Одминский блог

RDP и атака изнутри

Что делать админу без удаленного доступа к серверу, или рабочей станции. Бегать по этажам, со своего места в серверную, или к клиенту- никаких ног не хватит. Выручает только удаленный доступ, но не ко всем машинам можно достучаться по ssh, у нас же в парке всегда присутствует достаточное количество Windows серверов, и тогда мы прибегаем к помощи RDP.
Читать полностью »

Теги: IT безопасность, nla, rdp, ssl, vpn, Windows, атака, доступ, сервер, терминал

Подборка Q&A для сертификации

В процессе навигации по интернету попал на один очень познавательный сайт, на котором выложены решебники тестов для сертификациям по многочисленным техническим вендорам, таким как Cisco, Check Point, ISS, Apple и многим другим. За такой сайт, я бы полгода назад наверное продал душу, поскольку его начинка почти идентична содержанию тестов от Testking, ActualTests и Fravo, с той лишь разницей, что комплект Q&A от этих сайтов обойдется от 50 до 150 бачей, а эти предоставляются бесплатно, то есть даром.

Поскольку в душе еще свежи воспоминания о моих душевных терзаниях, могу сказать что Check Point вопросами очень похож на те вопросы, что идут на сертификации, а вот ISS что то выглядит совершенно по другому,  хотя какая то часть вопросов встречается в тестах.

При заходе на сайт доступны для скачивания первые 10 страниц, на которые влезает  примерно 50 вопросов, остальное предоставляется по требованию, после того как вы покликаете на размещенную на сайте рекламу AdSense и отошлете авторам письмо с просьбой разблокировать доступ к их базе Q&A.

Теги: Q&A, обучение, сертификация, тесты

Отладка приложений с помощью Dr.Watson

Иногда возникает необходимость узнать, что же происходит в мозгах у системы, при том, что в системные логи операционка не пишет никакой информации. Для этого нужно воспользоваться встроенным в систему дебаггером Dr.Watson. Его расположение по умолчанию %SystemRoot%\system32\drwtsn32.exe
1. Для начала нужно зарегистрировать Dr Watson как дебаггер по умолчанию, для этого говорим
Пуск -> Выполнить (или “майкрософтовское окошко” + R) и запустить drwtsn32 -i
2. Теперь настроим Dr Watson
Пуск -> Выполнить и drwtsn32
3.  Изменяем в соответствии
Файл журнала = путь по которому будет находится лог файл (Drwtsn32.log)
Аварийная копия памяти  = путь по которому ляжет дамп памяти (user.dmp)
Тип аварийного дампа = Полный
Параметры  = включить все радиокнопки (можно не включать Визуальное и Звуковое оповещения)
4. Когда какое либо приложение, которое и нужно отследить, вылетит в очередной раз дамп памяти создатся в том файле который мы определили в 3 пункте, после чего мы его можем открыть и начать ковырять, на предмет поиска непонятностей.

Отключить Dr.Watson можно следующим образом:

1. Вызвать редактор реестра: Пуск -> Выполнить, выполнить команду regedit
2. Зайти в следующую ветвь реестра:
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\
3. Сделать резервную копию имеющейся ветки, чтобы была возможность откатиться:  щелкаем в раздел AeDebug, затем правой клавишей мышки вызываем меню, там пункт Экспортировать, выбираем куда и Сохранить.
4. После этого удаляем из системного реестра раздел AeDebug.

В удаленном разделе системного реестра AeDebug находятся конфигурации параметров которые использует системный отладчик Windows Dr. Watson. Этот дебаггер назначается по дефолту и используется при сбоях в работе приложений (в том случае если параметр Auto установлен в значение 1). Дефолтные настройки для Dr. Watson:

Теги: Dr.Watson, отладка

Мировая карта Интернет угроз

Компания McAfee выложила на своем сайте карту Internet угроз для пользователя. То есть представлена разблюдовка по странам к которым принадлежат домены верхнего уровня, на которые наиболее опасно заходить конечному пользователю.

Самым опасным признан домен Камеруна (с 36.7% сайтами несущими угрозу посетителю) cm, вытеснивший с этой позиции прошлогоднего лидера Гонконг (в котором, в этой связи, была введена обязательная идентификация личности при регистрации домена в зоне hk).
Такой необыкновенный рост следует приписать схожему написанию домена cm и второго лидера хит-парада, домена com, отвечающего за коммерческие организации, чьим сходством нередко пользуются злоумышленники, размещая в камерунских доменах поддельные сайты, чей синтаксис почти ничем не отличается от написания законопослушного оригинального.

На третьем месте расположился Китай, и наши оба домена стабильно входят в десятку лидеров: 9 и 8 места у российского и постсоветского доменов ru и su.

Читать полностью »

Теги: IT безопасность, домен, интернет

Лечение sfcfiles.dll и sfc.sys

Столкнулся с пакостным вирусом который сидит в двух файлах %SysWin%System32/sfcfiles.dll и %SysWin%System32/drivers/sfc.sys, причем оба видятся NOD32 который кричит что их надо удалить и точка, после чего машина перегружается и NOD видит их снова. Сам он в логах трактует их как троян программы  Win32/Asent.PHC и Win32/Patched FR, по dr.web’овской классификации это Trojan.Siggen.1342 и Trojan.WinSpy.184 соответственно.

Читать полностью »

Теги: вирусня, троян

Изменение значений TTL в сервере DNS/BIND при миграции

На той неделе помогал перевозить клиентов со всеми их серваками и прочим мусором, и вот очень хотелось сделать так, чтобы время разброда и шатания почты по инету, в поиске обновления доменных записей, было минимальным.  Основная причина того, что некоторые развеселые клиенты не могут прислать письмо неделями- это устаревание кэша DNS серверов, т.е. вы уже две недели как переехали, а чужой сервер до сих пор полагает, что вы хоститесь под старым IP адресом. Лечится это изменением в меньшую сторону параметра $TTL в SOA записи.

DNS TTL это параметр по аналогии с параметром жизни сетевого пакета (Time To Live) отвечающий за существование записи DNS зоны в кеше DNS сервера, без дополнительных изменений.  По достижении установленного времени, кеширующий сервер запрашивает DNS сервер, содержащий доменную зону, информацию о зоне.
Читать полностью »

Теги: dns, ip, soa, ttl, домен, интернет, настройка системы, сайты

Дефрагментация и сжатие InnoDB

Есть у меня отличный почтарь, да не один, а несколько. Все они крутятся в связке Exim + DBmail + MySQL, конечно там есть много чего еще, но это основная связка, и нас из неё интересует последняя составляющая mySQL. Дело в том, что база пользователей и всего имеющегося мусора крутится по мускулем и хостится в базе типо InnoDB, которую необходимо постоянно сжимать и сканировать. Желательно каждую ночь, чтобы мусор скопившийся за день, не забивал место в табличном пространстве.

К большому сожалению база InnoDB работает по принципу ниппеля, т.е. туда дуй, оттуда х… Объясняя это доступным языком- табличное пространство может как расширяться так и уменьшаться, но физический размер базы при этом изменяется только в сторону увеличения. Проще говоря если у вас база была на максимуме 20гигов, и после этого вы её почистив освободили 90% пространства, внутри база у вас будет свободна на 90% (посмотреть свободное пространство можно командой в консоли управления сервером: mysql> show table status; ), но снаружи она так и будет занимать на диске 20 Гиг физического пространства диска. Так вот у меня, на одном из серверов, она успела разрастись, пока я прочухал тот факт, что забыл установить чистящий скриптик, до 250 Гигов, которые конечно работают как часы, но самой цифрой действуют мне на нервы. В этой связи надо что то делать. Но делать можно только одним способом, а именно перегнать базу в дамп sql и затянуть его обратно, предварительно дропнув имеющегося монстра. В этой связи, ровно как и для дефрагментации табличного пространства, нашим лучшим другом является системная утилита mysqldump, входящая в стандартный комплект поставки сервера mySQL.

*** Для дефрагментации InnoDB также можно использовать способ двойной перегонки базы, с помощью команды ALTER преобразовать её в тип MyISAM, а затем обратно в тип InnoDB.
Читать полностью »

Теги: exim, FreeBSD, innodb, mysql, sql, Unix, база данных, дамп