Proteger servidor Gnu/Linux contra ataques de fuerza bruta

Por motivos de quejas, ver el artículo de forat en http://www.forat.info

Parchear Linux Kernel 2.6.24.1(vmsplice exploit) en Debian

Algunas vulnerabilidades en el Linux Kernel fueron publicadas el 8 de febrero del 2008. Estas podías ser explotadas por cualquier usuario y elevelar sus privilegios. Un exploit local fué publicado el Domingo, el cual permitía a un usuario escalar sus privilegios y convertirse en superusuario(Root).
Versiones afectadas: >= 2.6.17
Corregido en versión: 2.6.24.2

Corregir

Puedes descargar vmsplice patch localmente o desde la noticia oficial de LKML: [PATCH] vmsplice exploit fix

Parcheando en Debian Etch

Instalar Fuentes del Kernel

1 2 3 4 5 6 7

export KVER=`uname -r` aptitude update aptitude install linux-source-${KVER} cd /usr/src tar -xjf linux-source-${KVER}.tar.bz2 ln -s linux-source-${KVER} linux cd linux

Parcheando Kernel

1	patch < style="color: rgb(194, 12, 185); font-weight: bold;">patch -p1

Compilar e Instalar Kernel

1 2 3 4 5

make-kpkg clean make-kpkg --initrd --append-to-version=-mykernelname kernel_image cd .. dpkg -i linux-image-${KVER}-mykernelname_${KVER}-mykernelname-10.00.Custom_i386.deb reboot

Referencias:

• http://www.isec.pl/vulnerabilities/isec-0026-vmsplice_to_kernel.txt
• http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=465246
• http://milw0rm.com/exploits/5092
• http://milw0rm.com/exploits/5093

Noticia traducida por mí desde: http://sweon.net/2008/02/vmsplice-exploit-fix-and-patching-on-debian

La vulnerabilidad fué corregida en la versión 2.6.24.2, que puede descargarse dede Linux.org.

PD: He leido por foros diciendo que estos exploits los crearon Windouseros porque no querian usar contraseñas XD.

Instalar Openbox en Debian Etch!

Openbox es un gestor de ventanas libre para el Sistema X Window, disponible bajo licencia GPL. En sus inicios derivaba de Blackbox 0.65, pero ha sido totalmente reescrito y desde la versión 3.0 ya no está basado en ningúna porción de código ajeno. Está diseñado para ser rápido y consumir una mínima cantidad de recursos. Para conseguir esa ligereza sacrifica algunas funciones típicas en buena parte de los gestores de ventanas como por ejemplo barra de menú, lista de aplicaciones en ejecución o bordes redondeados en las ventanas. Pero a cambio ofrece otras posibilidades tales como menús generados dinámicamente capaces de ofrecer información variada.

Openbox cumple plenamente las especificaciones ICCCM y EWM. Segun Wikipedia

Bueno la verdad no conocia openbox y realmente me esta gustando mucho!. Es un gestor de ventanas livianito tipo fluxbox y se los recomiendo. Bueno ahora les voy a explicar como instalarlo y configurarlo.

Instalar los paquetes:

apt-get install openbox openbox-themes obconf obmenu

Listo con esto ya lo tenemos instalado. Solo faltaria incluirlo en el archivo /home/TUNOMBREDEUSUARIO/.xinitrc, si no lo tienen creenlo, a mi me quedó algo asi:

#xfce
#exec startxfce4

#fluxbox
#exec fluxbox

#io3
#exec ion3

#gnome
#exec gnome-session

#openbox
exec openbox

Lo iniciamos en alguna tty:

startx

Hacemos click con el derecho y tenemos el menu y los programas. Pero vemos que abrimos alguno y no tenemos el panel de tareas que nos indica los programas minimizados, para verlos tenemos que hacer alt+tab o sino instalar pypanel que se los recomiendo:

apt-get install pypanel

Debido a un problema de permisos pypanel solo se ejecuta en mi maquina en modo root, entonces para solucionarlo hice:

chown TUNOMBREDEUSUARIO:TUNOMBREDEUSUARIO /home/TUNOMBREDEUSUARIO/.Xauthority

Con esto ya tenemos funcionando pypanel. Le cambiamos el tema a openbox, abrimos obConf del menu y lo seleccionamos.
Si queremos cambiarle el wallpaper, lo haremos de la misma manera que en fluxbox. Yo utilizo fbsetbg.

fbsetbg -f fondos/fondolinux.jpg

Ahora vamos a modificar el menu! =).Deberan tener los archivos generales en su home para que se modifiquen por usuarios, si no tienen el menu en su home deben hacer:

cp /etc/xdg/openbox/rc.xml ~/.config/openbox/
cp /etc/xdg/openbox/menu.xml ~/.config/openbox/

Se acuerdan que instalamos obmenu, bueno este programita es un editor grafico para el menu pero como no aparece en el menu principal que hacemos? bueno no se preocupen que ya lo pensé jaja. Agreguen esto en el archivo .config/openbox/menu.xml de su home, antes de la linea que dice "item label="ObConf" ",por motivos que desconozco van a tener que agregarle el signo <> al final, porque si yo los coloco en esta pagina no se ve el codigo por motivos que desconozco y voy a investigar ahora =P.:

           
item label="Obmenu"
                      action name="Execute"
                              execute
                                      obmenu
                              /execute
                      /action
/item

Bueno con esto ya lo tenemos bastante a punto!. Si queremos agregar un nuevo programa el menu principal, solo tendremos que abrir obmenu y hacer click en "New Item", luego en "Label" pondremos el nombre del programa y en "Execute" la direccion del ejecutable ej: /usr/bin/pidgin para el mensajero Pidgin.!

Por ultimo cuando vuelvan a iniciar se les habra ido el wallpaper y pypanel, entonces para que cada vez que inicien se les cargue tienen que agregar esto al archivo .xinitrc. Si quieren quitar un programa para que no se ejecute pueden agregar # al comienzo de la linea.

#openbox
fbsetbg -r fondos/ &
pypanel &
yakuake &
exec openbox

Les dejo algunas capturas de mi escritorio =). Espero que les halla gustado y/o servido. Cualquier duda pueden consultar. Saludos!

Internet Explorer 5,5.5,6 en Debian, por desgracia =P

Fuente
¿Qué es IEs4Linux?

IEs4Linux es la manera simple de disponer de Microsoft Internet Explorer ejecutándose en Linux (o cualquier otro SO ejecutando Wine).

Sin clicks. Sin aburridos procesos de instalación. Sin complicaciones con Wine. Tan solo un script fácil y obtendrás tres versiones de IE para realizar pruebas de tus sitios. Además es libre y código abierto.
[edit] ¿A quién está dirigido?

* Diseñadores Web que desean migrar a Linux pero aún necesitan realizar pruebas de sus sitios en IE.
* Gente que debe abrir sitios de tipo solo-para-IE

Las instalaciones de los IEs son más pequeñas que lo usual porque tan solo incluyen los archivos necesarios para tener un buen navegador de pruebas (sin Outlook, Media Player, etc.).

Por favor, ¡¡no uses ninguno de estos IEs para navegar!! Consíguete Firefox.

Instalacion en Debian =)

Debian Sarge necesita algunos pasos antes de poder instalar IEs4Linux:

1) Necesitas una versión bastante reciente de wine y libxxf86dga1, obtenla desde backports.org: en /etc/apt/sources.list, agrega:

#wine
deb http://wine.sourceforge.net/apt/ binary/

#backports
deb http://www.backports.org/debian/ sarge-backports main

2) Loguéate como root y haz lo siguiente:

apt-get update
apt-get install wine libxxf86dga1 libxxf86vm1 cabextract

3) Desloguéate y loguéate con una cuenta de usuario. Descarga e instala IEs4Linux:

wget http://www.tatanka.com.br/ies4linux/downloads/ies4linux-latest.tar.gz
tar zxvf ies4linux-latest.tar.gz
cd ies4linux-*
./ies4linux

Mi comentario:

La verdad que esto me salvo de una manera rotunda, a quien le gustaria volverse a window$ jeje, ahora me doy cuenta lo que les cuesta a los desarrolladores de paginas adaptar las mismas a navegadores que no cumplen con los estandares, como lo hace internet explorer, como me paso a mi, hice una bonita pagina con css y cuando la vi en Internet Explorer no se veia nada =S, horrible yo no sabia que tenia tantos problemas, una bronka, por suerte encontre esto, hay que agradecer de todo corazon a este tipo, la verdad muchas gracias =). Aca les dejo una screenshot de Internet Explorer funcionando en mi escritorio. Mozilla Firefox es lo mas o Iceweasel, como les guste llamarlo!!!

Howto LTSP en Debian Etch 4 !

Howto Ltsp en Debian etch 4.0

Bueno esta guia es para aquellas personas que quieran configurar un servidor ltsp como dice el titulo obvio =),en debian etch(no le hagan caso a la imagen de edubuntu).
Para el que no tenga idea lo que es ltsp, les explico:

Linux Terminal Server Project o LTSP son un conjunto de aplicaciones servidores que proporcionan la capacidad de ejecutar Linux en computadoras de pocas prestaciones de velocidad o computadoras de bajo costo, permitiendo reutilizar equipos que actualmente resultan obsoletos debido a los altos requerimientos que piden los sistemas operativos. La última versión estable es la 4.2.2 (6 de julio del 2006).

El sistema de funcionamiento del LTSP consiste en repartir por medio de la red el núcleo de Linux que es ejecutado por los clientes y que posteriormente ejecutaran secuencias de scripts típicos de una mini distribución. Los clientes podrán acceder a las aplicaciones por medio de una consola textual o por un servidor gráfico que se comparte utilizando el protocolo XDMCP.

Actualmente uno de los campos donde se utiliza bastante LTSP es en la educación, debido a sus bajo costo de implantación que suele tener.

segun Wikipedia®.

La cuestion es que por medio de la red, boteas a las maquinas que son parte de ella, para que sirve, bueno para poder correr aplicaciones en maquinas con pocos recursos 64 mb de ram,procesador de 200 mhz y sin disco rigido =), entonces todo se ejecuta en el servidor, administrando la cuota de disco, usuarios y recursos, controlas totalmente la red =). Podemos decir que no solo se limita a algo economico =).
Bueno empecemos primero hay que hacer un recuento del hardware que tenemos en la red =). Averiguamos el tipo de placa y lo anotamos en un papel, luego buscamos un disquete o un cdvirgen lo que quieran y se bajan la imagen de arranque para su placa. Muchas veces las maquinas nuevas botean solas pero por las moscas =P.
Buscamos en Rom-o-matic y elegimos la placa, si no sabes como se llama el modulo de tu placa entra a Nombre de Modulos de Placas, parece una idiotes pero yo no veia el link ja!.
Empezemos con el servidor, yo voy a usar debian etch 4.0, con dos placas de red, una para la red interna y otra para internet.Imagino que tenemos debian instalado de 0, sin ningun servidor X como Xorg o algun gestor de ventanas o de escritorio(kde, gnome, lo que sea), cualquier cosa en un post posterior explico como instalar debian etch en modo texto, es una tonteria pero el que recien se inicia es medio duro =S.Basta de sermones y empecemos:

$su root //pasamos a root
password: //el de root
$apt-get update
#apt-get upgrade
//actualizamos paquetes
#apt-get install x-window-system-core gdm xfce4 iceweasel

/* x-windows-system-core es el servidor grafico, gdm es el login de usuarios en modo grafico y permite conexiones remota x eso hay que instalarlo, xfce4 es el administrador de escritorio que voy a instalar, aunque prefiero ventanitas fluxbox pero necesita un tunning je,iceweasel es firefox pero para debian, tiene cambiado de nombre por problemas de licencia, tmb les recomiendo yakuake que es una consola linux tipo quake o counter-strike que la bajas y subis con una tecla =) */

#apt-get install dhcp3-server atftpd libwww-perl nfs-server

/*dhcp3-server es el servidor dhcp(asigna ip automaticamente),atfpd(este servidor se encarga de transferir archivos, en este caso transfiere el kernel a cada maquina),lib son librerias*/
/*nfs-server servidor que comparte directorios y archivos tipo smb pero para *nix*/

#apt-get install ltsp-utils //el administrador de paquetes y conf de ltsp

#ltspadmin //iniciamos el programita

Luego en el programita nos van a aparecer un menu y varias opciones para elegir:
"Configure the installer options" //entramos con enter y dejamos todo en default

"Install/Update ltsp packages" /*En el seleccionaremos todos los paquetes y presionamos "Q", aproximadamente descargara 120 mb en total,ni se atrevan con dialup =P */

Luego ingresamos en:
"Configure LTSP" y presioname la tecla 'S" para ver el estado de los servicios, posteriormente los configuramos manualmente presionamos la "C"
Presionamos:
"1" y nos preguntara el nivel de inicio elegimos "2", nos quedaria runlevel=2;
"2" elegimos la placa de red que esta conectada a la red interna y por la cual el servidor dhcp entregara las ip, en mi caso era la eth1 entonces puse "eth1";
"3" Creamos el archivo de configuracion, mas adelante mostrare el mio para que lo tengan de ejemplo.
"4" al "11" presionamos la tecla "y" para activar los servicios.
Presionamos "R" y volvemos al menu, luego la "q" y lo quitamos.


**Configurando las placas desde el arranque**
Con su editor favorito modifiquen el siguiente archivo, yo lo hago con el editor vim.

# vim /etc/network/interfaces//le mostrara un archivo de texto, agreguen esto
##Copiar##
auto eth1 #mi placa, si la suya es otra lo modifican
iface eth1 inet static #estamos diciendo que la ip en la placa eth1 sea estatica.
address 192.168.0.1 # la ip que le asignamos
netmask 255.255.255.0 #la mascara de subred
gateway 192.168.0.1 #la misma que la ip.
##fin##
#/etc/init.d/networking restart //reiniciamos
Reiniciamos la maquina: //para que se aplique todos los cambios
#shutdown -r now

Ingresamos de nuevo al ltspadmin
#ltspadmin
//como root por supuesto,entramos en la opcion "Configure LTSP" y presionamos la "S" y vemos que esta funcionando. si algo dice que no en running quiere decir que no arranco =S.
Con esto ya tendrian que arrancar las maquinas como dicen los tutoriales, obviamente que a mi no me arranco de una =).

**Configurando el servidor dhcp3**
#vim /etc/dhcp3/dhcp.conf //este es mi archivo

# dhcpd.conf

ddns-update-style ad-hoc;
option subnet-mask 255.255.255.0;
option broadcast-address 192.168.0.255;
option routers 192.168.0.1;
option domain-name-servers 192.168.0.1;
option domain-name "192.168.0.1";
option option-128 code 128 = string;
option option-129 code 129 = text;
get-lease-hostnames true;

next-server 192.168.0.1;
option root-path "192.168.0.1:/opt/ltsp/i386";

#Configuracion basica
#subnet 192.168.0.0 netmask 255.255.255.0 {
# range 192.168.0.100 192.168.0.199;
# if substring (option vendor-class-identifier, 0, 9) = "PXEClient" {
# filename "/tftpboot/lts/2.6.16.1-ltsp-2/pxelinux.0";
# }
# else{
# filename "/tftpboot/lts/vmlinuz-2.6.16.1-ltsp-2";
# }
#}


subnet 192.168.0.0 netmask 255.255.255.0 {
range 192.168.0.2 192.168.0.60;
}
group {
option log-servers 192.168.0.1;
option root-path "192.168.0.1:/opt/ltsp/i386";
next-server 192.168.0.1;

host vieja{
hardware ethernet 00:A0:24:0D:2D:F8;
fixed-address 192.168.0.40;
filename "/tftpboot/lts/vmlinuz-2.6.16.1-ltsp-2";
option option-128 e4:45:74:68:00:00; # NO es la direccion mac, sino que xq es la placa es ISA.
option option-129 "NIC=3c509";
}
host nueva{
hardware ethernet 00:11:25:4D:67:FB;
fixed-address 192.168.0.35;
filename "/tftpboot/lts/vmlinuz-2.6.16.1-ltsp-2";
option option-129 "NIC=eepro100-1032";
}

}
#
# If you need to pass parameters on the kernel command line, you can
# do it with option-129. In order for Etherboot to look at option-129,
# you MUST have option-128 set to a specific value. The value is a
# special Etherboot signature of 'e4:45:74:68:00:00'.
#
# Add these two lines to the host entry that needs kernel parameters
#
# option option-128 e4:45:74:68:00:00; # NOT a mac address
# option option-129 "NIC=ne IO=0x300";
#

Como veran tengo dos maquinas, maquina nueva y maquina vieja en ellas especifico:

host nueva{ //el nombre en este caso nueva
hardware ethernet 00:11:25:4D:67:FB; //pongan la mac de la placa de la pc
fixed-address 192.168.0.35; //pongan la ip de la maquina
filename "/tftpboot/lts/vmlinuz-2.6.16.1-ltsp-2"; // la dire del kernel ltsp
option option-128 e4:45:74:68:00:00;/*solo si tienen una placa isa agreguen esta linea*/
option option-129 "NIC=eepro100-1032"; /*es el nombre del modulo de la placa, en este caso eepro100-1032*/
y cierren }

bueno espero que les haya servido este mini tuto de ltsp,si tiene dudas no dudan en preguntar, yo no soy ningun experto pero quizas pueda ayudar, yo tengo mis problemas que los ire solucionando a medida que siga aprendiendo sobre este interesante tema!
Bueno si se les presenta algun problema de conectividad instalen algun sniffer como wireshark ex ethereal:

#apt-get install wireshark
Con el se va a dar cuenta de varios problemas basicos ej:
**Problemas Basicos** =P
Si cuando inician una maquina le muestra kernel panic y al snifear los paquetes
tira error de transferencia aftp, podemos identificarlo con el tipo de protocolo que es tftp, seguramente el directorio en dhcp.conf está equivocado:
Yo utilizo: filename "/tftpboot/lts/2.6.16.1-ltsp-2/pxelinux.0";
En otras ocaciones les indica "/tftpboot/ltsp-4.2/" y es erroneo.
Otro problema es del protocolo nfs, similar al error anterior
fijense en el archivo /etc/exports y vean que la ruta que comparte este todo OK.
Saludos a todos y mucha suerte! =).