，但在ARM等其他架构上，Docker也同样展现出强大的适应性和性能表现。这与Docker倡导的“一次构建，到处运行”理念相得益彰，意味着用户可以期待在未来享受到更加无缝且统一的应用程序部署体验。 同时，随着Kubernetes等容器编排系统的广泛应用，Docker作为核心组件，其对x86架构的支持亦有望提升整体集群的稳定性和资源利用率。未来，我们期待看到更多的开发者和企业能够充分利用这一特性，推动软件交付方式的创新和升级。 总之，Docker对x86架构的支持是容器技术生态发展的重要里程碑，它将在持续推动云计算和DevOps领域进步的同时，为全球范围内的企业和开发者带来更高的效率和更佳的实践体验。

...pm install命令来安装crypto-js插件，以便在Vue前端项目中实现数据加密功能。 Composer , Composer是PHP语言中的一款依赖管理工具，允许用户声明项目所需的依赖关系，并自动解决和安装这些依赖。在本文所述情境中，PHP开发者通过Composer require命令安装phpseclib库，为PHP后端提供AES解密能力。

...转换。 Vue图钉的应用非常简单，只需在Vue部件中导入vue-sticky-directive库，然后为需要锁定的部件添加v-sticky命令即可。下面是具体的代码达成： // 安装vue-sticky-directive npm install vue-sticky-directive --save // 导入vue-sticky-directive import vSticky from 'vue-sticky-directive' // 登记v-sticky命令 Vue.directive('sticky', vSticky) 在部件的template中，添加v-sticky命令即可达成图钉效果。例如： // 需要锁定的部件 // 其他内容 上述代码中的v-sticky命令将锁定部件的坐标设为距离浏览器窗口顶部20像素，并将其z-index属性设为100，即显示在其他部件之上。 除了上述的top、zIndex之外，Vue图钉还支持多种配置。例如，可以为v-sticky命令添加bottom属性，指定部件距离浏览器窗口底部的距离；也可以添加class属性，指定部件从普通状态变为锁定状态时添加的外观类。 总的来说，Vue图钉是一款非常有用的部件，能够帮助我们达成各种常见的锁定效果，提升用户体验。

...口处，以便容器内部的应用能够经由宿主机的 公网IP 接入。详细来说，我们能够采用docker run命令的-p选项进行端口绑定。 docker run -p 宿主机端口:服务端口 镜像名 其中宿主机端口为必需转发至宿主机的端口号，服务端口为容器内部的端口号，镜像名为必需启动的 Docker 镜像的名称。例如，我们能够采用下面的命令将容器内部的 80 端口转发至宿主机的 8080 端口处： docker run -p 8080:80 nginx 此时，我们在浏览器中输入http://主机公网IP:8080即可接入容器内部的应用。 必需注意的是，当 Docker 容器运行在某个主机上时，容器内部的应用不能直接采用该宿主机的 公网IP 地址接入。容器内部部有自己的 公网IP 地址，我们能够采用命令docker inspect获得该 公网IP 地址。 docker inspect --format='{ {range .NetworkSettings.Networks} }{ {.公网IPAddress} }{ {end} }' 容器名/ID 其中容器名/ID为 Docker 容器的名称或 ID。执行以上命令后，将返回 Docker 容器内部部的 公网IP 地址，我们能够经由接入该 公网IP 地址加上容器内部部的端口号来接入容器内部的应用。

...置面板" 并进入 "应用程序"。 2. 在 "应用程序" 中找到 MySQL 并右键单击 "移除"。 3. 在弹出的对话框中选取 "完全移除" 并点击 "继续"。 4. 点击 "移除" 并等候移除完成。 5. 完成移除后，请手动移除 MySQL 安装目录和服务。 以下是 Mac 系统移除 MySQL 的步骤： 1. 在终端中输入以下命令：sudo rm /usr/local/mysql 2. 运行下面的命令以移除 MySQL 安装目录： sudo rm -rf /usr/local/mysql sudo rm -rf /Library/StartupItems/MySQLCOM sudo rm -rf /Library/PreferencePanes/MySQL 3. 运行以下命令以编辑 /etc/hostconfig 文件并移除以下行： MYSQLCOM=-YES- 4. 如果您要彻底移除 MySQL，请使用 Finder 软件找到并移除以下文件： /Library/Receipts/mysql-VERSION.pkg /Library/Receipts/mysql-VERSION.pkg /Library/Receipts/mysql-VERSION.pkg 完成以上步骤后，您已经成功移除 MySQL。

...MySQL是一种广泛应用于互联网行业，尤其是游戏开发中的开源关系型数据库管理系统。在本文语境中，MySQL被用来存储和管理游戏角色的相关数据，如元宝数量等信息。开发者通过编写SQL命令与MySQL交互，实现对角色元宝的查找、修改等操作。 角色ID , 在游戏开发领域中，每个游戏角色都会被赋予一个唯一的标识符，即角色ID。这个ID如同现实世界中的身份证号，用于区分游戏中不同的玩家或游戏角色。在文章中，角色ID是执行修改元宝操作时的关键参数，通过查询特定角色ID对应的角色记录，从而精准地更新该角色的元宝数量。 SQL命令 , Structured Query Language（结构化查询语言）的缩写，是一种专门用于管理和处理关系型数据库的标准计算机语言。在文中提到的SELECT、UPDATE命令就是SQL的一部分。SELECT命令用于从数据库中检索满足一定条件的数据；UPDATE命令则用于更新数据库表中已存在的记录，例如根据角色ID来修改其元宝数量。通过这些SQL命令，游戏开发者可以高效且精确地操作存储在MySQL数据库中的游戏数据。

...。 此外，对于企业级应用而言，MySQL的高可用性和扩展性至关重要。为确保服务稳定，很多企业采用主从复制、分片集群等高级部署架构，并借助于ProxySQL等中间件进行流量管理和负载均衡。同时，Percona Server for MySQL和MariaDB作为MySQL的两大分支，也在不断推出新功能并优化性能，为用户提供更多选择。 值得一提的是，随着容器化和云原生技术的发展，MySQL在Kubernetes集群中的部署实践也日益丰富。通过Operator模式或者Helm Chart等方式，可以更便捷地在云环境中部署和管理MySQL实例，实现自动化运维和弹性伸缩。 综上所述，掌握MySQL在Linux系统上的安装路径只是基础操作之一，深入了解MySQL的最新特性、部署策略及云环境下的运维实践，将有助于广大开发者和DBA更好地构建和维护高性能、高可用的数据库服务。