uClinux的内存管理
应该说uClinux同标准Linux的最大区别就在于内存管理，同时也由于uClinux的内存管理引发了一些标准Linux所不会出现的问题。本文将把uClinux内存管理同标准Linux的那内存管理部分进行比较分析。
标准Linux使用的虚拟存储器技术
标准Linux使用虚拟存储器技术，这种技术用于提供比计算机系统中实际使用的物理内存大得多的内存空间。使用者将感觉到好像程序可以使用非常大的内存空间，从而使得编程人员在写程序时不用考虑计算机中的物理内存的实际容量。

为了支持虚拟存储管理器的管理，Linux系统采用分页（paging）的方式来载入进程。所谓分页既是把实际的存储器分割为相同大小的段，例如每个段1024个字节，这样1024个字节大小的段便称为一个页面（page）。
虚拟存储器由存储器管理机制及一个大容量的快速硬盘存储器支持。它的实现基于局部性原理，当一个程序在运行之前，没有必要全部装入内存，而是仅将那些当前要运行的那些部分页面或段装入内存运行（copy-on-write），其余暂时留在硬盘上程序运行时如果它所要访问的页（段）已存在，则程序继续运行，如果发现不存在的页（段），操作系统将产生一个页错误（page fault），这个错误导致操作系统把需要运行的部分加载到内存中。必要时操作系统还可以把不需要的内存页（段）交换到磁盘上。利用这样的方式管理存储器，便可把一个进程所需要用到的存储器以化整为零的方式，视需求分批载入，而核心程序则凭借属于每个页面的页码来完成寻址各个存储器区段的工作。
标准Linux是针对有内存管理单元的处理器设计的。在这种处理器上，虚拟地址被送到内存管理单元（MMU），把虚拟地址映射为物理地址。
通过赋予每个任务不同的虚拟--物理地址转换映射，支持不同任务之间的保护。地址转换函数在每一个任务中定义，在一个任务中的虚拟地址空间映射到物理内存的一个部分，而另一个任务的虚拟地址空间映射到物理存储器中的另外区域。计算机的存储管理单元（MMU）一般有一组寄存器来标识当前运行的进程的转换表。在当前进程将CPU放弃给另一个进程时（一次上下文切换），内核通过指向新进程地址转换表的指针加载这些寄存器。MMU寄存器是有特权的，只能在内核态才能访问。这就保证了一个进程只能访问自己用户空间内的地址，而不会访问和修改其它进程的空间。当可执行文件被加载时，加载器根据缺省的ld文件，把程序加载到虚拟内存的一个空间，因为这个原因实际上很多程序的虚拟地址空间是相同的，但是由于转换函数不同，所以实际所处的内存区域也不同。而对于多进程管理当处理器进行进程切换并执行一个新任务时，一个重要部分就是为新任务切换任务转换表。我们可以看到Linux系统的内存管理至少实现了以下功能：
运行比内存还要大的程序。理想情况下应该可以运行任意大小的程序
◇可以运行只加载了部分的程序，缩短了程序启动的时间
◇可以使多个程序同时驻留在内存中提高CPU的利用率
◇可以运行重定位程序。即程序可以方于内存中的任何一处，而且可以在执行过程中移动。
◇写机器无关的代码。程序不必事先约定机器的配置情况。
◇减轻程序员分配和管理内存资源的负担。
◇可以进行共享--例如，如果两个进程运行同一个程序，它们应该可以共享程序代码的同一个副本。
◇提供内存保护，进程不能以非授权方式访问或修改页面，内核保护单个进程的数据和代码以防止其它进程修改它们。否则，用户程序可能会偶然（或恶意）的破坏内核或其它用户程序。
虚存系统并不是没有代价的。内存管理需要地址转换表和其他一些数据结构，留给程序的内存减少了。地址转换增加了每一条指令的执行时间，而对于有额外内存操作的指令会更严重。当进程访问不在内存的页面时，系统发生失效。系统处理该失效，并将页面加载到内存中，这需要极耗时间的磁盘I/O操作。总之内存管理活动占用了相当一部分cpu时间（在较忙的系统中大约占10％）。
uClinux针对NOMMU的特殊处理
对于uClinux来说，其设计针对没有MMU的处理器，即uClinux不能使用处理器的虚拟内存管理技术（应该说这种不带有MMU的处理器在嵌入式设备中相当普偏）。uClinux仍然采用存储器的分页管理，系统在启动时把实际存储器进行分页。在加载应用程序时程序分页加载。但是由于没有MMU管理，所以实际上uClinux采用实存储器管理策略（real memeory management）。这一点影响了系统工作的很多方面。
uClinux系统对于内存的访问是直接的，（它对地址的访问不需要经过MMU，而是直接送到地址线上输出），所有程序中访问的地址都是实际的物理地址。操作系统对内存空间没有保护（这实际上是很多嵌入式系统的特点），各个进程实际上共享一个运行空间（没有独立的地址转换表）。
一个进程在执行前，系统必须为进程分配足够的连续地址空间，然后全部载入主存储器的连续空间中。与之相对应的是标准Linux系统在分配内存时没有必要保证实际物理存储空间是连续的，而只要保证虚存地址空间连续就可以了。另外一个方面程序加载地址与预期（ld文件中指出的）通常都不相同，这样 relocation过程就是必须的。此外磁盘交换空间也是无法使用的，系统执行时如果缺少内存将无法通过磁盘交换来得到改善。
uClinux对内存的管理减少同时就给开发人员提出了更高的要求。如果从易用性这一点来说，uClinux的内存管理是一种倒退，退回了到了UNIX早期或是Dos系统时代。开发人员不得不参与系统的内存管理。从编译内核开始，开发人员必须告诉系统这块开发板到底拥有多少的内存（假如你欺骗了系统，那将在后面运行程序时受到惩罚），从而系统将在启动的初始化阶段对内存进行分页，并且标记已使用的和未使用的内存。系统将在运行应用时使用这些分页内存。
由于应用程序加载时必须分配连续的地址空间，而针对不同硬件平台的可一次成块（连续地址）分配内存大小限制是不同（目前针对ez328处理器的 uClinux是128k，而针对coldfire处理器的系统内存则无此限制），所以开发人员在开发应用程序时必须考虑内存的分配情况并关注应用程序需要运行空间的大小。另外由于采用实存储器管理策略，用户程序同内核以及其它用户程序在一个地址空间，程序开发时要保证不侵犯其它程序的地址空间，以使得程序不至于破坏系统的正常工作，或导致其它程序的运行异常。
从内存的访问角度来看，开发人员的权利增大了（开发人员在编程时可以访问任意的地址空间），但与此同时系统的安全性也大为下降。此外，系统对多进程的管理将有很大的变化，这一点将在uClinux的多进程管理中说明。
虽然uClinux的内存管理与标准Linux系统相比功能相差很多，但应该说这是嵌入式设备的选择。在嵌入式设备中，由于成本等敏感因素的影响，普偏的采用不带有MMU的处理器，这决定了系统没有足够的硬件支持实现虚拟存储管理技术。从嵌入式设备实现的功能来看，嵌入式设备通常在某一特定的环境下运行，只要实现特定的功能，其功能相对简单，内存管理的要求完全可以由开发人员考虑。
标准Linux系统的进程、线程
进程：进程是一个运行程序并为其提供执行环境的实体，它包括一个地址空间和至少一个控制点，进程在这个地址空间上执行单一指令序列。进程地址空间包括可以访问或引用的内存单元的集合，进程控制点通过一个一般称为程序计数器（program counter,PC）的硬件寄存器控制和跟踪进程指令序列。
fork：由于进程为执行程序的环境，因此在执行程序前必须先建立这个能"跑"程序的环境。Linux系统提供系统调用拷贝现行进程的内容，以产生新的进程，调用fork的进程称为父进程；而所产生的新进程则称为子进程。子进程会承袭父进程的一切特性，但是它有自己的数据段，也就是说，尽管子进程改变了所属的变量，却不会影响到父进程的变量值。
父进程和子进程共享一个程序段，但是各自拥有自己的堆栈、数据段、用户空间以及进程控制块。换言之，两个进程执行的程序代码是一样的，但是各有各的程序计数器与自己的私人数据。
当内核收到fork请求时，它会先查核三件事：首先检查存储器是不是足够；其次是进程表是否仍有空缺；最后则是看看用户是否建立了太多的子进程。如果上述说三个条件满足，那么操作系统会给子进程一个进程识别码，并且设定cpu时间，接着设定与父进程共享的段，同时将父进程的inode拷贝一份给子进程运用，最终子进程会返回数值0以表示它是子进程，至于父进程，它可能等待子进程的执行结束，或与子进程各做个的。
exec系统调用：该系统调用提供一个进程去执行另一个进程的能力，exec系统调用是采用覆盖旧有进程存储器内容的方式，所以原来程序的堆栈、数据段与程序段都会被修改，只有用户区维持不变。
vfork系统调用：由于在使用fork时，内核会将父进程拷贝一份给子进程，但是这样的做法相当浪费时间，因为大多数的情形都是程序在调用fork后就立即调用exec，这样刚拷贝来的进程区域又立即被新的数据覆盖掉。因此Linux系统提供一个系统调用vfork，vfork假定系统在调用完成 vfork后会马上执行exec，因此vfork不拷贝父进程的页面，只是初始化私有的数据结构与准备足够的分页表。这样实际在vfork调用完成后父子进程事实上共享同一块存储器（在子进程调用exec或是exit之前），因此子进程可以更改父进程的数据及堆栈信息，因此vfork系统调用完成后，父进程进入睡眠，直到子进程执行exec。当子进程执行exec时，由于exec要使用被执行程序的数据，代码覆盖子进程的存储区域，这样将产生写保护错误（do_wp_page）（这个时候子进程写的实际上是父进程的存储区域），
这个错误导致内核为子进程重新分配存储空间。当子进程正确开始执行后，将唤醒父进程，使得父进程继续往后执行。
uClinux的多进程处理
uClinux没有mmu管理存储器，在实现多个进程时（fork调用生成子进程）需要实现数据保护。
uClinux的fork和vfork：uClinux的fork等于vfork。实际上uClinux的多进程管理通过vfork来实现。这意味着 uClinux系统fork调用完程后，要么子进程代替父进程执行（此时父进程已经sleep）直到子进程调用exit退出，要么调用exec执行一个新的进程，这个时候将产生可执行文件的加载，即使这个进程只是父进程的拷贝，这个过程也不能避免。当子进程执行exit或exec后，子进程使用 wakeup把父进程唤醒，父进程继续往下执行。
uClinux的这种多进程实现机制同它的内存管理紧密相关。uClinux针对nommu处理器开发，所以被迫使用一种flat方式的内存管理模式，启动新的应用程序时系统必须为应用程序分配存储空间，并立即把应用程序加载到内存。缺少了MMU的内存重映射机制，uClinux必须在可执行文件加载阶段对可执行文件reloc处理，使得程序执行时能够直接使用物理内存。

传统的入侵检测系统（IDS）只能被动地给管理员提供检测报告，最终还必须通过人工来解决问题。虽然大部分IDS产品能够在攻击发生后与防火墙进行互动，但是这种互动只能够对持续的低层次攻击产生很好的阻止作用，在容易受到深层次攻击的场合，用户还是希望采用能够对攻击行为进行实时阻断的产品，来提高信息系统的安全级别，因此入侵防护系统McAfee IntruShield应运而生。

体验部署和配置

IntruShield 2600有别于基于通用平台的产品，它采用NP（network processor）和ASIC(专用集成电路)混合的架构设计。因为需要实现实时阻断，所以IntruShield 2600在进行协议重组的过程中需要比传统IDS更强的处理能力。通用的硬件平台在多端口的配置的情况下很难满足实时阻断的需求。NP加ASIC这种结构在高端的3层交换机和防火墙中被大量采用，能够实现非常高的转发率,可以帮助入侵防护设备进行实时阻断。

灵活多样的配置方式

这款产品配置了8个端口，在SPAN （Switched Port Analysis）模式工作时，全部可以用作检测端口，即如果用户只需要传统的IDS功能，这款产品完全可以充当一个8口的IDS,不过在部署时需要考虑到吞吐量。IntruShield 2600的拿手好戏在于对入侵和非法的数据包进行阻断，这是在In-line的模式下实现的，这个模式是把IPS作为一个以太网的桥接器，透明地连接到已有的网络中，而不需要改动原有网络的配置，对于一个复杂的网络来说，这种设计可以减轻调试安装设备对原有网络的影响。在这种模式下，必须成对地配置端口。因此在只使用全部100M铜缆口时，这款产品几乎可以达到100%的利用率，而在使用千兆光口时，这款产品就只能处理60%左右的网络流量，对于一个正常设计的网络来说，60%已经是很高的突发流量了。

即插即用的快速部署

这款产品的软件和硬件的配合程度是非常高的。虽然各个管理服务器上都需要安装多个服务程序，但是McAfee通过把这些服务打包，整合成安装向导提供给了用户。我们只需要点击几次“下一步”，并且设置好管理端口的IP地址，就能够完成安装。通过RS-232配置好控制网络接口的IP地址后，我们就可以采用浏览器对设备进行管理了。

整个管理配置界面完全是由动态网页和Java Applet组成，既能在管理服务器本机上进行管理，还可以在任意能够访问管理服务器的计算机上通过浏览器进行管理和配置。这样可以把警告信息汇总到单个管理服务器上，然后在其他节点上进行分析或者报告。

高性能的安全屏障、检测率测试

我们选择了Blade测试工具进行模拟攻击测试，选取50种典型攻击样例。通过模拟攻击和被攻击的环境，把IntruShield 2600设置为阻断模式，通过比较发出的攻击和从控制台上观察到的报警信息来确定设备检测的正确性。Blade是目前可以模拟攻击类型最多的安全测试工具。我们选择的攻击样例也是按照最近比较盛行、危害比较大以及容易发生的原则来进行的。

测试结果非常令人振奋。在测试中，所有的攻击都没有被漏报。但是，在这样的测试中，我们并不能确定攻击是否真的被阻断了，于是我们进行了下面的测试。

阻断能力测试

我们找来了一个针对Windows NetBIOS缺陷的攻击工具，这个缺陷存在于Windows 2000 SP3（包括SP3）以下的版本中。在没有打开IntruShield 2600阻断功能的情况下，仅打了SP2补丁的目标主机直接蓝屏，在进行内存转存以后自动启动，而在开启IntruShield 2600阻断功能后再次发起攻击，目标主机就会安然无恙，并且两次攻击在管理服务器上都有详细的报告，这说明IntruShield 2600的阻断能力非常出色。

大家可能已经发现了，我们所采用的攻击类型并不是简单的畸形IP包攻击，而是在防火墙看来正确连接的情况下进行的高层次的操作，这些操作大多是利用系统或者应用本身的缺陷，制造异常操作来导致其无法正常工作，尤其是一些七层攻击，如果只采用IDS和防火墙互动的方法来阻止攻击，很可能让攻击得逞，因此需要在攻击进行中立即阻断。在阻断模式下，IntruShield 2600除了要重组协议进行判断外，还需要放行正确的数据，因此面临着严峻的性能考验。

吞吐能力测试

为了考验NP/ASIC架构的性能，我们创建了一个稳定的背景流，然后模拟攻击。通过观察在处于标称吞吐量边缘的IntruShield 2600对攻击的报告情况来确定这款产品的实际吞吐性能。

我们采用思博伦通信的Avalanche和Reflector，制造了一个约等于600Mbps的HTTP流量，然后依然沿用功能验证中的攻击检测方法对 IntruShield 2600进行了测试。在标称的600Mbps吞吐量下，IntruShield 2600居然能一个不漏地检测到攻击，这一测试结果一方面肯定了这种基于NP和ASIC混合平台的优势，另一方面，也说明了这款产品在标称的吞吐量下，还保留了一部分处理能力，用于应付突发的流量对系统正常运作带来的影响。

测试总结

由于采用了NP/ASIC架构，在进行大数据量的协议分析时，这款产品表现出了非常强的吞吐性能，使得阻断攻击这一独特的功能没有受到任何影响。因为这款产品主要聚焦在4到7层的攻击类型，在测试中，我们并没有看到太多基于一些3层以下的入侵检测和阻断手段。不过，在后来我们采用Nessus端口扫描工具进行变形逃逸测试时，发现这款产品对于SynScan等扫描入侵手段能够进行检测，但是需要配合防火墙来更彻底地杜绝这类攻击。由此证实了我们的推断，单一的 SynScan或者Flood攻击对于系统是没有攻击性的，并且由于这类攻击非常简单，不需要IPS进行复杂的协议分析，只需要在侦测出攻击后，通过和防火墙联动，由防火墙就能进行处理。

通过对IntruShield 2600进行测试，我们发现：IPS是对IDS的增强和延伸，能够弥补和防火墙之间的空白，而不是简单地对防火墙和IDS进行融合的结果。

IntruShield 2600

产品亮点
● 在１Ｕ厚度实现２个千兆光口，６个铜缆百兆端口的入侵阻断系统，所有端口可以灵活配置，完全逻辑隔离。
● 能够快速进行安装部署，支持分布式部署管理。
● 完善的检测引擎，没有漏报一个测试样例中的攻击。
● 高性能的吞吐能力，能够在高达600Mbps的HTTP背景流下正常工作。
(e129)

Fried 说："你可以利用互联网建立很棒的小巧产品，你可以获得1 百万或者50万用户。"
企业家和投资者们说，一系列技术的变化令非常专门的产品生存下来变为一种可能。大多数的变革是那些正在不断发展普及的主机式应用，或者服务式的软件。
 
网络字处理器公司Upstartle 的创始人们，最开始考虑开发针对企业内部网的协同与文件管理软件，但他们最终放弃了这个主意，而决定将注意力集中在互联网上的字处理器上。

Writely 公司的创始人之一的Claudia Carpenter 说："过去，你不得不做一种巨大的事情－象套件一类的东西。现在，似乎你能够做一些轻量级的东西。" 由于互联网已经成为一种应用平台，Writely 能够将他的字处理器服务与其它网络服务连接起来，比如网络日志或者照片分享网站。现在，很多网站不断的公布它们的应用程序接口（API ），这让用户及开发者们能够在不同的主机式服务之间分享信息。

另外一个重要的技术进步就是AJAX（异步JavaScript+XML）的兴起。这是一种创建交互式图形用户界面（GUI ）及网页的开发技术，它能够自动的刷新网络服务器上的数据。利用AJAX，程序员门能够开发出桌面应用程序的主机式版本，比如文件和照片发布，AJAX可以给用户提供和在PC上类似的用户体验。

除了将注意力集中在专门的产品上，和以往相比，这些新创公司能够用很少的资金实现腾飞。
自由提供的开源软件正在增长，功能强大的硬件服务器价格变得越来越低。而在5 年之前，新创业的公司可能需要花费成千上万美元去购买这些硬件设备。

运营成本也变得相当的低。以37Signals 为例，这家公司没有花钱在市场营销上，他们采用了网上的营销手段，比如网络日志的口碑宣传。这家7 人公司没有销售人员。

纽约天使投资公司的董事David Rose说："我们看到的Web2.0是一场软件公司发生深刻变革的运动。" Rose表示，现在的网络企业家可以在短短的一年时间内，仅仅用50万美元的资金即可实现从概念到功能性产品的转变。他说："要是放在过去，得花数年时间，上百万美元，以及多次的计划修改才会等到第一个产品出笼。"

RDF 风险基金的主任Richard Forman认为，基于网络的软件模式可以同时辐射个人与企业两个市场。 他说："Web 2.0 的迷人之处在于它是一种双管齐下的模式。一方面，你拥有用户提交的内容，这对网络来讲是一种巨大的机会，另外一方面，你拥有针对协同性工作以及应用服务提供商的网络服务，它将给企业世界产生真实的影响。"

现在，Salesforce.com，NetSuite和SAP 都在鼓吹，企业客户正希望放弃那些大型的软件项目，而选用主机式服务。即使微软这个软件世界的君王也已经发出过类似的感言。

进入Web 2.0 世界的低门槛使得那些新奇主意可以轻易的转化为新创企业。一些分析师说，也许这个门槛太低了。 许多的Web 2.0 网络应用可以由几个人，相对较少的创业投资和时间来完成。但是，与此同时，投资者们认为，这些服务很容易被复制。另外，一些Web 2.0 公司的业务模式没有经过完全测试，比如Writely 就仍处于测试当中，公司仍然在评估几种不同的收入模式，比如客户注册和广告模式。（编辑：孙莹）

Small is beautiful for Web 2.0 start-ups

• XHTML是目前编写HTML的首选方法；因为XHTML本身就是格式良好的XML，与通常畸形的HTML文档相比， XHTML格式文档更容易处理。
• XSLT和XSL是对XML文档进行转换的语言。它们可以将XML文档转换成各种格式，比如另一个文本文件、PDF文件、HTML文件、逗号分割的文件，或者转换成其它的XML文档。
• DTDs 和XML Schema用来描述XML文件所包含的数据内容的类型，使你不用编写定制的代码就能对XML文档的内容进行"有效性"检查，使内容强行遵守给出的规则。
• XPath 和 XQuery是查询语言，用它们可以从XML文档中吸取单个的数据项或者数据项列表。XQuery的功能特别强大，因为它对XPath查询进行了扩展。实际上，XQuery和XML的关系就像SQL之于关系数据库一样。
• SOAP是Web services间进行通讯的标准协议。你不必知道SOAP协议的所有细节，但是你应该熟悉其常用规则及其工作原理，这样你才能使用它。