Portál AbcLinuxu, 3. června 2024 21:48
11.5.2005 21:31
Luk | skóre: 47
| blog: Kacířské myšlenky
| Kutná Hora
Běž se zeptat někoho na SH/blk9, kde jsem pár lidí odpojil, když měli zakázaný ping na desktopu. Docházely nám IP adresy a když se jejich počítač jevil jako dlouhodobě neaktivní, prostě jsem mu odebral IP a měl smolíka
root na toor (případně avatar) a nezměnil jeho UID na 0x29A? už Vás letím hacknout 
grep -r 'whoami.*root' ${PATH//:/ }), takže následky by asi byly. Navíc by asi bylo potřeba buď patchnout su, nebo si napsat vlastní nss modul, který by zjistil, jak se tento týden root vlastně jmenuje (když už chci něco utajit, tak to nenechám ve world-readable /etc/passwd).
b) Proti uhodnutelnému heslu roota nepomůže ani svěcená voda...
c) Když mám díru třeba v sshd, tak je jedno, jestli běží pod uživatelem 'root' nebo 'tidpolwic<' -- zlým hochům stačí, že běží s uid 0. To samé platí o chybách v jádře (viz třeba dnešní zprávičky).
#povoli jen potrebne ICMP zpravy iptables -A INPUT -p ICMP --icmp-type 0 -j ACCEPT iptables -A INPUT -p ICMP --icmp-type 3 -j ACCEPT iptables -A INPUT -p ICMP --icmp-type 8 -j ACCEPT iptables -A INPUT -p ICMP --icmp-type 11 -j ACCEPTV nasi siti jsem zavedl pravidlo ze je zakazano v osobnich firewallech blokovat ping a traceroute. To potom kdyz si jeden kluk pingal kam chtel, ale ja jsem si na nej neping a on mi 2 hodiny tvrdil ze firewall ma vypnutej... Pekne jsem byl nas... Ty co blokujou icmp uplne bych nejprve uskrtil, pak rozrezal, uvaril a povesil na namesti ostatnim pro vystrahu. Zdenek
No co ja vim tak standard je propoustet jen potrebny ICMP a zbytek pryc.aha, a číslo toho standardu? a jak se jako určuje, co je potřebné? podle nálady admina nebo podle předpovědi počasí? :-/
Ty co blokujou icmp uplne bych nejprve uskrtil, pak rozrezal, uvaril a povesil na namesti ostatnim pro vystrahu.Ty, co selektivně blokujou cokoliv jen na základě toho, že oni zrovna nic jiného nepotřebujou, bych nejprve uškrtil …
))
U win serveru je potiz hlavne pri updatech. To se vzdy bojime, jestli se to rozjede, hlavne kdyz je tam take Veritas. Ted jsem ale prisel na Arkeia zalohovaci soft pro Linux, ale zalohuje i win servery, tak ho chci vyzkouset. Ale z obrazku to vypada, oproti veritasu, jako omalovky v porovnani s photoshopem. Uvidime. Podle me, i kdyz to bude funkcni, tak to stejne nikdo od nas z firmy neprijme.
Když víte, že tomu nerozumíte, tak raději nic neříkejte… Místo toho se raději podívejte, jak je to s povolenými službami a nastavením firewallu při defaultní instalaci SuSE 9.3, které jste před chvílí tak strhal…
Z toho vseho vypliva
Plynout, ne plivat…
SuSE ano, ale co treba jine distra? Navic Windows davaji volbu hned po instalaci, pred prvnim log-inem.hm, před prvním loginem? - nebylo by to účelnější před inicializací síťového rozhraní? - nebo všechny ty virečky a červíci snad čekají, než se uživatel zaloguje? (možná jen blbě kecám, wokna jsem už dlouho neviděl instalovat, možná to "před prvním loginem" je opravdu před inicializací sítě? - ale moc tomu nevěřím, vím, že podobný problém, jako se líčí v blogu, má spousta lidí, a to že aby mohli stáhnout SP, musí se připojit k síti, a když se připojí k síti, tak bez SP jdou wokna do kytek asi tak za desetinu času, než se jim všechny záplaty stihnou stáhnout ...)
A jinak, jsem nesmeroval na to co je vice bezpecne nebo mene, ale na to, ze se to prosto musi nastavit. Nekde je to tak a nekde jinak.a není lepší, když je defaultní nastavení v souladu se standardy a použitelné beze změn (je-li to možné)?
12.5.2005 20:29
Luk | skóre: 47
| blog: Kacířské myšlenky
| Kutná Hora
Princip odepření přístupu - implicitní reakce služby musí být vždy odepření (zákaz). Teprve pak se povolují jednotlivá použití.ano, to je obzvlášť vypečený bod :-/
Dobrý den.
Dovolte, abych se představil. Jmenuji se Ivo a jsem provozovatelem serveru seznam.cz Nedávno jsem si v logu všimnul, že se na port 80 mojeho serveru pokoušel připojit počítač z IP adresy, která by dle našeho detektivního oddělení měla patřit Vaší firmě. To mě vede k důvodnému předpokladu, že byste rád využíval služeb našeho serveru. Pokud tomu tak skutečně je, prosím odešlete na adresu naší firmy notářsky ověřený certifikát o vlastnictví inkriminované IP adresy spolu s žádostí o povolení přístupu na standardizovaném formuláři ISVT-befelemepesseveze. Připomínám, že chcete-li využívat i jiných služeb, než http, jmenovitě https, smtp a pop3, je potřeba pro každou vyplnit samostatný formulář; naopak osvědčení o IP adrese stačí poslat jednou.
Na spolupráci se těší ...
p.s. veškerá podobnost se skutečností je čistě nezáměrná a náhodná, autor tohoto textu se zříká jakékoliv zodpovědnosti, (c) kavol 2005 - all your penízky are belong to U.S.
... a bez jakykoliv site.pochopitelně je míněna i ta elektrická napájecí, že
jinak zapomněl jste na kontejner (takový, do jakého se dává radioaktivní odpad), zamaskování místa zakopání a likvidaci všech svědků
12.5.2005 20:20
Luk | skóre: 47
| blog: Kacířské myšlenky
| Kutná Hora
12.5.2005 23:46
Luk | skóre: 47
| blog: Kacířské myšlenky
| Kutná Hora
Tiskni
Sdílej:
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.