Dotaz: Vykonani prikazu na zaklade prijateho emailu

[Peta]

Dobry den,

zajimalo by me, zda by neslo vykovat nejaky prikaz na zaklade prijateho emailu.

Resp. jestli jde nejak pri prichodu emaily provest nejakou akci. Email by musel splnovat nejaka pravidla.

Pouzivam postfix, kdyby nekdo vedel reseni zavisle na emailovem programu.

Mockrat dekuji

Odpovědi

[Zdeněk Burda]

To co hledáš se jmenuje procmail případně maildrop, možná v kombinaci s trochou perlení.

[0]

Není problém, použij buď procmail nebo maildrop.

[0]

No jo, fakt su 0 a ještě pomalá.:)

[Peta]

Diky

[Peta]

Tak koukam na ten procmail, ale nechodi mi to.

Mam nasledujici skript:

:0H
* ^To:.*mujemail@domain.cz
| /sbin/iptables -I INPUT -s 192.168.1.1 -j ACCEPT

A jak z nej muze byt patrne, tak bych chtel udelat to, ze kdyz poslu nejaky email tak aby se mi do iptables pridalo nejake pravidlo. Ale ted pri psani me napadlo ze to vlastne nemuze udelat z duvodu prav. A mozna tam mam jeste nejakou chybu.

Vim ze to uz s tematem nadpisu nesouvisi, ale chtel jsem to udelat proto, abych mohl nejak na dalku pridat pravidlo do iptables.

Spravuji totiz jeden server a na nej maji pristup i jini lide, tak bych chtel udelat neco, aby kdyby ti lide pridali nejaky DROP s moji ip adresu, tak abych pomoci neceho se tam zase mohl dostat. Poradil by mi nekdo neco, klidne i jineho?

[unchallenger]

Pokud ti jiní lidé mají taky roota, tak... No, tak jim buď důvěřuješ, nebo jsi stejně v pr**** a zabolokování přístupu je to nejmenší a poslední, čeho se obávat. Nebo roota nemají, ale pak je hlavní, aby ho nezískali.

[Peta]

Dobre, ale udelat neco takove pres ten email, tak to je prece nenapadne ne?

[0]

Asi bych to vyresil vytvorenim nejakeho tunelu (ssh, ssl) v cronu.

[Peta]

To je v tom cronu videt. Takze pokud by tam neco delali, tak by to videli. Ted me napadlo ze to dam do adresare u cronu co se spousti kazdy den. A na hodku mi to hodi do iptables pristup.

[Michal Kubeček]

Hm… Jsem jediný, kdo má neodbytný pocit, že se snažíte neuměle vyrobit backdoor?

[Peta]

Jo, da se to tak nazvat. Ale uz s tim koncim. Nemam cas a ani chut se s tim dale zabyvat.

Osetrim si aby se mi nesmazali certifikat a IP uz neresim. Neni problem se pripojit odjinud. A oni by to neudelali, protoze to ssh odkudkoliv potrebuji. Jedine ze by zmenili port. Ale to by taky nebyl problem zjistit.

[Michal Kubeček]

Já jen prostě nějak nemůžu pochopit, jaký smysl má situace, kdy má na počítači roota několik různých lidí, kteří si navzájem dělají naschvály. IMHO je pak na místě otázka, co si o tom myslí ten, komu ten počítač patří a kdo ho provozuje…

[Peta]

O zadne naschvaly nejde. Jen bych to chtel mit pojisteny. Jinak je to urcite dobry to mit na jinych serverech ktery spravuje treba i jenom jeden clovek.

Protoze kdyz by se tam naboural nezvany host a zmenil heslo tak je clovek vite kde.

Ale samozrejme ze se to neda na 100% takhle zabezpecit.

[Michal Marek (twofish)]

Rootovi se maily nedoručují, takže to nepůjde. Můžeš si dát do cronu něco jako

/sbin/iptables-save -t filter |\
sed -n '1,/^-A INPUT/ p' | \
grep -q -e '^-A INPUT -s 192.168.1.1 -j ACCEPT$' ||\
/sbin/iptables -I INPUT -s 192.168.1.1 -j ACCEPT

[unchallenger]

Což samozřejmě nepomůže, pokud ho zablokují v hosts.deny.

,Řešení` je asi leda nějaký rootkit... Plus backdoor -- např. takový, který se jednou za čas se někam connectne, nejlépe na všeobecně povolený port 80 a ne na tvůj jediný a známý počítač; když tam najde data zašifrovaná tvým soukromým GPG klíčem, tak je rozšifruje, spustí, a výstup příkazu někam pošle zpět v HTTP POST requestu zašifrovaný tvým veřejným GPG klíčem... Fantazii se meze nekladou, ale stejně na to vždy mohou přijít a odstranit to.

[Peta]

To je pravda. Tak to radsi necham. Spis si alespon osetrim aby se mi pridaval certifikat do souboru. IP neni problem zmenit. Ale kdyz bych heslo heslo tak je to spatny.