Gabriel "Pnordico" Menezes: Estamos no FISL!

Infelizmente “eu” não estou, mas o GentooBR está presente no FISL 12!

E ganhamos um banner de nossa autoria para o artwork (Ano que vem sai melhor!)

Alexandro Silva: LulzSec, Anonimous, Operação AntiSec…2011 bombando!!

O Anchises postou em seu excelente blog um comentário bastante sóbrio sobre o LuLzSec. Segue um techo:

Várias empresas e profissionais de segurança de todo o mundo estão em alerta desde que os grupos hacktivistas Anonymous e LulzSec lançaram a “Operation Anti-Security” (em português, “Operação Anti-Segurança”), ou simplesmente, AntiSec.

O grupo Lulz Security (conhecido principalmente como LulzSec) surgiu recentemente, como um dissidência do Anonymous. Enquanto o Anonymous tem focado suas operações recentes principalmente em ataques e protestos com motivação política, o LulzSec tem realizado ataques com objetivo de expor a fragilidade de várias empresas, como a Sony, um de seus alvos prediletos e que deu destaque ao grupo. Após um breve rumor surgido na semana passada de que os dois grupos estariam em guerra, ambos soltaram um comunicado em conjunto neste final de semana (no dia 19/06, mais precisamente) avisando de que juntaram forças e deram início a uma nova campanha contra governos, bancos e grandes empresas de todo o mundo, chamada “Operation Anti-Security”.

Recomendo muito a leitura!

Leia mais em AnchisesLandia

Gabriel "Pnordico" Menezes: DWA 125 – Ralink RT2870 – Linux

Eis que pro meu desespero “descubro” que o driver oferecido pela DLink ( DRIVER_LINUX_DWA-125_STA_v2.1.2.0.tar.gz ) e/ou pela Ralink  ( 2010_0709_RT2870_Linux_STA_v2.4.0.1.tar.bz2 ) já não compilam nas versões recentes do kernel (incompatibilidades, referências a funções descontinuadas, etc).

Eis que para minha felicidade “descubro” [1] que as versões mais recentes do kernel possuem suporte nativo (ainda que experimental) que até então tem se comportado muito bem. Siga o caminho:

Device Drivers —>
Staging Drivers —>
<*> Ralink 2870/3070 wireless support

Compile e seja feliz.

É necessário possuir o firmware disponível em http://www.ralinktech.com/support.php?s=2

Mais especificamente [Firmware RT28XX/RT30XX USB series (RT2870/RT2770/RT3572/RT3070)] (Preencha qualquer nome e email)

Curioso é que o módulo do kernel buscou por rt3070.bin enquanto o arquivo fornece rt2870.bin. Um link simbólico resolveu o problema.

Sem mais.

Alexandro Silva: Ossec HIDS – Bloqueando o ZmEu bot e outros Web scanners

&lt;a href=&quot;http://blog.alexos.com.br/?p=2650&amp;amp;lang=pt-br&quot; title=&quot;Ossec HIDS - Bloqueando o ZmEu bot e outros Web scanners&quot;&gt;&lt;/a&gt;&lt;p&gt;&lt;a href=&quot;http://blog.alexos.com.br/wp-content/uploads/2011/06/zmeu.jpg&quot;&gt;&lt;img class=&quot;alignleft size-thumbnail wp-image-2661&quot; title=&quot;zmeu&quot; src=&quot;http://blog.alexos.com.br/wp-content/uploads/2011/06/zmeu-150x150.jpg&quot; height=&quot;150&quot; alt=&quot;&quot; width=&quot;150&quot; /&gt;&lt;/a&gt;A &lt;a href=&quot;http://www.pentestit.com/2010/01/15/list-free-web-application-scanners/&quot;&gt;enchurrada de Web scanners&lt;/a&gt; disponíveis na internet e o infeliz do &lt;a href=&quot;http://linux.m2osw.com/zmeu-attack&quot;&gt;ZmEu bot&lt;/a&gt; acabam tornando a vida dos nossos servidores Web um inferno.&lt;/p&gt; &lt;p&gt;Geralmente o Apache responde a estas tentativas com sucessivos error 400 ( Bad Request ). Para acabar com essa apurrinhação podemos bloqueá-las usando o &lt;a href=&quot;http://www.ossec.net/&quot;&gt;Ossec HIDS&lt;/a&gt;.&lt;/p&gt; &lt;p&gt;Exemplo de um log do ZmEu bot&lt;/p&gt; &lt;blockquote&gt;&lt;p&gt; 82.145.xx.xx – – [13/Aug/2010:07:19:36 -0300] “GET /phpadmin/scripts/setup.php HTTP/1.1″ 404 192 “-” “ZmEu”&lt;br /&gt; 82.145.xx.xx – – [13/Aug/2010:07:19:35 -0300] “GET /typo3/phpmyadmin/scripts/setup.php HTTP/1.1″ 404 198 “-” “ZmEu”&lt;br /&gt; 82.145.xx.xx – – [13/Aug/2010:07:19:35 -0300] “GET /mysqladmin/scripts/setup.php HTTP/1.1″ 404 194 “-” “ZmEu”&lt;br /&gt; 82.145.xx.xx – – [13/Aug/2010:07:19:34 -0300] “GET /myadmin/scripts/setup.php HTTP/1.1″ 404 192 “-” “ZmEu”&lt;br /&gt; 82.145.xx.xx – – [13/Aug/2010:07:19:33 -0300] “GET /dbadmin/scripts/setup.php HTTP/1.1″ 404 191 “-” “ZmEu”&lt;br /&gt; 82.145.xx.xx – – [13/Aug/2010:07:19:33 -0300] “GET /admin/phpmyadmin/scripts/setup.php HTTP/1.1″ 404 196 “-” “ZmEu” &lt;/p&gt;&lt;/blockquote&gt; &lt;p&gt;Para isso adicione as linhas abaixo dentro da tag &lt;strong&gt;Active Response Config&lt;/strong&gt; localizada no arquivo &lt;em&gt;&lt;strong&gt;/var/ossec/etc/ossec.conf&lt;/strong&gt;&lt;/em&gt;&lt;/p&gt; &lt;div class=&quot;codecolorer-container xml geshi&quot; style=&quot;overflow: auto; white-space: nowrap;&quot;&gt; &lt;table&gt; &lt;tr&gt; &lt;td class=&quot;line-numbers&quot;&gt; &lt;div&gt;1&lt;br /&gt;2&lt;br /&gt;3&lt;br /&gt;4&lt;br /&gt;5&lt;br /&gt;6&lt;br /&gt;7&lt;br /&gt;8&lt;/div&gt; &lt;/td&gt; &lt;td&gt; &lt;div class=&quot;xml codecolorer&quot; style=&quot;white-space: nowrap;&quot;&gt;&lt;span style=&quot;color: #808080; font-style: italic;&quot;&gt;<!– Active response to block http scanning –&amp;gt;&lt;/span&gt; &lt;p&gt;&lt;/p&gt; &lt;p&gt;    &lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;active-response&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt; &lt;br /&gt;         &lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;command&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt;route-null&lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;/command&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt; &lt;br /&gt;         &lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;location&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt;local&lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;/location&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt;&lt;/p&gt; &lt;p&gt;    &lt;span style=&quot;color: #808080; font-style: italic;&quot;&gt;<!– Multiple web server 400 error codes from same source IP –&amp;gt;&lt;/span&gt; &lt;br /&gt;         &lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;rules_id&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt;31151&lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;/rules_id&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt; &lt;br /&gt;         &lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;timeout&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt;600&lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;/timeout&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt; &lt;/p&gt; &lt;p&gt;    &lt;span style=&quot;color: #009900;&quot;&gt;&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;lt;/active-response&lt;span style=&quot;color: #000000; font-weight: bold;&quot;&gt;&amp;gt;&lt;/span&gt;&lt;/span&gt;&lt;/span&gt;&lt;/p&gt;&lt;/div&gt; &lt;/td&gt; &lt;/tr&gt; &lt;/table&gt; &lt;/div&gt; &lt;p&gt;A configuração acima executará o script route-null sempre que a regra 31151 em web_rules.xml for detectada bloqueando o atacante por 10 min ( 600s ), isto significa que ocorrendo vários erros 400 no log do Apache o ip de origem será bloqueado por 10 min.&lt;/p&gt; &lt;p&gt;&lt;strong&gt;Fonte:&lt;/strong&gt;&lt;/p&gt; &lt;p&gt;&lt;a href=&quot;http://itscblog.tamu.edu/protecting-web-servers-with-ossec/&quot;&gt;ITSC Blog&lt;/a&gt;&lt;/p&gt; &lt;div&gt;&lt;h3&gt;See:&lt;/h3&gt;&lt;ul&gt;&lt;li&gt;&lt;a href=&quot;http://blog.alexos.com.br/?p=2180&amp;amp;lang=pt-br&quot; class=&quot;crp_title&quot;&gt;Nessus Viewer&lt;/a&gt;&lt;/li&gt;&lt;li&gt;&lt;a href=&quot;http://blog.alexos.com.br/?p=1644&amp;amp;lang=pt-br&quot; class=&quot;crp_title&quot;&gt;Beta-Testing: Ossec 2.4 Beta&lt;/a&gt;&lt;/li&gt;&lt;li&gt;&lt;a href=&quot;http://blog.alexos.com.br/?p=1345&amp;amp;lang=pt-br&quot; class=&quot;crp_title&quot;&gt;Habilitando o MSA ( submission ) no Postfix&lt;/a&gt;&lt;/li&gt;&lt;li&gt;&lt;a href=&quot;http://blog.alexos.com.br/?p=2157&amp;amp;lang=pt-br&quot; class=&quot;crp_title&quot;&gt; H3ll0 2k11&lt;/a&gt;&lt;/li&gt;&lt;li&gt;&lt;a href=&quot;http://blog.alexos.com.br/?p=1630&amp;amp;lang=pt-br&quot; class=&quot;crp_title&quot;&gt;Novidades FLISOL 2010 Salvador&lt;/a&gt;&lt;/li&gt;&lt;/ul&gt;&lt;/div&gt;

Rafael Gomes: Monitorando com Zabbix a impressora HP Color LaserJet CM1312 sem SNMP

Após muito procurar na internet, principalmente no site da HP, por uma MIB de qualidade. Para que assim eu pudesse entender melhor os valores retornados no snmpwalk.

Sem sucesso. Perdi a paciência e fui para a ignorância! Criar um script pra obter o dado que preciso.

Essa impressora tem uma interface web, que mostra muitas informações, incluído o nível de tinta, que nesse caso é meu foco.

Mão a massa!

Estou usando o CentOS, mas os comandos não diferem muito para outras distribuições.

Primeiro vamos instalar o lynx:

# yum install lynx -y

Pronto! Agora verifique se sua pasta de scripts externos do zabbix está criada:

# ls /etc/zabbix/externalscripts

Caso não esteja, crie com esse comando:

# mkdir /etc/zabbix/externalscripts

Obs: Verifique no seu arquivo de configuração, se o caminho da pasta é esse mesmo:

# cat /etc/zabbix/zabbix_server.conf | grep "ExternalScripts="

Após criado a pasta, crie dentro dessa pasta o arquivo abaixo:

# vi obtem_nivel_tinta.sh

Com o seguinte conteúdo:

#!/bin/bash

## Removendo possível página

rm -f /tmp/pagina

## Baixando a página

/usr/bin/lynx -dump -accept_all_cookies “http://$1/hp/device/info_suppliesStatus.html?tab=Status&amp;menu=SupplyStatus” > /tmp/pagina

## Buscando informação desejada

cat /tmp/pagina | grep “Cartucho $2″ -A 1 | grep % | cut -d” ” -f10 | sed “s/\%//g”

## Removendo página

rm -f /tmp/pagina

Agora modifique a permissão do arquivo:

# chmod +x obtem_nivel_tinta.sh

Pronto, agora efetue seu login no Zabbix e crie um host com o ip da sua impressora e nele um novo item de acordo com a imagem abaixo:

Salve o item, depois efetue o clone, mude o parâmetro Preto para Ciano, depois faça o mesmo com Magenta e depois Amarelo.

Obs: Perceba que esse comando é sensível a case, não esqueça que a primeira letra do parâmetro é MAIÚSCULA.

Pronto! Perceba que com esse script é possível obter QUALQUER informação da interface web, isso com algumas modificações simples.

Aurelio A. Heckert: Performance goes up like a rocket with BC

I had presumed but i never had thought how much the performance can grow when giving some logic from BASH to BC. Ok... We all know, BASH is some of the slowest languages in the world, but BASH scripts that hard work with math can be as fast as other languages if we let some logic to the BC, an arbitrary precision numeric processing language.

When i started to work with the XPM Image script (my new pet project) i realized that BASH is more slow then i think, but i also realized that i can give to BC much more then only some simple math expressions to compute. In BC i can define variables, set flux control, functions... Well thats a real programming language and i'm underusing it.

In a small test i had the confirmation: BC with inside loops is much faster than BASH loops with BC inside. The question is: "How much?" ... Taking advantage i decide to test how much the verbose hinders the performance. So i did this change on the pixel matrix generator loop:

echo 'A: Loops in bash + With verbose code'
time (
  helix='|/-\'
  for y in $( seq 0 $(($h-1)) ); do
    echo -ne "Line $y   ${helix:$(($y%4)):1} \r" >&2
    echo -n '"'
    for x in $( seq 0 $(($w-1)) ); do
      echo "
        $bc_pal_func
        $bc_round_func
        define f(x,y,w,h) { $func }
        # calc the position on the pallete for the current pixel:
        p = round( 255 * f($x,$y,$w,$h) );
        num_to_pal(p)" | bc -l
    done
    echo -n '"'
    test $y -lt $(($h-1)) && echo ','
  done > /tmp/pix-matrix-1
  echo "Done.                  " >&2
)

echo 'B: Loops in bash + Without verbose code'
time (
  for y in $( seq 0 $(($h-1)) ); do
    echo -n '"'
    for x in $( seq 0 $(($w-1)) ); do
      echo "
        $bc_pal_func
        $bc_round_func
        define f(x,y,w,h) { $func }
        # calc the position on the pallete for the current pixel:
        p = round( 255 * f($x,$y,$w,$h) );
        num_to_pal(p)" | bc -l
    done
    echo -n '"'
    test $y -lt $(($h-1)) && echo ','
  done > /tmp/pix-matrix-2
)

echo 'C: Loops in bc + With verbose code'
time (
  export BC_LINE_LENGTH=$(( $w * 2 + 5 ))
  echo "
    $bc_pal_func
    $bc_round_func
    define f(x,y,w,h) { $func }
    helix_pos = 0;
    define void verbose(line) {
      print \"Line \",y,\"   \"
      if ( helix_pos == 0 ) print \"|\" \
      else if ( helix_pos == 1 ) print \"/\" \
      else if ( helix_pos == 2 ) print \"-\" \
      else {
        print \"\\\\\\\\\";
        helix_pos = -1;
      }
      helix_pos += 1;
      print \"   \\n\";
    }
    for ( y=0; y<$h; y++ ) {
      verbose(y)
      print \"\\q\"
      for ( x=0; x<$w; x++ ) {
        # calc the position on the pallete for the current pixel:
        p = round( 255 * f(x,y,$w,$h) );
        num_to_pal(p)
      }
      print \"\\q\"
      if ( y < $(($h-1)) ) print \",\"
      print \"\\n\"
    }" | bc -l |
    while read line; do
      test "${line:0:4}" = "Line" \
      && echo -en "  $line     \r" >&2 \
      || echo "$line"
    done > /tmp/pix-matrix-3
  echo "Done.                    " >&2
)

echo 'D: Loops in bc + Without verbose code'
time (
  export BC_LINE_LENGTH=$(( $w * 2 + 5 ))
  echo "
    $bc_pal_func
    $bc_round_func
    define f(x,y,w,h) { $func }
    for ( y=0; y<$h; y++ ) {
      print \"\\q\"
      for ( x=0; x<$w; x++ ) {
        # calc the position on the pallete for the current pixel:
        p = round( 255 * f(x,y,$w,$h) );
        num_to_pal(p)
      }
      print \"\\q\"
      if ( y < $(($h-1)) ) print \",\\n\"
    }" | bc -l > /tmp/pix-matrix-4
)

As you see, there is 4 matrix generators testing loops inside x outside BC, and with x without verbose code. Each block will be tested with the time command. Then i run it to generates two images one with 200x200 pixels and other with 20x20 pixels. See the results:

Sequence 1 - run ./image 200 200

A: Loops in bash + With verbose code
Done.                  

real    4m55.433s
user    4m36.953s
sys     0m59.660s

B: Loops in bash + Without verbose code

real    4m45.620s
user    4m38.969s
sys     0m57.516s

C: Loops in bc + With verbose code
Done.                    

real    0m3.571s
user    0m3.172s
sys     0m0.148s

D: Loops in bc + Without verbose code

real    0m3.241s
user    0m2.896s
sys     0m0.212s

Seq1-A 4m55.433s

Seq1-B 4m45.620s

Seq1-C 0m3.571s

Seq1-D 0m3.241s

Sequence 2 - run ./image 20 20

A: Loops in bash + With verbose code
Done.                  

real    0m3.124s
user    0m2.822s
sys     0m0.626s

B: Loops in bash + Without verbose code

real    0m2.953s
user    0m2.868s
sys     0m0.576s

C: Loops in bc + With verbose code
Done.                    

real    0m0.073s
user    0m0.044s
sys     0m0.004s

D: Loops in bc + Without verbose code

real    0m0.070s
user    0m0.032s
sys     0m0.008s

Seq2-A 0m3.124s

Seq2-B 0m2.953s

Seq2-C 0m0.073s

Seq2-D 0m0.070s

What that means?

With simple calculus we can see that:

Comparing sequence 1 (image 200 200)

Seq1-A x Seq1-B:
Loops in bash, without verbose code is 3.32% faster then with verbose code

Seq1-C x Seq1-D:
Loops in bc, without verbose code is 9.24% faster then with verbose code

Seq1-A x Seq1-C:
Loops in bc runs 82.73 times faster than in bash

Comparing sequence 2 (image 20 20)

Seq2-A x Seq2-B:
Loops in bash, without verbose code is 5.41% faster then with verbose code

Seq2-C x Seq2-D:
Loops in bc, without verbose code is 4.11% faster then with verbose code

Seq2-A x Seq2-C:
Loops in bc runs 42.79 times faster than in bash

The bigest thing is: I must give all math related logic to BC and something more when it is possible. This praxis is not only times faster it is computationally less expensive, by that the [BASH code time] / [BC code time] grows when we try to generate the bigger image

The verbosity affects the performance, that makes a 200x200 image only 330 milliseconds slow, inside the BC code. The user can't feel that. Nice! :-)

Interested? Visit the XPM Image website.

Alexandro Silva: Ossec HIDS 2.6 Beta Testing – Novas funcionalidades

O Ossec HIDS 2.6 está no forno. A versão beta desta que para mim é uma das melhores ferramentas de segurança da atualidade foi anunciada recentemente pelo Daniel Cid, criador e principal mantenedor.
Venho acompanhando a evolução desta versão através do respositório no Bitbucket.

Vejam algumas funcionalidades anunciadas:

Suporte IPv6

Novas regras para OpenBSD, Clamav, BRO-ids, active response logs,etc

Criação e configuração automatizada das chaves dos agentes através do os-authd

Melhorias nos relatórios de alteração dos arquivos

Bloqueio contra tentativas de intrusão repetitivas

Algumas destas novas funcionalidades estão sendo bastante úteis no meu dia a dia.

Relatórios de alteração dos arquivos

A checagem de integridade faz parte do Ossec desde de sua criação. Este versão diponibiliza uma relatório mais apurado dos arquivos alterados. Um exemplo interessante é o monitoramento das alterações dentro do diretório /var/www. Para isso adicione uma tag directories dentro do arquivo /var/ossec/etc/ossec.conf com as seguintes opções:

realtime=”yes”
report_changes=”yes”

Info:

realtime – Fará o monitoramento em tempo real do diretório
report_changes – Informará o que foi alterado em um arquivo

OBS: Outras opções podem ser encontradas no Manual do Ossec HIDS

Segue o exemplo de um simples relatório gerado após está alteração:

zcat /var/ossec/logs/alerts/2011/May/*.gz | /var/ossec/bin/ossec-reportd

Top entries for ‘Filenames’:
————————————————
/etc/apache2/sites-available/XXX.. |3 |
/etc/apache2/sites-enabled/XXX |3 |
/etc/ld.so.cache |2 |
/etc/ossec-init.conf |2 |
/etc/alternatives/www-browser |1 |
/etc/alternatives/www-browser.1.gz |1 |
/etc/apache2/sites-available/XXX |1 |
/etc/apache2/sites-enabled/XXX |1 |
/etc/init.d/.depend.boot |1 |
/etc/init.d/.depend.start |1 |
/etc/init.d/.depend.stop |1 |
/etc/mailcap |1 |
/usr/bin/www-browser |1 |

Bloqueio contra tentativas de intrusão repetitivas

Isso soa como música para meus ouvidos. Venho usando esta funcionalidade a algum tempo e realmente faz a diferença em servidores muito visados com os de FTP por exemplo. Para habilitá-la siga o exemplo apresentado no blog do DCid

Os desenvolvedores do Ossec HIDS estão mandando muito bem. Por enquanto não estou encontrando bugs nos testes desta versão beta, tenham certeza que eles estão sendo realizados em sistemas onde as tentativas de invasão são constantes.