Несанкционированный удаленный доступ в Sun Solaris

>Ошибка в демоне in.telnetd позволяет обойти проверку пароля при входе в систему.

И установка у соплярки ацтой! =]

>Тут не вопрос кто виноват -а вопрос что с этим делать :)

Если разработчики не могут сразу нормально писать - пусть переписывают.

>>Просто названия модулей поменялись и по умолчанию загрузились другие.

>И что теперь с этим делать? вручную переименовывать?

В конфиге ядра выбрать как старые, так и новые. Или только старые.

> iptables завязан на версию модуля в ядре : в 2.6.20 у него поменялся синтаксис и /etc/iptables пришлось переписывать.

Ой?! А я, дурак, и не заметил... Сижу с "родным" федоровским iptables, который собирался с заголовками 2.6.18, а ядро использую 2.6.20, и не знаю что у меня оказывается ничего не работает...

Может хватит нести чушь, а? В линуксе в юзерспейсе очень мало кто зависит от ядра, за исключением libc.

> Внутренние разработки.

Если у вас возникла "несовместимость" - выгоняйте своих кодеров нах. Потому как если это бинарная несовместимость - пересобрать пакет дело нескольки минут. А если у вас компилятор перестал ккомпилировать и падает с ошибками - см.начала абзаца, то есть "выгоняйте своих кодеров нах".

>>ну так это вина не Линукс, а разработчиков, тебе так не кажется?

>Тут не вопрос кто виноват -а вопрос что с этим делать :)

Кроме долгого и мучительного расстрела разработчиков? В тех случаях, что библиотеки совместимости не катят - ставить системы в chroot (у меня так работала RH7.2 на FC4) или, в запущенных случаях, Xen или другие виртуализаторы.

> Все (ну или почти ,ну хорошо -некоторое) серьезное коммерческое ПО идет в виде обьектов а не бинарников

Ты про оракел? Так оракел надо убивать за один только config.c в который зашиваются имя юзера и группы.

Спасибо всем за ответы по iptables -щас отошлю товарищу у которого проблемы с этим были. (чтобы не вводить дальше публику в заблуждение - моя поляна другая -солярис) >Если у вас возникла "несовместимость" - выгоняйте своих кодеров нах. >Потому как если это бинарная несовместимость - пересобрать пакет дело >нескольки минут. А если у вас компилятор перестал ккомпилировать и >падает с ошибками - см.начала абзаца, то есть "выгоняйте своих кодеров >нах".

Они уже сами ушли и оставили в нагрузку софт.

>Кроме долгого и мучительного расстрела разработчиков? В тех случаях, >что библиотеки совместимости не катят - ставить системы в chroot (у >меня так работала RH7.2 на FC4) или, в запущенных случаях, Xen или >другие виртуализаторы.

Да ,вот так и живем :)

>Ты про оракел? Так оракел надо убивать за один только config.c в который зашиваются имя юзера и группы.

Да я про него родимого.А про зашитые имя юзера и пароль -вопрос спорный тк все равно делается юзер со спецефическими настройками для его запуска.

> > "выгоняйте своих кодеров >нах".

> Они уже сами ушли и оставили в нагрузку софт.

Жесть :-) Платить не пробовали? :-)

> А про зашитые имя юзера и пароль - вопрос спорный

Спорный вопрос - это про то, использовать ли переменную окружения чтобы указать каталог конфигурационного файла или указывать полный путь к файлу. А зашивать в бинарник юзера и пароль, это уже клиника. Как и требовать преекмопиляции для задайствования некоторой фичи вместо того, чтобы просто указать "load libfeature.so" в конфиге.

> у саныча опять праздник? :)

Все зависит от его сексуальной ориентации :-)

>etc/iptables пришлось переписывать.

eill@mail:~$ ls /etc/iptables
/usr/bin/ls: /etc/iptables: No such file or directory
eill@mail:~$

"дяденька, вы калиткой не ошиблись?" (Ц) (ТМ)

самое смешное, что больше всего разоряются те, кто не работает на Solarise. патчи для solari появляются моментально. да и в 10 по умолчанию работют через SSH P.S. только в пигвинах root имеет логинится удаленноюю

>P.S. только в пигвинах root имеет логинится удаленноюю

как это похоже на перевод с китайского (линк см в толках :))))

З.Ы. не знаю, кто там кого имеет, но ЛЮБАЯ система требует рихтовки. Другое дело в количестве оной.

> патчи для solari появляются моментально

Далеко не всегда и не везде можно патчить. Есть организации, где интернет в производствнных помещениях запрещён вообще. Чтобы пройти в помещения, где машины работают, нужно оформлять допуск и объяснять, зачем.

dik а зачем вообще доступ к "телу" ? зачем тогда удалённий доступ RSA??

> dik а зачем вообще доступ к "телу" ? зачем тогда удалённий доступ RSA??

У них свои сети, отличные от Интернет. И тащить в эти сети какие-то там патчи никто никогда не даст.

2wa Если эти сетки настолько закрытые, как туда злоумышленник из публичного тырнета телнетом попадёт? А?

>2wa Если эти сетки настолько закрытые, как туда злоумышленник из публичного тырнета телнетом попадёт? А?

Зачем из тырнета? Из локалки. Или у тебя и без этого все работники могут читать документы друг друга и директора?

Саныч, расскажи нам что-нибудь про enterprise class Solaris. Я обожаю это слушать. :)

> telnet? да ну.. разве остались ещё те, кто этим пользуется.. ;-) тем более на Solaris..

Почемк "тем более"? В соляре он работает особенно криво?

> у саныча опять праздник? :)

Бегает в мыле по всему зданию, telnetd на всех серваках останавливает :)

> Телнет... да еще и дырявый... Или это подвтерждение гипотезы "в продакшн используются наиболее кривые решения?"

Наиболее пропеаренные. Это бизнес, он к реальной надёжности и хащищённости имеет крайне мало отношения :)

Это что пеар-отдел редхата тут себе на икорочку зарабатывает?

Так вы пишите пишите -может хоть одного идиота заколебавшего всех в техподдержке и на sunsolve.com к себе перетянете :)

>Саныч, расскажи нам что-нибудь про enterprise class Solaris. Я обожаю это слушать. :)

>Почемк "тем более"? В соляре он работает особенно криво?

>Бегает в мыле по всему зданию, telnetd на всех серваках останавливает :)

>Наиболее пропеаренные. Это бизнес, он к реальной надёжности и хащищённости имеет крайне мало отношения :)

на архитектуре sun4v (T1 процессор, sf1000/2000) не работает

>Это что пеар-отдел редхата тут себе на икорочку зарабатывает?

При чем здесь пиар? Солярис 10 - с дыркой в телнете, и никакой редхат тут ни при чем.

а Вы в курсе что такое RSA? а что такое "административная сеть" подите мой юнный друг и почитайте доки P.S. ет только у вас админы бегают

na Solaris 11/06 не воспроизвелось

>При чем здесь пиар? Солярис 10 - с дыркой в телнете, и никакой редхат >тут ни при чем.

Ну подумай сам: дети по соляркой не работают ибо нет там понтов и перделок ,бородатые моджахе^W сисадмины с ней работающие такую херню не напишут.Значит конкуренты. А главный конкурент соляре у нас кто? Не генту с мандривой же в самом деле.

>Только не забываем, что с помощью ifconfig можно поставить на своей рабочей тачке или ноутбуке любой IP и MAC и выдавать себя таким образом за сервер, на самом деле являясь прокси. :)

в подавляющем кол-ве управляемых свичей (а ща все такие делают, более менее которые) - есть привязка ипа к ПОРТУ :) за[xx]ься ип менять с маком, тебя свич пошлет нахер.

к физическому порту на свиче, разумеется, а то еще красноглазые подумают что ... %-))

>на архитектуре sun4v (T1 процессор, sf1000/2000) не работает

Как собирал? Что в логе? Телепаты, знаеш-ли, в отпуске...

П.С. В техподдержку, наконец, обращался? Что сказали?

;)

>Как собирал? Что в логе? Телепаты, знаеш-ли, в отпуске...

Это пипец.. ты тему топика то читал,дитятко?

>П.С. В техподдержку, наконец, обращался? Что сказали?

"Афтар пеши исчо!" там сказали

> в бете 11го соляриса этого уже нету (выключены)

В OpenBSD вообще уже telnetd нет давным давно! ;)

http://www.openbsd.org/cgi-bin/cvsweb/src/libexec/telnetd/Attic/

>>а в несерьезно студенческой поделке ляликсе закрыты, ну да что с него >>возьмешь: ему до ынтерпрайза - как до Китая пешком :D

>А до обратной совместимости так вообще в кругосветку

>>не смог удержаться, сорри :)

>Аналогично

Пишите еще, обязательно :)

Пропатчили. Все - конец флэйму!

IDR125456-01.zip Synopsis: SunOS 5.10: in.telnetd Interim Security Relief
IDR125457-01.zip Synopsis: SunOS 5.10 i386_x86: in.telnetd Interim Security Relief