IBM X3550/7978 per Proxmox

Per un costo tutto sommato accettabile (130 euro) mi sono comprato un server IBM X3550/7978 in formato 1U con un  quadcore xeon ed 8 giga di ram per giocare con Proxmox

L'acquisto e' stato necessario perche' l'altra macchina da rack disponibile era un vecchio IServer (sempre IBM) piu' o meno anno 2003-2004 con processori Xeon ma purtroppo a 32 bit e quindi non utili a far girare Proxmox

IptabLes IptabLex Trojan e Apache 2

Qualche giorno fa sono stato contattato da un amico perche' il suo server aveva genericamente dei problemi intermittenti sulla rete. Premettendo che non faccio piu' il sistemista Linux da una decina d'anni ho provato in ogni caso ad dare un'cchiata

La macchina era stata dichiarata per essere una Debian ma in realta' aveva installato una Ubuntu Server  11.04 base e la macchina sostanzialmente non era mai stata gestita. I primi problemi sono nell'ordine

1. apt-get non funzionante quindi impossibile fare gli aggiornamenti di sistema. Peraltro apt-get update (nel caso avesse funzionato) mostrava la necessita' di aggiornare le libc 
2. non era installato il sistema build-essential quindi era impossibile anche installare programmi da sorgenti
3. la macchina aveva solo l'utente root e l'utente di lavoro entrambi con la medesima banale password
4. erano esposti senza filtri i servizi sulla porta 22 (SSH permetteva anche il login da root), porta 80 (Apache)  3306 (Mysql) e 21 (FTP)

Eseguendo un iftop la banda era quasi tutta saturata da un traffico in uscita di diverse Megabit su porta 80 verso akamai (un noto servizio olandese a cui si appoggiano su cui si appoggiano praticamente tutti i grandi nomi da Microsoft, Apple, Adobe....), ed un paio di siti cinesi

il primo sito cinese ad una scansione con nmap non dava particolari informazioni mentre il secondo (14.17.x.x) mostrava aperte tutte le seguenti porte (7,9,13,21,22,23,25,26,37,53,79,80,81,88,106,110,111,113,119,135,139,143,144,179 e cosi' via). In pratica il secondo indirizzo sembra essere un honeypot...strano...

usando rootkit hunter non e' stato mostrato niente di strano (tutti i controlli passati)

Memore di un paio di attacchi di 10 anni prima ho provato a cercare delle directory triplo punto (...) in cui erano nascosti file sospetti ma niente. Anche l'occupazione dello spazio disco non mostrava niente di anomalo (ero abituato ad attacchi che installano degli ftp pirata per cercavo l'eventuale directory di upload/download)

Frugando meglio con netstat (netstat -tulpn) mi sono saltate subito all'occhio le chiamate di iptables (vedi immagine sottostante)

ancora di piu' mi e' saltata subito all'occhio la grafia. Non si trattava del normale comando iptables ma di IptabLes (notare le maiuscole!!). in pratica era stato installato un programma da un nome simile ad un legittimo comando nella speranza di nascondersi 

Da qui e' partita una breve ricerca che mi ha portato a questo link dove e' spiegato come questo sia un trojan che si installa usando una vulnerabilita' zero day legata ad Apache 2 (il messaggio e' datato maggio 2013)

Leggendo le istruzioni ho trovato i file ospite esattamente dove erano indicati dalla guida

In sostanza il server era usato per effettuare attacchi DDOS verso siti cinesi e verso Akamai 

Una analisi completa del programma e' riportata da questo link dove si suppone l'origine cinese 

Giusto per vedere se potevo guadagnare un po' di tempo in attesa di mettere su un nuovo server ho provato a killare il programma a mano ed a rimuovere i programmi IptabLes e IptabLex ma il mattino successivo il trojan era di nuovo al suo posto (non avendo potuto aggiornare Apache la macchina era rimasta vulnerabile e probabilmente gli attacchi sono automatizzati)

Sostituzione di batteria di MacBook A1286 Mid 2009

Mi sono trovato a dover cambiare una batteria da un MacBook A1286 Mid 2009 ed ho dovuto ad imparare a mie spese come funzionano i nomi dei computer per Apple

Dopo aver acquistato su Amazon una batteria per A1286 mi sono apprestato a sostituirla quando ho visto che i connettori (non le dimensioni) non erano coincidenti tra l'originale ed il pezzo di ricambio

Di fatto con il codice a1286 non e' indicato un computer ma una intera famiglia di MacBook prodotti nell'arco di diversi anni. In particolare nel 2009 la batteria impiegata e' identificata dal codice A1321 mentre i successivi modelli sono passati alla batteria A1382 (ovviamente non compatibile con la precedente)

Una volta arrivato il ricambio giusto l'apertura del portatile e' semplice perche' basta svitare tutte le viti sul retro (attenzione, tre viti sono diverse da tutte le altre e sono poste sul posteriore in corrispondenza delle aperture di raffreddamento). La batteria sembra essere stata bloccata da ulteriori due viti (ci sono le asole) ma sul  modello a me arrivato queste viti non sono presenti forse per precedenti manutenzioni
La sostituzione e' banale e richiede meno di un quarto d'ora

Collezione di processori (2)

Sono stati aggiunti altri 7 processori alla mia collezione
Particolarmente interessanti (perche' piuttosto rari) i Pentium Pro

Selinux e Apache su CentOs

Cercando di far funzionare l''uploader di JQuery mi sono trovato in un comportamento strano che non era giustificato dai permessi sui file e sulle directory. Nonostate tutti i permessi del file system fossero corretti non veniva scritto niente sul disco del server. Il sospetto e' ricaduto immediatamente su Selinux

questo lo stato (ovvero attivo)

sestatus

----------------------------------------------------------------------

SELinux status:                 enabled
SELinuxfs mount:                /sys/fs/selinux
SELinux root directory:         /etc/selinux
Loaded policy name:             targeted
Current mode:                   enforcing
Mode from config file:          enforcing
Policy MLS status:              enabled
Policy deny_unknown status:     allowed
Max kernel policy version:      28

----------------------------------------------------------------------

se disattivo temporaneamente tutto Selinux i file vengono salvati nella cartella di upload

setenforce 0

non ho voglia pero' di disabilitare tutto Selinux e lo riattivo

setenforce 1

una occhiata con il seguente comando mostra i permessi di scrittura negati al demone http
aureport --avc | tail 

----------------------------------------------------------------------

18. 06/08/2014 14:01:01 ? system_u:system_r:init_t:s0 0 (null) (null) (null) unset 535
19. 06/08/2014 14:01:08 httpd system_u:system_r:httpd_t:s0 2 dir write unconfined_u:object_r:httpd_sys_content_t:s0 denied 540
20. 06/08/2014 14:01:52 httpd system_u:system_r:httpd_t:s0 2 dir write unconfined_u:object_r:httpd_sys_content_t:s0 denied 542
21. 06/08/2014 14:02:15 httpd system_u:system_r:httpd_t:s0 2 dir write unconfined_u:object_r:httpd_sys_content_t:s0 denied 544
22. 06/08/2014 14:02:15 httpd system_u:system_r:httpd_t:s0 2 dir add_name unconfined_u:object_r:httpd_sys_content_t:s0 denied 544
23. 06/08/2014 14:02:15 httpd system_u:system_r:httpd_t:s0 2 file create system_u:object_r:httpd_sys_content_t:s0 denied 544
24. 06/08/2014 14:02:15 httpd system_u:system_r:httpd_t:s0 2 file write system_u:object_r:httpd_sys_content_t:s0 denied 544
----------------------------------------------------------------------

per avere qualche suggerimento ho usato

grep httpd_sys_content /var/log/audit/audit.log | audit2allow

----------------------------------------------------------------------

#============= httpd_t ==============
allow httpd_t httpd_sys_content_t:dir { write add_name };
allow httpd_t httpd_sys_content_t:file { write create setattr };
----------------------------------------------------------------------

che indica di abilitare in scrittura httpd

girando un po' per Google e' consigliato di abilitare i seguenti comandi selinux nel caso che sviluppino webapp

setsebool -P httpd_enable_cgi on

setsebool -P httpd_unified on

setsebool -P httpd_builtin_scripting on

a questo punto l'uploader funziona con Selinux attivato

altrimenti il metodo proposto sul wiki di Selinux e' il seguente

grep httpd _sys_content /var/log/audit/audit.log | audit2allow -M apache_selinux

semodule -i apache_selinux.pp

SD Card su CentOS 7

Al momento di inserire un SD Card nel lettore del mio IBM T61 mi sono accorto che la CentOs 7 non mi mostrava il dispositivo ed ovviamente non lo montava

dal comando lspci il lettore risulta essere un Ricoh

15:00.0 CardBus bridge: Ricoh Co Ltd RL5c476 II (rev ba)
15:00.1 FireWire (IEEE 1394): Ricoh Co Ltd R5C832 IEEE 1394 Controller (rev 04)
15:00.2 SD Host controller: Ricoh Co Ltd R5C822 SD/SDIO/MMC/MS/MSPro Host Adapter (rev 21)
15:00.4 System peripheral: Ricoh Co Ltd R5C592 Memory Stick Bus Host Adapter (rev 11)
15:00.5 System peripheral: Ricoh Co Ltd xD-Picture Card Controller (rev 11)

La soluzione e' quanto mai semplice
Basta digitare

modprobe sdhci

per fa comparire sul desktop l'icona della SD Card

Filezilla e Chrome OS su CentOs 7

Per installare Filezilla su CentOs 7 si devono aggiungere i repository mediante il comando
rpm -Uvh http://epel.mirror.net.in/epel/beta/7/x86_64/epel-release-7-0.2.noarch.rpm

fatto cio' si puo' installare il programma semplicemente con
yum install filezilla

Per Chrome la procedura e' leggermente piu' complicata (il supporto di Chrome a CentOs e' limitato alla versione 7)
da linea di comando si crea e popola il file google-chrome.repo

cat << EOF > /etc/yum.repos.d/google-chrome.repo [google-chrome] name=google-chrome - \$basearch baseurl=http://dl.google.com/linux/chrome/rpm/stable/\$basearch enabled=1 gpgcheck=1 gpgkey=https://dl-ssl.google.com/linux/linux_signing_key.pub EOF
per installare il browser si digita quindi il comando
yum install google-chrome-stable