Beiträge von Artimis

Hier ist gerade einer im Angebot:
http://www.amazon.de/V3tec-V3Tec-Boxsack-Fitness/dp/B0015IOZ1G/ref=sr_1_4?ie=UTF8&s=sports&qid=1283258477&sr=8-4

Felix, ich rate dir dringend, sowas zuzulegen, als dich selbst als Prügelknabe zu offerieren

Hm, stimmt, das könnte gut angehen. Zumindest sind die anderen Variablen auf phpinfo(18) enthalten.
Naja, zu spät. Ich arbeite nun mit getenv() und ärgere mich mit dem learn-address-Script rum, was wieder nicht funktionieren will, sondern mit die Shell mit Fehlermeldungen vollballert, obwohl das Script ausführbar ist, einwandfrei funzt und mit exit(0) abeschließt...

OK, sorry Leute, es hat sich erledigt.

Fragt mich nicht, warum das Bash-Script nicht funktioniert und warum sich $_ENV['wert'] und getenv('wert') unterscheiden. Es ist einfach so.

Mit getenv('wert') funktioniert es jedenfalls und mehr will ich nicht.

Naja, jedenfalls keine performanten GameServer gehostet sondern Tetris gespielt

Klar kann man Web- und GameServer zusammen hosten. Man kann auch eine Katze und einen Vogel in einen Raum stecken.
Mal geht es gut, mal nicht unbedingt. Wobei erfahrungsgemäß zweiteres der Fall ist.
OK, wenn die Maschine ordentlich was auf dem Kasten hat, sollte es kein Problem darstellen. Ich habe es auch schon auf Maschinen geringerer Leistung gemacht.
Aber auf vServern und ohne feste Ressourcen...

Hallo Leute,

ich schlage gleich auf den Monitor ein:
Mein openVPN-Server weigert sich scheinbar beharrlich, die Variablen "username" und "password" an das unter auth-user-pass-verify genannte Script weiterzugeben.

Die Script-Security habe ich bereits auf 3 gesetzt.

Und ich kann machen, was ich will: Es wird schlicht nichts übergeben. Das habe ich per bash-Script und PHP überprüft.

Meine server.conf:

mode server
tls-server
local <meine IP eben>
user openvpn
group openvpn
port 50000
proto udp
dev tap10
ifconfig 10.0.0.1 255.255.255.0
persist-key
persist-tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh4096.pem




[B]auth-user-pass-verify /etc/openvpn/10.0.0.x.auth via-env[/B]




client-cert-not-required
comp-lzo
cipher AES-256-CBC
keepalive 10 120
client-to-client




[B]script-security 3[/B]




up ipv6-10.0.0.x.sh

Mit der 10.0.0.x.auth möchte ich gerne bei PHP bleiben und mySQL-Abfragen nutzen. Ich fragte dort nach $_ENV['username'] und $_ENV['password'] und versuchsweise auch nach $argv:

#!/bin/php
<?php




print_r($_ENV);
print_r($argv);




exit(1);




?>

Die Ausgabe ist:

Array
(
)
Array
(
    [0] => /etc/openvpn/10.0.1.x.auth
    [1] =>
)

Es wird scheinbar exakt nichts übergeben.

Auch mit bash-Scripts wurde ich nicht glücklich. So liefert folgendes Script, welches direkt von der Quelle stammt, ebenfalls grundsätzlich einen Exitstatus 1 aus:

#!/bin/sh
ALLOWED_USER="alice"
ALLOWED_PASS="ecila"




if [ '$username' == '$ALLOWED_USER' ] && [ '$password' == '$ALLOWED_PASS' ]
 then exit 0
fi




exit 1

Kann mir wer da einen Tipp geben?

Vielen Dank!
Artimis

EDIT:
Hm, anscheinend wird da doch etwas übergeben.
Das neue PHP-Script ist schlicht

#!/bin/php
<?php




phpinfo(18);




exit(1);




?>

Und das liefert:

phpinfo()




Environment




Variable => Value
untrusted_port => 34142
untrusted_ip => <meine Home-IP>
[B]password => mein-passwort
username => mein-benutzername[/B]
script_type => user-pass-verify
remote_port_1 => 50000
local_port_1 => 50000
local_1 => <meine IP>
proto_1 => udp
daemon_pid => 7305
daemon_start_time => 1283182490
daemon_log_redirect => 0
daemon => 0
verb => 3
config => 10.0.0.x.conf
ifconfig_local => 10.0.0.1
ifconfig_netmask => 255.255.255.0
ifconfig_broadcast => 10.0.0.255
script_context => init
tun_mtu => 1500
link_mtu => 1590
dev => tap10

So, und jetzt eine DAU-Frage:
Wie komme ich da ran?

EDIT 2:
Ich check es nicht. Die Variablen sind in der Environment. Die Environment-Variablen lassen sich durch das Array $_ENV aufrufen oder durch getenv().
Also frage ich an:

#!/bin/php
<?php




echo $_ENV[username];
echo $_ENV['username'];
echo $_ENV['username'];




exit(1);




?>

.
Das liefert mir:

PHP Notice:  Undefined index: username in /etc/openvpn/10.0.1.x.auth on line 3
PHP Notice:  Undefined index: username in /etc/openvpn/10.0.1.x.auth on line 4
PHP Notice:  Undefined index: username in /etc/openvpn/10.0.1.x.auth on line 5

Frage ich hingegen so, klappts:

#!/bin/php
<?php




echo getenv('username');




exit(1);




?>

Ich will lieber nicht wissen, wieso das so ist... -.-

Du, Alex. Was willst du als Schüler?
Ich bin Student, habe seit Mitte Juli frei und muss erst am 18. Oktober wieder hin
Naja, aber in der Zeit habe ich schon was zu tun. Aber eben freie Zeiteinteilung.

Häh? Wer? :confused:

Kenn ich irgendwo her...
Aber bei mir war es nicht viel :p

Naja, gut, nun hast du deine Frage praktisch selbst beantwortet.
Habe da ein wenig lachs mit den Begriffen rumgeschmissen und mich in einem Absatz selbst widersprochen

EDIT: Bah, nun musste ich diesen Post wieder editieren, weil ich völligen Blödsinn schrieb. "Du hast meine Frage selbst beantwortet". Röööchtöch!
Ich muss ins Bett, ich bin seit 06:00 hoch und hatte wenig Schlaf...
Nachti!

Es ist aber recht kniffelig. Und daran, dass linux_vserver die Kernel teilt, hat man auch zu knacken.
Der Kernel muss entsprechend angepasst sein.

1) Ehm? Natürlich kann man auf vServern kein "eigenes Linux" installieren. Aber man kann aus einer recht großen Liste eine Distribution auswählen.

2) Jeder Kunde erhält genau einen Zugang zum CCP unter genau einer Kundennummer. Jedes Hosting-Paket, egal ob Domain, vServer, managed Server oder Webspace, wird dort aufgeführt.

3) Nun, einmalig 5€ wird wohl eher nicht heißen, dass man es mehrmalig, da monatlich zahlt. Eine weitere IP bekommt man aber nur aus gutem Grund, da der IPv4-Adressraum seit ca. 1985 überlastet ist.

Joa, dito!
Uff, ich habe gerade unser Netzwerk umgestaltet, um die IPv4-Adressen etwas übersichtlicher zu vergeben.
Gut, dass es DNS gibt und gut, dass man sich eine TLD wie .lan anlegen kann, sonst hätte ich inzwischen schon meine Probleme. Ohne die Rechner der Familie (und Freundin) sind es schon 18 Netzwerkgeräte... Aber ich muss immer wieder die IPs auswendig kennen. OK, es gibt schlimmeres, aber es gibt auch angenehmeres.

Zitat

Ach kommt schon, no risk no fun. Validierung und Sicherheit ist was für Weicheier und Warmduscher.

...und Geizknüppel.
Denn diese Script hochzuladen, kostet ggf. so richtig Asche, auf der der Webmaster wegen grober Fahrlässigkeit hängen bleiben wird!

Magst du mir mal die URL geben?
Sagen wir es so: Wenn du an den falschen gerätst, ist dein Space sofort weg. Normal müssen sich die Einbrecher irgendwie durch Exploits an einen unkontrollierten Datei-Upload rankämpfen, du lieferst ihn auf dem Silbertablett.

Vergessen und ins Bett gehen, wird, denke ich, die richtige Wahl sein.
Und morgen ein wachsames Auge auf Traffic, Prozesse und Ports haben.

Btw: Bei mir läuft Zabbix als Sicherheitsinstanz. Einfach abschalten kann es der Eindringling nicht, da sonst Alarm geschlagen wird (denn der Server zum Client läuft auf einem separaten Host, der wiederum nur den Client für den andern Server hat, und wenn der keine Verbindung kriegt, gehen die Alarmglocken los). Und der kriegt u.a. mit, ob sich die /etc/passwd oder die /etc/shadow ändert, ob es neue authorized_keys gibt, ob sich die bins ändern, ob sich die wichtigen Configs wie die vom sshd ändern, ob plötzlich viele Prozesse laufen oder ob mit einem Mal ordentlich Traffic verursacht wird. Alles hübsch grafisch und mit Email- , Telefon- und SMS-Benachrichtigung.

Tja, offenbar kann man sich nur bei root, web und user per PW einloggen (warum eig? Reicht ein Zugang nicht aus, wenn es nur für zu Hause ist?). Warst du das? Paswörter bekannt?
Interessant ist nicht, ob du public keys hinterlegt hast, sondern, ob es jemand anderes getan hat. Ich bin einmal genau so in einen Server eingedrungen, habe per FTP public keys hinterlegt.

Die Benutzer ircd und games sind bei der Installation dabei. Frag micht nicht, wieso.

Was die Updates angeht: Repos-Quellen mal angesehen?

Also, ich glaube nicht, dass etwas mit deinem vServer los ist. Erst recht nicht bei 780MB Traffic in einem (knappen) Monat.

Wie gesagt: Du brauchst sie nicht wirklich.
Nimm eine DB für deinen Kram und eine für anderer Leute Kram und fertig.

Welche verunsichern dich denn?
Bei den meisten sehe ich bei der Shell ein /bin/false, was einen Rauswurf bedeutet. Interessant ist jetzt folgendes:
a) Existiert eine ~/.ssh/authorized_keys für die Benutzer?
b) Ist in der /etc/shadow ein gültiger Hash als PW angegeben?
c) Werden unerwünschte Prozesse der Benutzer ausgeführt?

Dir ist aber klar, dass diese Benutzer schon bei einer nackten Installation mit dabei sind? Es sind keine Einbruchsbenutzer.

Also, in deinem Falle brauchst du dir keinerlei Gedanken machen, denke ich. Trenne die DBs einfach nach Personen(kreisen), dann hast du schon sehr gute Sicherheit realisiert für Webspace.
Denn die größte reelle Gefahr ist, dass deine Schwester über das Admin-Webend die Configs lesen kann (was oft der Fall ist) und diese Privilegien leichtfertig weitergibt. Aber dann kommt sie ja nicht an deine DB.
Den Luxus, für alles eine eigene DB zu haben, braucht man sich nicht leisten. OK, vServer-Betreiber wie ich machen das natürlich, warum auch nicht? Aber für Webspace-User ist es uninteressant, da die DBs auch keine sensiblen Daten enthalten, während bei mir z.B. eine DB für die FTP-Zugänge und eine andere DB für Mail-Postfächer zuständig ist.

Schöön
Wie groß ist denn deine /bin/bash?
Meine hat 793kB.
Ich weiß nicht, ob Virenscanner korrupte bins erkennen. Hast du mal eine der bins an VirusTotal geschickt?
Ansonsten irgendwelche Auffälligkeiten wie komische Einträge in /etc/passwd und /etc/shadow, unbekannte Ports, Mehrtraffic, merkwürdige Prozesse, abnormes Verhalten des Servers wie Zugriffsbeschränkungen und so?

EDIT: ups, bissle spät, was?
Ach so, der hat gecheckt, ob sich die Dateigröße geändert hat, nicht, ob die Datei zu groß ist. Upsa...