linux

Happy Birthday und ein dickes Dank an alle Mitwirkenden. Ihr macht eine grossartige Arbeit.

Wer ihnen danken moechte: http://thank.debian.net/

Da kommt doch direkt freude auf. Gestern habe ich wie ueblich ein Update auf meinem Debian Squeeze gemacht. Alles schien zu funktionieren, bis jetzt....

Ich wollte meinen Laptop starten und die Festplatten koennen nicht mehr entschluesselt werden. Ich habe bei der Squeeze Installation ein lvm erstellt und dieses verschluesselt. Bis auf /boot ist alles mit AES verschluesselt. Jetzt darf ich erstmal sehen, wie ich an meine Daten komme.... Tolles Update :/

[Update]

Der Fehler zeigte mir folgende Meldung an:

kernel-provided name 'dm-0' and NAME='/mapper/sda2_crypt' disagree, please use SYMLINK+=
or change the kernel to provide the proper name

Nachdem ich nun manuell in dem grub Eintrag die initrd.img-2.6.32-trunk-amd64.bak angegeben hatte, konnte ich das System starten. Der Bugreport ist schon zu Debian raus und als "important" gekennzeichnet. Ich bin auf die Antwort gespannt.

[update]

Nachdem ich nun den Bug auch bei Debian gemeldet hatte, kam mir gestern eine Idee, die auch zum Erfolg fuehrte. Es ist nicht, wie ich erst angenommen hatte ein Bug im System (es wird wohl auch kaum ein Nutzer betroffen sein), sondern ein Fehler von mir. Ich habe mich geirrt. Es lag daran, dass sich das Tastatur Layout durch das neue initrd-image geaendert hatte. Dadurch habe ich automatisch das Passwort beim gewohnten Tippen falsch eingegeben. Die Idee kam mir, als ich via RDP auf einem Windows Server gearbeitet hatte. Nun gut, da hab ich mich wohl geirrt.

Ich kam gerade auf die Idee fuer ein versteckten Cronjob, der nicht einmal Cron benoetigt . Auf die Idee kam ich gerade, als mich jemand fragte, ob er einen stuendlichen Cronjob in den Ordner "cron.hourly" oder in die "crontab" eintragen soll.

Man koennte ein Skript auf einem Server dadurch auch sehr gut versteckt laufen lassen. Es funktioniert folgendermassen:

Das Skript traegt kurz vor Beendigung einen Eintrag bei "at" ein, mit dem es sich selber aufruft. Ob eine Stunde spaeter, drei Stunden spaeter oder erst am naechsten Tag ist hierbei ziemlich egal. Dadurch taucht das Skript nicht bei ps oder sonstigen Monitoren auf (sollte es nicht gerade laufen). In den Croneintraegen existiert es auch nicht. Und ich kenne keinen, der die "at" queue ueberprueft geschweige denn jemanden, der bei einem cronisch auftretenden Ereignis auf die Idee guckt, in die "at" queue zu schauen.

Hierdurch koennte man Skripte sehr gut auf Servern verstecken (und sich so zum Beispiel eine Hintertuer offen lassen). Auch wenn zum Beispiel die Auswirkungen des Skriptes gefixt wurden, koennte so das Skript sich unbemerkt selber wiederholen.

Ich habe bisher noch nie von dieser Methode gelesen/gehoert, deshalb fand ich die Idee erwaehnenswert. Viel spass beim ausprobieren

Mh, heute Morgen machte ich, wie jeden Morgen, meinen Laptop an und war verwundert, keine IP-Adresse zu bekommen. Zu erst dachte ich "oh nein, nicht schon wieder der Switch!", doch hier war alles in Ordnung. Ein kleiner Blick in die Ecke und ich sah, dass meine Firewall aus ist. Nun weiss ich nicht, warum sie ausgegangen ist. Die Logeintraege sagen mir nichts ungewoehnliches, oder was heisst nichts ungewoehntliches, der letzte Eintrag in der syslog sagt:

Feb 11 03:42:11 c3rberus postfix/smtpd[26406]: warning: dict_nis_init: NIS domain name not set - NIS lookups disabled
Feb 11 03:42:11 c3rberus postfix/smtpd[26406]: connect from unknown[unknown]
Feb 11 03:42:11 c3rberus postfix/smtpd[26406]: lost connection after CONNECT from unknown[unknown]
Feb 11 03:42:11 c3rberus postfix/smtpd[26406]: disconnect from unknown[unknown]

Mit diesem Eintrag kann ich jetzt so spontan nichts anfangen. Aber von ausserhalb kann nichts kommen, diese Ports werden geblockt und auch Postfix ist so konfiguriert, nur von localhost eMails anzunehmen.

Hat jemand vielleicht eine Idee woran es liegen koennte? Im Moment laeuft sie wieder. Rootkit scans zeigen nichts (ich halte dies auch fuer sehr unwahrscheinlich, da die firewall schon recht krasse Sicherheitsvorkehrungen hat, aber moeglich waere es ja immerhin). Im Moment bin ich noch auf Fehlersuche, bin aber fuer jeden Vorschlag offen.

Der Seraphyn hat mich heute im IRC auf ein Tool aufmerksam gemacht. Es heisst vnstat und kann hervorragend dazu verwendet werden, um zu schauen, wieviel Traffic durch eine Netzwerkkarte laeuft. Ich habe mich jetzt noch nicht so extrem viel damit beschaeftigt, aber hier ein Beispiel:

Ihr installiert es auf eurer Debian Firewall einfach mit
apt-get install vnstat

dann erstellt ihr mit
vnstat -u -i eth2
eine neue Datenbank in der die Daten gespeichert werden (eth2 ist hierbei die NIC die fuer den Traffic ins Internet verantwortlich ist)

nun wird mit Hilfe der Kernel Statistik des Traffics euch angezeigt, wieviel Traffic durch diese NIC geht. Und das alles sehr Ressourcen schonend. Jetzt macht ihr euch einfach in eure ~/.bashrc den Eintrag
vmstat -d -i eth2

und ihr bekommt jedesmal beim einloggen gesagt, wieviel Traffic über die NIC gelaufen ist. Eine sehr nette Sache. Kann nur empfehlen es euch einmal anzuschauen.