№7(8) июль 2003

подписной индекс 81655

журнал для cистемных администраторов,
вебмастеров и программистов

Мониторинг
Windows-серверов
с помощью Nagios
Неявный самоконтроль
как средство создания
неломаемых защит
Стартовые
скрипты FreeBSD
Настройка
сервера SSH
Python глазами DBA
Каким видится
хороший системный
администратор
 оглавление

Календарь событий 3 Три составных части защиты

Сергей Яремчук
grinder@ua.fm 44
Репортаж с Первого брестского
интернет-форума
Андрей Кухарчик ПРОГРАММИРОВАНИЕ
admin@virtualbrest.ru 4
Python глазами DBA
Каким видится хороший Олег Попов
системный администратор opopov@yandex.ru 52
Вячеслав Калошин
multik@multik.ru 6
Java: работа с файлами
Даниил Алиевский
АДМИНИСТРИРОВАНИЕ daniel@siams.com 56

Мониторинг Windows-серверов ОБРАЗОВАНИЕ

с помощью Nagios
Часть1
Андрей Бешков Mac OS X или То, что должен знать
tigrisha@sysadmins.ru 12 каждый про Macintosh, Apple и
операционные системы
Александр Потемкин
Стартовые скрипты FreeBSD apotemkin@itinfo.spb.ru 68
Денис Пеплин
info@volginfo.ru 20
Обучение через Интернет – это возможно?
Настройка сервера SSH Ольга Игошина
Денис Колисниченко Igoshina@scph.mipt.ru 78
dhsilabs@mail.ru 24

IRC-сервер СЕТИ
Александр Слободской
info@samag.ru 28 Powerline: Интернет из розетки
Денис Колисниченко
Контроль последовательных dhsilabs@mail.ru 86
портов в Linux
Денис Колисниченко
dhsilabs@mail.ru 32 Планируем переезд сети
Вячеслав Калошин
multik@multik.ru 90
БЕЗОПАСНОСТЬ

Неявный самоконтроль как средство BUGTRAQ 10, 31, 42, 94

создания неломаемых защит
Крис Касперски
kk@sendmail.ru 36

WWW.SAMAG.RU
№7(8), июль 2003 1
 Две или три недели назад я привезла один
из номеров «Системного администратора»
своему старому знакомому. Жена знакомого
со своей подругой из вполне понятного
женского любопытства тут же выхватили
номер у меня из рук – посмотреть, что же это
за новый журнал, о котором в последнее
время с увлечением говорят их мужья. Спустя
секунду, обе громко заразительно хохотали.
Я в смущении пыталась понять причину столь
неадекватной, на мой взгляд, реакции.
Как оказалось впоследствии, все дело было
в заголовках на обложке. Взгляните
со стороны: «Создаем VPN на основе vtun»,
«LIDS», «Компиляция FreeBSD», «Настройка
Radius-сервера» – думаю, продолжать
не нужно. Для непосвященного
в компьютерные таинства все это звучит
равнозначно китайской грамоте. Поэтому
понять сисадминов, да еще и пообщаться
с ними «на равных» сможет далеко
не каждый. По моему субъективному
ощущению, системный администратор –
это больше, чем профессия. Это стиль жизни.
Это целый мир со своим языком, своей
философией и уже со своими традициями:
каждый год в последнюю пятницу июля
системные администраторы всего мира
отмечают свой профессиональный праздник.
К своему сожалению, я не знаю истории
возникновения этого праздника, но мне
кажется, что день и месяц выбран вполне
в духе сисадминов: можно, не торопясь,
отметить его, выбравшись на природу
или в какое-нибудь уютное место,
одновременно отдохнув и пообщавшись
с коллегами.
Мне лишь остается поздравить всех
«посвященных» от нашей редакции
с профессиональным праздником, пожелать
вам творческих успехов и бесперебойной
работы вверенного «хозяйства»!

Наталья Хвостова

2

Cеминар
12 системных администраторов
ИЮЛЯ и инженеров
Портал SysAdmins.RU (htttp://sysadmins.ru) объявляет о
проведении первого в России Семинара системных ад-
министраторов и инженеров.
Данное мероприятие приурочено ко второй годовщине
проекта SysAdmins.RU и является одной из вех, знаменую-
щих очередной этап развития проекта. Семинар будет по-
священ проблемам IT, тенденциям рынка IT, рынку труда с
точки зрения IT-специалистов и множеству смежных воп-
росов. На семинаре выступят специалисты различных ком-
паний, активно работающих на российском и мировом IT-
рынке. Тематика выступлений такова, что будет интересна
как сугубо техническим специалистам, так и руководите-
лям IT-подразделений, служб техподдержки, IT-менедже-
рам разного уровня. В перерывах – кофе и закуски. В нео-
фициальной части – пиво, розыгрыши призов и т. п.
Семинар состоится 12 июля 2003, начнется в 12-00 по
московскому времени и продлится до 20-00. Семинар бу-
дет проводиться в очень уютном и удобном месте – Доме
ветеранов кино (ДВК). Адрес: г. Москва, ул. Нежинская, 5.
(от м. Киевская на маршрутном такси №7 до остановки
«Дом Ветеранов Кино»). Вход на семинар 150 руб.
Ознакомиться с подробной программой, зарегистриро-
ваться для участия на семинаре и посмотреть карту проез-
да можно на htttp://SYSM.ru.
№7(8), июль 2003
календарь событий
25-27 Пятый ежегодный фестиваль
разработчиков и пользователей
ИЮЛЯ свободного ПО
С 25 по 27 июля 2003 года в Калужской области будет
проходить пятый ежегодный фестиваль разработчиков и
пользователей свободного программного обеспечения
LinuxFest.
Организатор фестиваля интернет-ресурс Linux.ru.net
приглашает всех желающих посетить этот небольшой
праздник свободного ПО, познакомиться с коллегами,
найти новых единомышленников и просто провести вы-
ходные в живописном месте на берегу реки Протвы.
В программе фестиваля: круглые столы по различным
тематикам, конкурсы, общение, активный отдых.
Самых активных участников сообщества разработчи-
ков и пользователей Linux ожидают призы от компании
ALT Linux и журнала «Системный администратор».
Традиционно для участия в фестивале приезжающим
необходимо иметь при себе туристическое снаряжение
(палатка, рюкзак и т. д.) и запас пропитания на все время
фестиваля.
Подробная карта проезда, FAQ, список участников и
прочие подробности – на сайте Linux.ru.net.
Обязательная регистрация участников производит-
ся на сайте Linux.ru.net в разделе «фестиваль». Орга-
низационный сбор за участие в фестивале – 100 руб. с
человека.
3
 репортаж
ПЕРВЫЙ БРЕСТСКИЙ
ИНТЕРНЕТ-ФОРУМ
14 июня в городе Бресте (Беларусь) прошел первый в рес-
публике региональный интернет-форум. Мероприятие ока-
залось невероятно популярным благодаря тому, что уча-
стники постарались создать для посетителей не столько
деловую атмосферу, сколько настроение праздника. И
именно поэтому интересно было присутствовать не толь-
ко специалистам интернет-технологий, но и самым про-
стым пользователям, делающим свои первые шаги в уди-
вительной стране Интернет.
Инициаторами и организаторами форума выступили го-
родской портал «Виртуальный Брест» (http://virtual.brest.by)
и компьютерный салон «Успех» (http://204040.com). Цель
интернет-форума заключалась в том, чтобы продемонст-
рировать возможности современных цифровых устройств
и решений для Интернета, и она была с блеском выполне-
на в ходе мероприятия.
Генеральным спонсором интернет-форума стала кор-
порация Intel. Ее специалисты продемонстрировали на
специально оборудованных стендах преимущества сис-
тем, построенных на основе компьютеров с процессора-
ми Intel Pentium 4, в том числе с поддержкой революцион-
ной технологии Hyper-Threading. Работа и демонстрации
велись в таких областях, как аудиообработка, цифровые
фото-, видеосъемка и монтаж, коммуникации (высокоско-
ростной доступ в Интернет), компьютерные игры, работа
с периферийными цифровыми устройствами (принтеры,
сканеры, фото-, видеокамеры и т. д.).
4
Кроме всего прочего, были наглядно продемонстри-
рованы преимущества и модели использования ПК для
учебы, работы, творчества и развлечений. В реальном
времени посетители смогли наблюдать за монтажом и
обработкой аудио- и видеофрагментов, работой в Интер-
нете в составе беспроводной сети как в ее обычном виде,
с использованием коммутируемого доступа к Интернету,
так и с применением мобильных GPRS-решений.
Посетители Брестского интернет-форума смогли позна-
комиться и с мобильными технологиями Intel. На стендах
компаний ASBIS и «Успех» демонстрировались ноутбуки
на базе технологии Intel Centrino для мобильных ПК и кар-
манные компьютеры на основе технологии Intel XScale.
На приглашение принять участие в первом интернет-
форуме откликнулось достаточно много участников. В пер-
вую очередь, это интернет-проекты и организации города,
среди которых – ведущие дизайнерские студии, хостинг-
провайдеры, общественные организации и т. д. И кроме
того, не остались в стороне представители ведущего сото-
вого оператора VELCOM, продемонстрировав преимуще-
ства работы мобильного Интернета по системе GPRS.
После первой части, в рамках которой проходила выс-
тавка цифровых технологий, посетители были приглаше-
ны на интернет-конференцию. В ходе ее были зачитаны
доклады ведущих специалистов не только города Брес-
та, но и республики. Слушатели смогли узнать об особен-
ностях развития и построения сайтов в Беларуси, уточ-

нить разнообразные вопросы электронной коммерции от-
носительно национальных стандартов, на примерах раз-
ных сайтов увидеть, как нужно и как не не нужно созда-
вать корпоративные решения для Интернета. В конферен-
ции приняли участие специалисты Белорусского портала
TUT.BY, Государственного Университета им. А.С. Пушки-
на, ведущих интернет-проектов города и т. д.
По окончании конференции среди посетителей был про-
веден розыгрыш ценных призов, предоставленных участни-
ками интернет-форума. Счастливчикам были в присутствии
всех вручены современные модемы, оптические мышки, кла-
виатуры, наушники и разнообразные компьютерные аксес-
№7(8), июль 2003
репортаж
суары. Кроме того, особое внимание привлек розыгрыш до-
менных имен и хостинга от проекта HOSTER.BY. В ходе кон-
курса, на который отозвались более 30 желающих, были
заданы несколько сложных вопросов, и по результатам от-
ветов эти специфические призы были распределены. Пос-
ле розыгрыша посетители смогли задать свои вопросы док-
ладчикам и участникам, а также познакомиться и пообщать-
ся на интересующие их темы.
Материалы, тезисы и доклады прошедшего интернет-
форума можно найти на официальном сайте http://
bif.virtualbrest.com.
Андрей Кухарчик
5
 из личного опыта

КАКИМ ВИДИТСЯ
ХОРОШИЙ
СИСТЕМНЫЙ
АДМИНИСТРАТОР

6
 из личного опыта
Хороший системный администратор – как много в этих трех
Нет, я не Господь Бог, словах отзывается в сердце любого начальника. В самом
я всего лишь ваш деле, как распознать хорошего системного администрато-
Системный Администратор...
ра среди претендентов на вакантное место? Ведь что ни
(одно из частых высказываний говори, сисадмин в компании – одно из самых незаметных
сисадминов начальству) лиц и в то же время одно из самых важных. Именно от него
(от них, если их много) зависит, будут ли «бесперебойно
работать» ваши сотрудники, и сможете ли вы гарантировать
хоть какой-то уровень обслуживания своим клиентам.
Не стоит путать сисадмина с «аникейщиком». Если
первый рулит серверами и прочим оборудованием, то вто-
рой заменяет картриджи в принтерах, разбирается с не-
читающимися дисками и обьясняет пользователям, куда
и что надо нажать. (Термин «аникейщик» пошел с тех вре-
мен, когда программа выводила на экран сообщение
«press any key to continue» и пользователи, не находя кноп-
ки «any key» на клавиатуре, звали администратора.)
Я периодически с постоянством маятника бываю по
обе стороны «баррикад» и попытаюсь хоть чуть-чуть раз-
веять заблуждения, бытующие в обоих средах. Конечно,
как начальник я еще слаб, но мало кто аргументированно
сможет упрекнуть меня в том, что я плохой сисадмин.

Наиболее частые заблуждения

ВЯЧЕСЛАВ КАЛОШИН
со стороны начальства
Зачем платить сисадмину $1000, когда на рынке
очень много предложений от людей, готовых работать
за $300-400.
Не забывайте, что скупой платит дважды. Квалифи-
цированный специалист не может стоить дешево, так же,
как вы не сможете найти новый S600 за $20000. Чем выше
квалификация специалиста, тем меньше он допустит про-
стоев в работе системы. Посчитайте, во сколько вам обой-
дется простой в 1 час (когда вообще все не работает) или
периодические перебои в работе в течение хотя бы одно-
го дня (то принтер не печатает, то почта не уходит, то те-
лефон не звонит)...
Зачем мне один сисадмин за $1000? Пусть будут
трое по $300.
Сисадмины – не токари у станка. И не стоит ожидать
от трех сисадминов того, что они разберутся с пробле-
мой быстрее одного за $1000. Плюс у трех сисадминов за
такую цену не будет такого же опыта, как у одного за
$1000. К сожалению, опыт – это такая величина, которая
очень редко поддается суммированию.
Хорошо, пусть будет сисадмин за $1000, но он дол-
жен знать (список из 40 пунктов: от протоколов и на-
стройки Windows до программирования сайта).
Сисадмин – не многорукий Шива. Он может одновре-
менно по телефону выяснять с секретаршей, почему у нее
принтер ничего не печатает, и выяснять, почему на сайте
показываются неактуальные цены, но будет делать это
хреновооо... Попросите своего главного бухгалтера од-
новременно с выставлением счетов партнерам обьяснять
клиенту что-нибудь, и все поймете моментально...
Хорошие сисадмины обычно являются профессиона-
лами в узкой области, поэтому не стоит специалиста по
сетям заставлять администрировать веб-сайт. Ничего хо-
рошего из этого обычно не получается. Хотя может по-

№7(8), июль 2003 7

 из личного опыта
везти, и у вас будет многопрофильный специалист, кото-
рый сможет и шлюз для подключения сотрудников из дома
настроить, и создать сайт для компании. Но такие редко
бывают, берегите их.
А как узнать о том, что системный администратор
хороший? Ведь на лице у него это не написано?
Ни в коем случае не полагайтесь на наличие/отсут-
ствие сертификатов. Сертификаты – просто подтвержде-
ние того, что человек заплатил деньги, прослушал курсы
и правильно поставил галочки на экзамене. Всё. Макси-
мум, что вы можете предположить – это наличие базовых
знаний по предмету. Я знаю людей, которые могут гордо
показать сертификат MСSE, но все их попытки завести
сервер так, чтобы он не требовал к себе внимания хотя
бы неделю, тщетны. Но я знаю и людей, которые имеют
сертификат CCNA и способны легко построить беспере-
бойно работающую сеть в десятке филиалов. По крайней
мере, поговорите с сисадмином из дружественной ком-
пании и выясните реальную ценность сертификата.
Единственно гарантированно работающий способ, ко-
торый я знаю – это присматриваться к сисадмину в тече-
ние испытательного срока. Если сисадмин хороший, ваша
компания не должна даже заметить, что появился новый
человек (если до этого все работало хорошо) или все ста-
ло работать лучше. Если же примерно дня через два пос-
ле того, как приняли на работу сисадмина, компанию на-
чало лихорадить и лихорадило с день-два-неделю, а по-
том все вошло в норму и стало еще лучше – сисадмин
нормальный, но опыта маловато. А вот если все залихо-
радило и продолжает лихорадить (сисадмин бегает от со-
трудника к сотруднику и так далее) – срочно изменяйте
свою шкалу зарплаты для сисадмина и ищите нового.
В общем, рекомендации для выбора сисадмина в ос-
новном те же, что и для выбора главного бухгалтера.
Маленькие рекомендации
для размещения сисадминов

Если есть возможность, выделите для системного адми-
нистратора просторную комнату и дайте ему некоторую
свободу действий. Хороший сисадмин через некоторое
время стащит в эту комнату все важное для работы ком-
пании оборудование. Обеспечьте этой комнате желез-
ную дверь (еще лучше, чтобы и охранник неподалеку си-
дел) и нормальную вентиляцию (сервера имеют тенден-
цию очень быстро греть воздух, но сами в жаре работать
не любят). Отныне эта комната – серверная. В ней бьет-
ся электронное сердце вашей компании.

Если серверная уже есть, пусть сисадмин сидит где-
нибудь неподалеку. Вы же не просите бухгалтера со-
ставить баланс, находясь дома.

И ради бога, уберите подальше от него сотрудников с
кучей телефонов. Или наоборот, уберите сисадмина
от них. Постоянные звонки при отладке оборудования
раздражают гораздо сильнее, чем плохая секретарша.

Хоть иногда прислушивайтесь к тому, что говорит вам
сисадмин. Да, иногда он разговаривает на другом язы-
ке, но понять его можно, особенно если выделить ему
хотя бы полчаса и уведомить его об этом не за пять
минут.
8
Признаки хорошего сисадмина

В меру здоровая лень. Хороший сисадмин никогда на
вопрос «Что делаешь?» не ответит: «Вот, вышла но-
вая софтина, ставлю на сервер». Если примерно 50%
времени сисадмин пьет чай и у вас все работает – силь-
но радуйтесь, очень сильно радуйтесь.

Никогда не спрашивайте у сисадмина «Что делаешь?».
Спросите «Что сделал?» или «Что будешь делать?».
Многие сисадмины работают в прерывистом режиме:
пообщаются с друзьями, подумают, что-то подправят,
почитают документацию и так далее по кругу. Это со-
вершенно нормальный ритм работы.

Хороший сисадмин всегда готов предоставить полную
информацию о системе, начиная с того, сколько про-
работал сервер, и заканчивая почасовым разбиением
обьема скачанного на компьютер сотрудника Н. Не
увлекайтесь паранойей, он не читает вашу почту. Но
готов дать вам информацию, сколько вы писем отпра-
вили и какого они были обьема.

Он всегда держит резервные копии. И просьба «Мне
нужен этот файл таким, каким он был 4 месяца на-
зад» не должна его удивлять.

Привыкните к тому, что сисадмины – вечерне-ночные
существа. Дело в том, что серьезные работы лучше
делать тогда, когда сервера меньше всего загружены.

Хороший сисадмин обычно умеет очень хорошо гово-
рить. Это легко вывести из предыдущих пунктов. Есть
немного свободного времени – почему бы не почитать
что-нибудь из художественной литературы и отдохнуть.
Дело начинается обычно с фантастики и заканчивает-
ся классикой.

Он никогда не бросает работу на полпути. Если что-то
сломалось, он уходит в авральный круглосуточный ре-
жим до починки. Если вы позаботитесь о том, чтобы
ему в 2 часа ночи привезли пиццу к серверу, находя-
щемуся в починке, то он будет благодарен вам и в бу-
дущем горы для вас свернет.

У хороших сисадминов что-то ломается редко. Это не
их стиль работы.

Он не пьет пиво, вино, водку и прочий алкоголь на рабо-
чем месте. Кофе или чай – легко. Алкоголем он нагружа-
ется в специально отведенных для этого местах. И чем
выше качество (не количество!) алкоголя, тем лучше.

И наконец, он не болеет манией величия. Пользовате-
ли никогда от него не услышат обвинений в тупости и
то, что они его, такую сияющую вершину мироздания,
достали до колик в животе.
Основные ошибки сисадминов

Босс не понимает, что мне надо вот ЭТО.
Вы разговариваете с ним на разных языках. Боссу нет
никакого дела до какой-то железки и вашей нужды в ней.
Но ему вовсе не безразлична работа компании и ее при-
быль. Сядьте, подумайте 5 минут и найдите толковое и
разумное обоснование тому, что вы просите. Если вы его
не можете найти, не обижайтесь, что босс все выслушает
и вежливо отправит вас ни с чем. Научитесь выражать
свои мысли не только словами «круто» и «рулез».

Пример
Ваш workgroup-сервер начал «задыхаться». Да-да, ком-
пания растет, а сервер – нет. Пусть есть сервер PIII-500/
256/20+20 stripe. Вы сели, подумали, посмотрели статис-
тику (см. ниже) и решили, что на следующий год компа-
нии нужен 2xPIII-1000/1024/80 raid5. Поглядели по прай-
сам и выяснили, что обойдется он в $5000 (условно). По-
шли к боссу. Просунули голову в дверь: «А... эта, Михаил
Иванович, мне тут нужен сервер новый. $5000 стоит. Ну
эта... старый уже старый, и вообще, он уже не так рабо-
тает и не справляется». Думаете, это шутка? Нет, так про-
исходило на моих глазах пару раз. Понятно, что потом
идут жалобы на черcтвость босса и вообще на плохую
жизнь сисадминов.
Подготовьте графики загрузки сервера хотя бы по
процессору, памяти, сети и дискам. Покажите на них
четкую черту, где возможностей сервера уже не будет
хватать. Распишите кратко, чем это грозит в перспек-
тиве на 2-3 месяца и на полгода. Предложите желатель-
ную конфигурацию и марку сервера и точно так же рас-
пишите, что изменится после его ввода в эксплуата-
цию. Затем подойдете к секретарше и ласково догово-
ритесь, что она устроит так, что босс выделит вам пол-
часа и его никто не будет отвлекать телефонными звон-
ками. Всё. 95% того, что сервер купят или включат в
бюджет следующего квартала.

Не гонитесь за дешевизной. Да, 24-х портовый хаб за
$100 стоит в 10 раз дешевле Cisco2950. Но если вы
купите и поставите этот хаб в ядре сети из 100 компь-
ютеров, а на оставшиеся деньги увеличите себе винт
в машине, то не рассчитывайте оправдаться словами
«Михаил Иванович, а что я могу поделать...». Да, са-
мосборный сервер дешевле сервера от HP или IBM.
Но и работать под нагрузкой он будет во столько же
раз хуже. Поверьте моему опыту.

Собирайте статистику. Статистика – это не только по-
вод построить красивые графики, но и мощный инст-
румент прогнозирования проблем и неприятностей. Вы
же сами лучше поймете, почему вон тот хаб не пере-
стает мигать лампочками.
Самая главная и распространенная ошибка

Поймите, наконец, что не компания работает для вас,
и пользователи – не надоедливые «тупые человеч-
ки», которые отвлекают постоянно. Вы работаете для
компании и для того, чтобы эти «тупые человечки»
работали как можно более продуктивно. Если они
не понимают в компьютерах так же, как вы, то это
не означает, что вы понимаете в их области деятель-
ности так же, как они.
Пример
Рассылка по сети: «Немедленно всем почистить свои ка-
талоги на диске W:, а то удалю все, к чему не прикаса-
лись больше месяца. И вообще, сервер не резиновый и
все такое». Вы, извините, создаете проблемы себе, тор-
мозите работу компании и вообще...
Посмотрите на это со стороны пользователя:

он должен прерваться и осмыcлить сообщение;
№7(8), июль 2003
из личного опыта

он должен зайти в этот каталог и попытаться решить
проблему выбора: что ему нужно очень, а что не очень;

он должен найти место для того, чтобы положить не
очень нужное. В общем, как миниум, вы полчаса ото-
рвете у каждого, кто получил это сообщение.
А теперь получайте проблемы, которые вы сами себе
создали:

невозможность собрать нормальный бэкап или воз-
можность его собрать с куда большими усилиями;

вы прививаете пользователю привычку хранить все на
своей машине. Как вы будете обьяснять боссу, что на
бухгалтерской машине (кстати, почему-то обычно са-
мой слабой из парка) пропал из-за поломки диска аван-
совый отчет за прошлый год? И почему этот отчет не
влез в дисковую квоту на живом сервере?

вы разрушаете структуру защиты сети (если есть, что
разрушать). Пользователю будет проще перекинуть
файл по аське или открыть диск С: на запись, чем по-
ложить файл на сервер;

вы потеряли возможность проверить этот файл в ав-
томате антивирусом. Береженого бог бережет.
Не ударяйтесь в другую крайность: не потакайте
пользователям во всем. Пользователь должен быть как
цыпленок под курицей. Хорошо, тепло, сухо и еды вдо-
воль (говоря другими словами – все работает в удобном
для него режиме и ему не надо вспоминать ваш телефон
для выяснения вопроса о распечатке цветной диаграммы
на струйном принтере). Но цыпленок одновременно дол-
жен знать, что если он высунется из гнезда, то получит
клювом по лбу. То есть сын секретарши не должен по ве-
черам ставить новые игры непонятно откуда, и менеджер
не должен иметь возможности сменить Win2000 на WinXP
только потому, что она красивее и вообще она новее и
дома у него такая. Пользователи должны знать, что им
можно и что нельзя. Для этого придумали такую вещь,
как корпоративный кодекс, даже если корпорация состо-
ит из 10 человек.
В общем, будьте строго добры к пользователям и они
ответят вам тем же.
9
 bugtraq
Межсайтовый скриптинг при обработке
некорректных XML-документов
в Microsoft Internet Explorer
Уязвимость обнаружена в Internet Explorer в обработчи-
ке XML-документов. Удаленный атакующий может вы-
полнить произвольный код сценария в контексте целе-
вого веб-сайта.
Internet Explorer автоматически пытается анализиро-
вать любой XML-файл, который запрашивается браузе-
ром. Если анализ прошел успешно, в браузере пользова-
теля отобразится динамическое дерево различных XML-
элементов. Если при анализе возникает ошибка, Internet
Explorer отобразит ошибку вместе с URL запрашиваемо-
го XML-файла.
В некоторых случаях отображенный URL не фильтрует-
ся на наличие HTML-кода. Фактически это означает, что
наличие на вашем сайте XML-файла, который не может
быть правильно проанализирован Internet Explorer и MSXML,
делает ваш сайт уязвимым к XSS-нападениям.
Проблема была воспроизведена в различных установ-
ках, но GreyMagic не смог достоверно определить уязви-
мый компонент. Скорее всего, уязвимость затрагивает не-
которые версии MSXML, а не Internet Explorer непосред-
ственно.
Пример:
http://host.with.unparsable.xml.file ↵
/flaw.xml?<script>alert(document.cookie)</script>
Microsoft смогла воспроизвести обнаруженный недо-
статок только на IE6 Gold. Как сообщает GreyMagic, они
смогли воспроизвести уязвимость на следующих систе-
мах: IE5.5 NT4, IE6 Win98, IE6 Win2000.
Поднятие локальных привилегий
в Sun Java Virtual Machine
на Linux-системах
Уязвимость обнаружена в Sun Java Virtual Machine. Ло-
кальный пользователь может получить поднятые приви-
легии на системе. Sun Java Virtual Machine (JVM) на Linux-
системах небезопасно сохраняет временные лог-файлы
в '/tmp'-каталоге. Согласно сообщению, JVM создает файл
'/tmp/jpsock.**_*' при загрузке, без предварительной про-
верки существования файла, и если файл существует, не
проверяет, кто его владелец.
Локальный пользователь может сконструировать сим-
вольную ссылку из произвольного файла к временному
имени файла. Затем, когда целевой пользователь запус-
кает JVM, ссылающийся файл будет перезаписан с при-
вилегиями целевого пользователя.
Уязвимость обнаружена в j2re1.4.1_02 on Linux.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
10
Удаленное выполнение произвольного
кода в Microsoft Internet Explorer
Уязвимость обнаружена в Internet Explorer в механизме об-
работки HTTP-ошибок. Удаленный пользователь может вы-
полнить произвольный код в Local Zone на целевой системе.
Internet Explorer поставляется с несколькими файла-
ми, отвечающими за обработку HTTP-ошибок («Friendly
HTTP error messages»). Например, если «site.com» сгене-
рировал 404 HTTP-ошибку, то следующий внутренний URL
будет отображен IE:
errorres://shdoclc.dll/404_HTTP.htm#http://site.com/file.html
Обнаружено, что вышеупомянутая процедура разбо-
ра содержит недостаток, который может использоваться
для выполнения произвольного кода сценария в Local
Zone. В результате удаленный атакующий может читать
произвольные локальные файлы, выполнять произволь-
ные команды и выполнять другие потенциально деструк-
тивные действия.
Удаленный атакующий может представить специаль-
но обработанное значение после поля #sign, которое зас-
тавит функцию записать «javascript:» URL в отображае-
мую ссылку. Пример:
res://shdoclc.dll/HTTP_501.htm#javascript: ↵
%2f*://*%2falert(location.href)/
Чтобы проверить уязвимость, скопируйте URL в брау-
зер и кликните на ссылку.
Уязвимость обнаружена в Microsoft Internet Explorer 5.5-6.0.
Способов устранения обнаруженной уязвимости не су-
ществует в настоящее время.
Повышение локальных привилегий
в Progress Database
Уязвимость обнаружена в Progress Database в нескольких
вспомогательных программах. Локальный пользователь
может получить root-привилегии на целевой системе.
Сообщается, что когда выполняются некоторые вспо-
могательные файлы, база данных загружает общедоступ-
ные файлы объектов с dlopen()-функцией, основываясь
на пути, определенном в переменной PATH. Локальный
пользователь может изменить переменную PATH, чтобы
сослаться на другое местоположение, в котором распо-
ложены альтернативные версии объектных файлов, ко-
торые будут выполнены с root-привилегиями.
Согласно сообщению, уязвимо большинство программ,
расположенных в '/usr/dlc/bin'-каталоге.
Уязвимость обнаружена в Progress Database 9.1 – 9.1D06.
В качестве временного решения, можно удалить setuid
bit из уязвимых программ.
Составил Александр Антипов
администрирование

Часть 1

АНДРЕЙ БЕШКОВ
12

С момента публикации первой статьи о Nagios прошло
довольно много времени, но вопросы и пожелания все
продолжают приходить. Самый часто встречающийся
вопрос – как настроить слежение за серверами, работа-
ющими под управлением семейства операционных сис-
тем Windows. В этой статье мы рассмотрим два спосо-
ба, используя которые можно добиться осуществления
наших желаний. Как всегда система, мониторинга Nagios
работает под управлением моей любимой системы
FreeBSD 4.7. Приверженцы Linux, Solaris и других Unix-
подобных систем тоже не останутся в стороне. Все опи-
санные ниже приемы с незначительными изменениями
можно с успехом применять и в их системах.
В качестве подопытной системы будет использовать-
ся русская версия Windows 2000 Professional. Такой вы-
бор обусловлен тем фактом, что настроить программ-
ное обеспечение для исправной работы с русской вер-
сией сложнее, чем с аналогичной английской. Придет-
ся решать проблемы, связанные с локализацией, а зна-
чит, статья получится гораздо полезнее и интереснее.
Последовательность действий по настройке программ-
ного обеспечения выглядит практически одинаково для
всех версий Windows. Я надеюсь, что никому из вас не
приходит в голову мысль серьезно рассматривать в ка-
честве операционной системы для установки на сер-
вер Windows 3.1, 3.11, 95, 98, ME. Поэтому дальше в этой
статье о них не будет сказано ни слова, соответственно,
вы можете с полным правом считать, что все методы, опи-
санные ниже, работать с ними, скорее всего, не будут.
В дальнейшем предполагается, что вы прочитали
первую статью, подробно описывающую основы уста-
новки и настройки Nagios, либо в февральском номере
журнала «Системный администратор», либо на моем
сайте http://onix.opennet.ru/.
Покончив с формальностями, приступим к изучению
конструкции и принципов работы подсистемы сбора дан-
ных о производительности. Такая система встроена в каж-
дую версию Windows-системы старше, чем Windows ME.
Для сбора статистики о своем функционировании
Windows NT, Windows 2000, Windows XP используют
объекты производительности. Делать подобные утвер-
ждения о Windows 2003 не буду, потому что потрогать
ее пока не удалось. Каждый компонент системы в про-
цессе работы генерирует данные о производительнос-
ти и складывает их в счетчики (performance counters)
собственного объекта производительности. На самом
деле объект – это абстракция, введенная для облегче-
ния понимания материала. Логичнее всего было бы
представлять объект как группу счетчиков, связанную
с наблюдаемой службой или ресурсом. Чаще всего на-
звание объекта совпадает с названием родительского
системного компонента. В большинстве случаев объек-
ты производительности соответствуют компонентам
оборудования компьютера – память, процессор, жест-
кие диски. В то же время многие службы и программы
могут создавать свои собственные объекты произво-
дительности. Иллюстрацией такого утверждения явля-
ются объекты службы «Обозреватель компьютеров»
или серверной программы Internet Information Server. К
№7(8), июль 2003
администрирование
примеру, объект «Файл подкачки» содержит внутри
себя набор счетчиков, говорящих о состоянии одного
или нескольких файлов виртуальной памяти, исполь-
зуемых системой. Некоторые подсистемы имеют всего
один экземпляр объекта производительности, другие
же могут иметь несколько. К первому виду относятся
«Система», «Память», «Сервер». «Жесткий диск» и
«Процессор», соответственно, ко второму. Согласитесь,
что жестких дисков в компьютере может быть несколь-
ко, а значит, внутри системы они должны быть пред-
ставлены отдельными подсистемами. В то же время
оперативная память, вне зависимости от количества
чипов, является единым компонентом. А посему иметь
больше одного экземпляра объекта производительно-
сти ей не положено. В случае если подсистема облада-
ет несколькими экземплярами объекта, есть возмож-
ность следить за счетчиками всех экземпляров или за
одним общим. В зависимости от языка операционной
системы, объекты и счетчики называются по-разному.
К примеру, посмотрим, как будет называться один и тот
же счетчик в локализованных версиях Windows 2000:
По моему мнению, идеи более глупой, чем подобное
чрезмерное увлечение локализацией, придумать нельзя.
Представьте себе процесс написания программы, ис-
пользующей в своей работе счетчики. Придется посто-
янно переделывать программу для каждой новой лока-
лизованной версии Windows. В дальнейшем все приво-
димые примеры будут опираться на русские версии пе-
речисленных операционных систем семейства Windows.
Чтобы закрепить все вышесказанное, давайте рас-
смотрим несколько примеров счетчиков:
\\TIGROID\Ïðîöåññîð(_Total)\% çàãðóæåííîñòè ïðîöåññîðà
\\TIGROID\Ïðîöåññîð(0)\% çàãðóæåííîñòè ïðîöåññîðà
\\TIGROID\Ïðîöåññîð(1)\% çàãðóæåííîñòè ïðîöåññîðà
Первый компонент – это имя моего домашнего компь-
ютера, на котором я пишу статьи и провожу тестовые ин-
сталляции. «Процессор» – название объекта. Как вы мог-
ли бы догадаться, (_Total) – экземпляр, инкапсулирующий
внутри себя данные о производительности всех процес-
соров системы. Соответственно, (0) и (1) – экземпляры
объектов первого и второго процессоров. И наконец, «%
загруженности процессора» – название самого счетчика.
В повседневной практике сложилась традиция для крат-
кости записывать названия счетчиков без имен компью-
теров. Я считаю, что нам также стоит придерживаться ее.
Счетчики бывают следующих типов:

Моментальный – всегда содержит последнее значение
использования ресурса. В качестве разъяснения приво-
дим счетчик \Очередь печати(_Total)\Заданий, собираю-
щий данные о количестве заданий в очереди печати.
13
 администрирование

Усредненный – хранит среднее число, созданное на
основе двух последних значений счетчика. Примером
такого типа является счетчик \Память\Страниц/сек., со-
держащий в себе среднее значение частоты смены
страниц памяти в секунду.
Существует возможность создавать счетчики дру-
гих типов. Но для этого необходимо иметь пакет Platform
Software Development Kit. Впрочем, обсуждение подоб-
ных методик выходит далеко за границы этой статьи.
Просмотреть список объектов и счетчиков, существу-
ющих в системе, а также полюбоваться на их содержи-
мое можно с помощью модуля «Монитор производи-
тельности», входящего в состав консоли управления
Microsoft. А если говорить совсем просто, то открыть
вышеописанный модуль можно выполнив программу
perfmon.exe. После ее запуска мы должны увидеть при-
мерно такое окно:
Рассмотрим подробнее, что за чудо дизайна пред-
стало перед нами. Слева мы видим дерево модуля,
справа – координатная плоскость для отображения гра-
фиков. Сверху у нас находится панель инструментов.
Ну а внизу – список счетчиков, используемых для пост-
роения графика. Для добавления еще одного счетчика
в список нажимаем кнопку «+», находящуюся на пане-
ли инструментов.
С помощью такого диалога можно просмотреть пол-
ный список счетчиков, объектов и их экземпляров, суще-
ствующих в системе на данный момент. Для того чтобы
14
узнать, как правильно называется тот или иной счетчик,
добавьте его в список отображения. Очень полезно во
время просмотра списка доступных счетчиков нажать
кнопку «Объяснения», так как названия счетчиков недо-
статочно информативны. К примеру, как вам такой ше-
девр ясности с первого взгляда: «% времени DPC»? Лад-
но, оставим названия на совести создателей системы.
Хотя если есть желание, можно нажать кноку “Объясне-
ние” и на экране появится маленькое окошко с кратким и
не всегда понятным объяснением предназначения того или
иного счетчика. Выбрав нужный счетчик, жмем кнопку
«Добавить». Затем правой клавишей мыши щелкаем в
центре графика и выбираем пункт меню «Свойства». В
появившемся диалоговом окне наше внимание привле-
кает вкладка «Данные».
Теперь-то каждый из вас сможет не только выбрать
счетчики по вкусу, но и правильно записать их название.
Ну а если самому от руки перепечатывать названия счет-
чиков в другие программы не хочется, то можно выпол-
нить еще одну хитрость.
Правой клавишей кликаем в центр графика и выбира-
ем «Сохранить как». В открывшемся диалоге вводим имя
файла test.html и жмем “Сохранить”. Затем любым редак-
тором открываем получившийся файл и среди кучи вся-
ких ненужных данных, ближе к концу файла, видим пол-
ное и правильно написанное название счетчика. Затем с
помощью буфера обмена его можно будет вставить в
любую программу.
Вкратце обсудив принципы, лежащие в основе сбора
данных о производительности Windows-машин, посмот-
рим, как можно с пользой для дела применять только что
полученные знания.
Подопытная Windows-машина называется win2000rus.
Для начала давайте выполним обязательные действия,
необходимые для того, чтобы Nagios узнал об этой маши-
не. Делать это придется вне зависимости от того, какой
способ мониторинга мы изберем. Поэтому внесем ее дан-
ные в файл hosts.cfg.
# Îïèñûâàåì õîñò ïî èìåíè win2000rus
define host{
use generic-host
host_name win2000rus
alias Windows 2000 Russian
address win2000rus
check_command check-host-alive
max_check_attempts 10
notification_interval 120
notification_period 24x7
notification_options d,u,r
}
 администрирование
Теперь добавляем его в файл hostgroups.cfg, описы- С сайта производителя http://nsclient.ready2run.nl/
вающий группы хостов. download.htmhttp://nsclient.ready2run.nl берем последнюю
версию программы NSClient. Я использовал версию 1.0.7.1.
define hostgroup{ После распаковки дистрибутива должны появиться сле-
hostgroup_name win-servers
alias Windows Servers дующие директории:
contact_groups win-admins
members win2000rus

LinuxBin – исполняемые файлы для Linux;
}
UnixSource – исходный код для всех версий Unix;

NTSource – исходный код для всех версий Windows;
Создаем в файле contacts.cfg запись для человека,
Win_2k_XP_Bin – исполняемые файлы для Windows 2000
отвечающего за Windows-сервера. и XP;

Win_NT4_Bin – исполняемые файлы для Windows NT.
define contact{
contact_name serge
alias Sergei Petrov Заглянув в директорию NTSource, понимаем – про-
service_notification_period 24x7 грамма написана на Delphi. Впрочем, это обстоятель-
host_notification_period 24x7
service_notification_options w,u,c,r ство никоим образом не мешает нам использовать ее
host_notification_options d,u,r для своих далеко идущих целей. Создаем директорию
service_notification_commands notify-by-email, ↵
notify-by-epager c:\Program Files\NSClient. Затем, в зависимости от ус-
host_notification_commands host-notify-by-email, ↵ тановленной у нас операционной системы, копируем в
host-notify-by-epager
email serge@test.ru нее содержимое либо из директории Win_2k_XP_Bin,
pager 172345885@pager.icq.com либо из Win_NT4_Bin. Пользуясь меню Пуск → Выпол-
}
нить запускаем командный интерпретатор cmd.exe. В
Пожалуйста, убедитесь, что вы внесли группу контак- появившемся окне набираем:
тов win-admins в файл contactgroups.cfg.
> C:\Program Files\NSClient\pNSClient /install
define contactgroup{
contactgroup_name win-admins
alias Windows admins По окончании установки система должна продемонст-
members serge рировать нам подобное окошко:
}

NSClient
Закончив с обязательными действиями, перейдем к об-
суждению первого способа мониторинга. Он состоит в
том, чтобы установить на Windows-машину программу
NSClient, доставшуюся нам в наследство от проекта
NetSaint. Запустившись как сервис, она начнет через каж- Это значит, что программе удалось прописать себя в
дые пять секунд читать содержимое определенных сис- реестре подобающим образом.
темных счетчиков Windows. Полученные величины запи- С помощью программы regedit откроем реестр. Ищем вет-
сываются в круговой буфер, в котором хранятся данные ку \HKEY_LOCAL_MACHINE\SOFTWARE\NSClient\Params.
за последние 24 часа. Занимаясь сбором статистики, про- Внутри расположились параметры password и port.
грамма ожидает входящие соединения от клиентов на Я думаю, предназначение каждого из них очевидно. Ду-
1248-й порт. Для считывания данных и передачи их сер- маю, вы согласитесь с утверждением, что возможность
веру мониторинга будет использоваться программа просматривать статистику должна быть предоставле-
check_nt из стандартной коллекции модулей Nagios. на только программам, запущенным на сервере мони-
Давайте посмотрим, какие именно сведения о функ- торинга. Меняем содержимое параметра “password” на
ционировании подопытного Windows-сервера можно по- что-нибудь длинное и трудноподбираемое, например
лучить с помощью check_nt: «PxRT890mY».

загрузка одного или всех процессоров за последние
24 часа;

наличие свободного места на любом подключенном к
системе жестком диске;

состояние запущенных процессов;

данные об использовании оперативной памяти;

время работы системы с момента последней пере-
загрузки;

состояние запущенных сервисов;

дату изменения любого файла;

данные любого системного счетчика.

Покончив с теорией, перейдем к инсталляции. Теперь любой, кто попытается подключиться для по-

№7(8), июль 2003 15

 администрирование
лучения данных на порт 1248, должен будет предъявить
пароль.
Проверим, как себя чувствует наш новый сервис
NetSaint NT agent. Выбираем меню Пуск → Настройка →
Панель управления. Затем дважды кликаем по пиктог-
рамме «Администрирование», в открывшемся окне так
же поступаем со значком «Службы». Должно получиться
что-то подобное:
Запустив службу и вернувшись в окно «Администри-
рование», щелкаем по значку «Просмотр событий». Во
вновь открывшемся окне выбираем «Журнал приложе-
ний». Находим уведомление от программы NSClient и кли-
каем на нем дважды.
Нам нужно было увидеть следующую строку «NSClient
1.0.7.0 has started. Language code : 0x0419», опираясь на
ее содержимое, мы можем узнать цифровой код языка,
используемого в системе. Для русского языка это 0x0419,
а для английского, соответственно, 0x0409. В файле
C:\Program Files\NSClient\counters.defs находится описа-
ние системных счетчиков для всех известных програм-
ме языков. Просмотрев его до конца, понимаем, что ко-
дом 0x0419 тут явно не пахнет. Отсюда вывод – для рус-
ской версии Windows получим дырку от бублика вместо
статистики. Осознав, что такое несправедливое положе-
ние вещей нас не устраивает, добавляем в counters.defs
новую секцию с названиями счетчиков, соответствую-
щими нашему языку:
[0x0419]
Description = "Russian"
NT4_SystemTotalProcessorTime = "\Ñèñòåìà\% çàãðóçêè ↵
ïðîöåññîðà"
NT4_SystemSystemUpTime = "\Ñèñòåìà\Âðåìÿ ðàáîòû ñèñòåìû"
NT4_MemoryCommitLimit = "\Ïàìÿòü\Ïðåäåë âûäåëåííîé ↵
16
âèðòóàëüíîé ïàìÿòè"
NT4_MemoryCommitByte = "\Ïàìÿòü\Áàéò âûäåëåííîé ↵
âèðòóàëüíîé ïàìÿòè"
W2K_SystemTotalProcessorTime = "\Ïðîöåññîð(_Total) ↵
\% çàãðóæåííîñòè ïðîöåññîðà"
W2K_SystemSystemUpTime = "\Ñèñòåìà\Âðåìÿ ðàáîòû ñèñòåìû"
W2K_MemoryCommitLimit = "\Ïàìÿòü\Ïðåäåë âûäåëåííîé ↵
âèðòóàëüíîé ïàìÿòè"
W2K_MemoryCommitByte = "\Ïàìÿòü\Áàéò âûäåëåííîé ↵
âèðòóàëüíîé ïàìÿòè"
Сохранив файл, перезапускаем сервис NetSaint NT agent.
Тем, кому религия не позволяет вносить изменения в фай-
лы собственноручно, предлагаю скачать модифицирован-
ную версию здесь: http://onix.opennet.ru/files/. Еще раз бег-
ло просматриваем журнал событий, дабы убедиться в от-
сутствии ошибок при перезапуске сервиса. Также стоит
удостовериться, что вся цепочка событий происходила в
таком порядке:
NSClient is now responding to queries.
NSClient 1.0.7.0 has started. Language code : 0x0419
NSClient is reading C:\Program Files\NSClient\counters.defs ↵
for counters definitions. Language code : 0x0419
NSClient has stopped
Закончив возню с Windows, переходим к Unix. В даль-
нейшем я предполагаю, что Nagios установлен в дирек-
торию /usr/local/nagios/. Запускается он с правами пользо-
вателя nagios, принадлежащего к группе nagios.
По крайней мере, именно так это происходит во
FreeBSD. Если вы используете другую операционную си-
стему, то вполне возможно настройки будут слегка от-
личаться. Для начала берем на сайте проекта Nagios
http://www.nagios.org/download/ самую свежую версию
модулей. В моем случае это был файл nagiosplug-1.3-
beta1.tar.gz. Распакуем архив:
# tar zxvf nagiosplug-1.3-beta1.tar.gz
К сожалению, в официальном пакете модулей, под-
ключаемых к Nagios, находится старая версия исходно-
го текста программы check_nt. Если оставить все как
есть, то некоторые функции сбора данных станут для нас
недоступны.
Сейчас мы легко в течение нескольких секунд устра-
ним это досадное неудобство. Из дистрибутива, остав-
ленного на Windows- машине, берем файл check_nt.c,
расположившийся в директории UnixSource, и заменяем
им старую версию, находящуюся на Unix-машине в ди-
ректории ./nagiosplug-1.3-beta1/plugins/.
Осталось исправить еще одну ошибку. Она касает-
ся только тех, кто использует FreeBSD или Solaris. От-
крываем файл ./nagiosplug-1.3-beta1/plugins/utils.c и
ищем там строку:
nchars = vsnprintf (str, size, fmt, ap);
Найдя, заменяем ее на вот это:
nchars = vsprintf (str, fmt, ap);
Если не выполнить исправления, то все результаты
работы модуля check_nt будут выглядеть таким образом:

Memory usage: total:??????? Mb - used: ??????? Mb (???????%) ↵
- free: ??????? Mb (???????%)
c:\ - total: ??????? Gb - used: ??????? Gb (???????%) ↵
- free ??????? Gb (???????%)
CPU Load (1 min. 12???????
Смотрится такое сборище вопросов весьма забавно.
Жаль, но для нас такие данные абсолютно бесполезны.
После работы над ошибками, возвратившись в главную
директорию дистрибутива, проводим конфигурирование,
сборку и инсталляцию.
# cd ..
# ./configure --prefix=/usr/local/nagios ↵
--with-nagios-user=nagios --with-nagios-grp=nagios
# gmake all
# gmake install
Стоит отметить тот факт, что для компиляции исполь-
зуется gmake вместо стандартной утилиты make. Иначе
сборка сразу же после старта заканчивается сообщени-
ем о фатальной ошибке:
Making all in plugins
“/tmp/nagiosplug-1.3-beta1/plugins/Makefile”, line 760: ↵
Need an operator
make: fatal errors encountered – cannot continue
*** Error code 1
По завершению инсталляции приступаем к созданию
новых команд, пользуясь которыми Nagios будет собирать
данные. Описание всех используемых команд должно
располагаться в файле checkcommands.cfg. Формат это-
го файла довольно прост.
Каждая команда начинается с открывающего тега
define command{. Затем с помощью ключевого слова
command_name определяется имя команды. Следующая
строка command_line определяет имя модуля, вызывае-
мого для осуществления проверки и параметры, переда-
ваемые ему процессом Nagios. Особое внимание следу-
ет обратить на макросы подстановки значений $USER1$,
$HOSTADDRESS$, $ARG1$, $ARG2$.
Давайте посмотрим, зачем нужен каждый из них:

$USER1$ – путь, где нужно искать выполняемые моду-
ли. В нашем случае он равен /usr/local/nagios/libexec/.
Значение этого макроса определяется в файле
resource.cfg;

$HOSTADDRESS$ – IP-адрес машины, подвергаемой
проверке. Задается в определении сервисов внутри
файла services.cfg;

$ARG1$, $ARG2$ – параметры командной строки, пе-
редаваемые модулю проверки. Чаще всего использу-
ются для задания временных интервалов, порогов пре-
дупреждений и критических состояний.
Завершается определение команды с помощью зак-
рывающего тега }. Итак, приступим к разбору содержи-
мого файла checkcommands.cfg.
# Îïðåäåëÿåì êîìàíäó check_nt_cpuload . Èñïîëüçîâàòüñÿ îíà
# áóäåò äëÿ ñáîðà äàííûõ î çàãðóæåííîñòè ïðîöåññîðà
define command{
command_name check_nt_cpuload
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v CPULOAD -l $ARG1$ -s $ARG2$
} рассматривался в первой статье о Nagios. Здесь мы только
№7(8), июль 2003
администрирование
# Êîìàíäà check_nt_memuse. Ïîêàçûâàåò äàííûå îá èñïîëüçîâàíèè
# ïàìÿòè. Èìååòñÿ â âèäó âèðòóàëüíàÿ ïàìÿòü.
define command{
command_name check_nt_memuse
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v MEMUSE -w $ARG1$ -c $ARG2$ -s $ARG3$
}
# Êîìàíäà check_nt_uptime. Îòîáðàæàåò âðåìÿ ðàáîòû ñèñòåìû
# ñ ìîìåíòà ïîñëåäíåé ïåðåçàãðóçêè
define command{
command_name check_nt_uptime
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v UPTIME -s $ARG1$
}
# Êîìàíäà check_nt_disk_space. Îòîáðàæàåò ðàçìåð ñâîáîäíîãî
# ïðîñòðàíñòâà íà ëþáîì æåñòêîì äèñêå ñèñòåìû
define command{
command_name check_nt_disk_space
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v USEDDISKSPACE –l $ARG1$ -w $ARG2$ ↵
-c $ARG3$ -s $ARG4$
}
# Îïèñûâàåì êîìàíäó check_nt_service. Ïîçâîëÿåò ïðîâåðèòü,
# çàïóùåí ëè â ñèñòåìå òîò èëè èíîé ñåðâèñ. Îáðàòèòå âíèìàíèå
# íà íåîáÿçàòåëüíóþ îïöèþ -d SHOWALL, ïîçâîëÿþùóþ âûâåñòè
# áîëåå ïîäðîáíûå äèàãíîñòè÷åñêèå ñîîáùåíèÿ.
define command{
command_name check_nt_service
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v SERVICESTATE -d SHOWALL –l $ARG1$ ↵
-s $ARG2$
}
# Ñàìàÿ ïðîñòàÿ èç âñåõ âûøåîïèñàííûõ êîìàíä
# check_nt_client_version ïîçâîëÿåò óçíàòü âåðñèþ
# ïðîãðàììû NSClient., ðàáîòàþùóþ â ñèñòåìå
define command{
command_name check_nt_client_version
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v CLIENTVERSION –s $ARG1$
}
# Êîìàíäà check_nt_file_age äàåò âîçìîæíîñòü ïðîâåðèòü âðåìÿ
# ìîäèôèêàöèè ëþáîãî ôàéëà íà ëîêàëüíîé ìàøèíå
define command{
command_name check_nt_file_age
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v FILEAGE -l $ARG1$ -w $ARG2$ ↵
-c $ARG3$ -s $ARG4$
}
# Îïðåäåëÿåì êîìàíäó check_nt_process. Ïðåäîñòàâëÿåò
# ìåõàíèçì, ñ ïîìîùüþ êîòîðîãî ìîæíî óçíàòü, ñóùåñòâóåò ëè
# â ñèñòåìå òîò èëè èíîé ïðîöåññ. Îáðàòèòå âíèìàíèå
# íà íåîáÿçàòåëüíóþ îïöèþ -d SHOWALL, ïîçâîëÿþùóþ âûâåñòè
# áîëåå ïîäðîáíûå äèàãíîñòè÷åñêèå ñîîáùåíèÿ î ñîñòîÿíèè
# ïðîöåññà.
define command{
command_name check_nt_process
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v PROCSTATE –d SHOWALL -l $ARG1$ -s $ARG2$
}
# Êîìàíäà check_nt_counter äàåò âîçìîæíîñòü ïðîñìîòðåòü
# ñîäåðæèìîå ëþáîãî ñ÷åò÷èêà ïðîèçâîäèòåëüíîñòè, è ïîýòîìó
# ÿâëÿåòñÿ ñàìîé óíèâåðñàëüíîé èç âñåõ îïèñàííûõ êîìàíä.
define command{
command_name check_nt_counter
command_line $USER1$/check_nt -H $HOSTADDRESS$ ↵
-v COUNTER -l $ARG1$ -w $ARG2$ ↵
-c $ARG3$ -s $ARG4$
}
После того как с файлом команд покончено, перей-
дем к файлу сервисов. Детально формат этого файла
17
 администрирование
рассмотрим формат строчки check_command, напрямую max_check_attempts 3
normal_check_interval 1
связанной с обсуждавшимися ранее макросами и $ARG1$ retry_check_interval 1
в частности. contact_groups win-admins
notification_interval 120
notification_period 24x7
check_command check_nt_process!"calc.exe,notepad.exe, ↵ notification_options c,r
mspaint.exe"!PxRT890mY # Âñå ïóòè ê ôàéëàì äîëæíû ñîäåðæàòü äâîéíîé ñèìâîë «\».
check_command check_nt_file_age!"c:\\upload\\update.dbf ↵
В приведенной выше строке check_command – клю- "!70!90!PxRT890mY
}
чевое слово, check_nt_process – название макрокоман-
ды, описанной с файле checkcommands.cfg. Все пара-
# Ýòîò ñåðâèñ ïîêàçûâàåò êîëè÷åñòâî ñâîáîäíîé âèðòóàëüíîé
метры, передаваемые макросам $ARG1$, $ARG2$, # ïàìÿòè, êîòîðîå âû÷èñëÿåòñÿ òàêèì îáðàçîì.
$ARG3$ и так далее, должны быть отделены друг от дру- # NSClient ÷èòàåò ñîäåðæèìîå ñ÷åò÷èêà
# «\Ïàìÿòü\Ïðåäåë âûäåëåííîé âèðòóàëüíîé ïàìÿòè»
га восклицательным знаком. Таким образом, выходит, # è äåëèò åãî íà 100. Òàê ïîëó÷àåòñÿ âåëè÷èíà, ïîêàçûâàþùàÿ,
что значение "calc.exe,notepad.exe,mspaint.exe" будет пе- # ñêîëüêî áàéò ïàìÿòè ïðèíèìàåòñÿ çà îäèí ïðîöåíò.
# Çàòåì äàííûå èç ñ÷åò÷èêà
редано в $ARG1$, а пароль PxRT890mY – в $ARG1$. # «\Ïàìÿòü\Áàéò âûäåëåííîé âèðòóàëüíîé ïàìÿòè»
Определившись с синтаксисом, переходим к файлу # äåëÿòñÿ íà êîëè÷åñòâî áàéò â îäíîì ïðîöåíòå.
# Òàê ìû óçíàåì, ñêîëüêî ïðîöåíòîâ çàíÿòî.
services.cfg: # Ê ñ÷àñòüþ, ëè÷íî çàíèìàòüñÿ ïîäîáíûìè îïåðàöèÿìè
# íåò íåîáõîäèìîñòè. NSClient ñäåëàåò âñå ñàì.
# Íà íàøåì ñåðâåðå ðàáîòàþò íåñêîëüêî ñàìîäåëüíûõ ïðîãðàìì. define service{
# Îíè äîëæíû âûïîëíÿòüñÿ êðóãëîñóòî÷íî, ïîýòîìó ìû ñîçäàëè use generic-service
# ñëåäóþùèé ñåðâèñ. host_name win2000rus
# Äëÿ ïðèìåðà áóäóò èñïîëüçîâàòüñÿ îáùåäîñòóïíûå ïðîãðàììû service_description Free Memory
# «Êàëüêóëÿòîð», «Paint», «Áëîêíîò», ïîñòàâëÿþùèåñÿ is_volatile 0
# ñ êàæäûì äèñòðèáóòèâîì Windows. check_period 24x7
define service{ max_check_attempts 3
use generic-service normal_check_interval 1
host_name win2000rus retry_check_interval 1
service_description User Programs contact_groups win-admins
is_volatile 0 notification_interval 120
check_period 24x7 notification_period 24x7
max_check_attempts 3 notification_options c,r
normal_check_interval 1 # Ïåðåõîä â ñîñòîÿíèå ïðåäóïðåæäåíèÿ ïðîèñõîäèò, åñëè çàíÿòî
retry_check_interval 1 # 70% ïàìÿòè. Êðèòè÷åñêèé ñòàòóñ íàñòóïàåò, êîãäà
contact_groups win-admins # èçðàñõîäîâàíî 90% ïàìÿòè.
notification_interval 120 check_command check_nt_memuse!70%!90%!PxRT890mY
notification_period 24x7 }
notification_options c,r
# Îáðàòèòå âíèìàíèå íà òîò ôàêò, ÷òî ìû ñëåäèì íå çà ñàìèìè
# ïðîãðàììàìè, à çà èõ ïðîöåññàìè â ïàìÿòè. Èìåíà ïðîöåññîâ # Ýòîò ñåðâèñ ïîçâîëÿåò óâèäåòü çàãðóçêó ïðîöåññîðà.
# ìîæíî óçíàòü ñ ïîìîùüþ âñòðîåííîãî â Windows ñòàíäàðòíîãî define service{
# äèñïåò÷åðà çàäà÷. Òàêæå ñòîèò âíèìàòåëüíî ïðèñìîòðåòüñÿ use generic-service
# ê ôîðìàòó ñïèñêà ïðîöåññîâ. host_name win2000rus
check_command check_nt_process!"calc.exe,notepad.exe, ↵ service_description CPU Load
mspaint.exe"!PxRT890mY is_volatile 0
} check_period 24x7
max_check_attempts 3
normal_check_interval 1
# Ýòîò ñåðâèñ ïîêàçûâàåò âåðñèþ ïðîãðàììû NSClient, retry_check_interval 1
# ðàáîòàþùåé â ñèñòåìå. contact_groups win-admins
define service{ notification_interval 120
use generic-service notification_period 24x7
host_name win2000rus notification_options c,r
service_description NSClient Version # Íàãðóçêà ñ÷èòàåòñÿ â èíòåðâàëå çà îäíó ìèíóòó. Ïåðåõîä
is_volatile 0 # â ñîñòîÿíèå ïðåäóïðåæäåíèÿ ïðîèñõîäèò ïðè äîñòèæåíèè óðîâíÿ
check_period 24x7 # â 80%, à êðèòè÷åñêèé ñòàòóñ íàñòóïàåò, åñëè çàãðóçêà 90%
max_check_attempts 3 # è áîëåå. Âñå ýòè õàðàêòåðèñòèêè çàäàþòñÿ öèôðàìè 1, 80, 90.
normal_check_interval 1 check_command check_nt_cpuload!1,80,90!PxRT890mY
retry_check_interval 1 }
contact_groups win-admins
notification_interval 120
notification_period 24x7 # Âðåìÿ áåñïåðåáîéíîé ðàáîòû ñèñòåìû ñ ìîìåíòà ïîñëåäíåé
notification_options c,r # ïåðåçàãðóçêè.
# Ôîðìàò êîìàíäû î÷åíü ïðîñòîé.  $ARG1$ ïåðåäàåòñÿ ïàðîëü define service{
check_command check_nt_client_version!PxRT890mY use generic-service
} host_name win2000rus
service_description Up time
is_volatile 0
# Êàæäûé ÷àñ óäàëåííûé ñåðâåð áàçû äàííûõ êëàäåò â ëîêàëüíóþ check_period 24x7
# ïàïêó îáùåãî äîñòóïà c:\upload\ ôàéë update.dbf. Â ýòîì max_check_attempts 3
# ôàéëå íàõîäÿòñÿ îáíîâëåíèÿ áàçû äàííûõ. normal_check_interval 1
# Åñëè âðåìÿ ñîçäàíèÿ ôàéëà íå ìåíÿåòñÿ áîëüøå, ÷åì 70 ìèíóò, retry_check_interval 1
# çíà÷èò, ïðîèñõîäèò ÷òî-òî íåõîðîøåå, è íóæíî ïåðåéòè contact_groups win-admins
# â ñîñòîÿíèå ïðåäóïðåæäåíèÿ. notification_interval 120
#  ñëó÷àå, êîãäà íåò èçìåíåíèé â òå÷åíèè 90 ìèíóò, ñåðâèñ notification_period 24x7
# ïåðåõîäèò â êðèòè÷åñêîå ñîñòîÿíèå. notification_options c,r
define service{ check_command check_nt_uptime!PxRT890mY
use generic-service }
host_name win2000rus
service_description File age
is_volatile 0 # Ïðîâåðÿåì, ôóíêöèîíèðóåò ëè ñåðâèñ MS SQL SERVER
check_period 24x7 # è ñàìîïèñíûé ñåðâèñ vmxposman.

18
 администрирование
define service{ check_command check_nt_counter! ↵
use generic-service "\Ôàéë ïîäêà÷êè(_Total)\% èñïîëüçîâàíèÿ", ↵
host_name win2000rus "Usage %.2f %%"!80%!90%!PxRT890mY
service_description CPU Load }
is_volatile 0
check_period 24x7
max_check_attempts 3 Стоит отметить тот факт, что названия счетчиков, ис-
normal_check_interval 1
retry_check_interval 1 пользуемых в определении двух последних сервисов, на-
contact_groups win-admins писаны русскими буквами в кодировке cp1251.
notification_interval 120
notification_period 24x7 Если нарушить это требование, то NSClient не смо-
notification_options c,r жет понять, чего мы хотим от него добиться, и будет
# Ïðîáëåìà â òîì, ÷òî â ïðîãðàììå óïðàâëåíèÿ ñåðâèñàìè
# Windows ïîêàçûâàåò ïîëíûå íàçâàíèÿ ñåðâèñîâ, возвращать заведомо неправильные данные. Кодиров-
# ïðåäíàçíà÷åííûå äëÿ ÷åëîâåêà. ка cp1251 используется для записи текстов по умолча-
# Íàì íóæíî íàçâàíèå, êîòîðîå èñïîëüçóåòñÿ äëÿ âíóòðåííèõ íóæä
# Windows. Óçíàòü ýòó òàéíó ìîæíî ëèáî ïîñìîòðåâ âåòâü ðååñòðà: нию всеми русскими Windows-системами.
# HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services., Вот тут-то нас и поджидает проблема. Дело в том, что в
# ëèáî óñòàíîâèâ áåñïëàòíóþ óòèëèòó 'Service Manager NT',
# äîñòóïíóþ äëÿ ñêà÷èâàíèÿ ïî ñëåäóþùåìó àäðåñó: http://www большинстве Unix-подобных систем для символов русско-
# rnks.informatik.tu-cottbus.de/~fsch/english/nttols.htm го языка используется кодировка KOI8-R. Конечно, можно
# Îáðàòèòå âíèìàíèå íà òîò ôàêò, ÷òî ïî àíàëîãèè ñ ïðîöåññàìè
# èìåíà ñåðâèñîâ òîæå ìîæíî ïåðå÷èñëÿòü ÷åðåç çàïÿòóþ. перенастроить консоль, на которой работаете под cp1251,
check_command check_nt_service!”mssqlserver,vmxposman” но такой подход лично мне кажется неудобным.
}
Поэтому я поступил гораздо проще. Используя FTP,
перенес файл checkcommands.cfg на Windows-машину.
# Ñëåäèì çà êîëè÷åñòâîì çàäàíèé, íàõîäÿùèõñÿ
# â î÷åðåäè ïðèíòåðà. Затем с помощью стандартного редактора «Блокнот» внес
define service{ требуемые изменения. Сохранился, перенес файл обрат-
use generic-service
host_name win2000rus но на Unix-машину и заменил старую копию в /usr/local/
service_description Print Queue nagios/etc/.
is_volatile 0
check_period 24x7 В принципе нужного результата можно добиться раз-
max_check_attempts 3 ными путями. Немного подумав, я решил сделать это дру-
normal_check_interval 1
retry_check_interval 1 гим более простым способом. Набрал все нужные рус-
contact_groups win-admins скоязычные надписи в формате koi8-r. Из пакетов уста-
notification_interval 120
notification_period 24x7 новил несколько программ для конвертирования текстов
notification_options c,r в разные кодировки:
# Èñïîëüçóÿ êîìàíäó check_nt_counter, ìîæíî ïîëó÷èòü äàííûå
# ñ ëþáîãî ñ÷åò÷èêà.  äàííûì ñëó÷àå –
# \Î÷åðåäü ïå÷àòè(_Total)\Çàäàíèé siconv-0.2.1
# Ñòðîêà «%.0f job(s)» óêàçûâàåò ìîäóëþ ïðèìåíèòü ê ðåçóëüòàòó fconv-1.1
# ïðåîáðàçîâàíèå ê òèïó float è âûâåñòè ÷èñëî â ôîðìàòå ru-xcode-1.0
# ñ òî÷íîñòüþ íîëü çíàêîâ ïîñëå çàïÿòîé. ru-dt1489-1.4
# Çàòåì ê ÷èñëó äëÿ íàãëÿäíîñòè äîáàâëÿåòñÿ ñòðîêà «job(s)». ru-mtc-1.3
# Åñëè âàì íåïîíÿòíî, ÷òî ýòî çíà÷èò, – ïîñìîòðèòå
# äîêóìåíòàöèþ ïî ôóíêöèè printf ( ) ÿçûêà Ñ. После тестирования выяснилось, что удобнее всего
# Ïåðåõîä â ñîñòîÿíèå ïðåäóïðåæäåíèÿ ïðîèñõîäèò
# ïðè íàêîïëåíèè 5 çàäàíèé, à êðèòè÷åñêèé ñòàòóñ использовать утилиту ru-mtc.
# íàñòóïàåò, åñëè èõ ñòàíîâèòñÿ 10 è áîëåå. Для конвертирования нужно выполнить такую после-
check_command check_nt_counter! ↵
"\Î÷åðåäü ïå÷àòè(_Total)\Çàäàíèé", ↵ довательность команд:
"%.0f job(s)"!5!10!PxRT890mY
}
# cat checkcommands.cfg | mtc –f koi8 ↵
–t win 1251 > checkcommands.tmp
# mv checkcommands.tmp checkcommands.cfg
# Ïðîâåðÿåì ïðîöåíò èñïîëüçîâàíèÿ ôàéëà ïîäêà÷êè
define service{
use generic-service Теперь осталось только заставить Nagios перечитать
host_name win2000rus
service_description Paging File файлы конфигурации:
is_volatile 0
check_period 24x7
max_check_attempts 3 # /usr/local/etc/rc.d/nagios.sh restart
normal_check_interval 1
retry_check_interval 1
contact_groups win-admins Убедившись в отсутствии ошибок, можно начать ста-
notification_interval 120 вить разные садистские эксперименты по проверке
notification_period 24x7
notification_options c,r того, насколько надежно и оперативно система мони-
# Òóò ìû ñíîâà èñïîëüçóåì check_nt_counter, õîòÿ è íåìíîãî торинга реагирует на критические ситуации, происхо-
# äðóãèì ñïîñîáîì.
# Ñòðîêà «Usage %.2f %%» óêàçûâàåò ìîäóëþ ïðèìåíèòü дящие на Windows-машине. Например, для того чтобы
# ê ðåçóëüòàòó ïðåîáðàçîâàíèå ê òèïó float è âûâåñòè ÷èñëî посмотреть, как работает слежение за очередью прин-
# â ôîðìàòå ñ òî÷íîñòüþ äâà çíàêà ïîñëå çàïÿòîé.
# Çàòåì äëÿ íàãëÿäíîñòè ïðèêëåèâàåì ñïåðåäè ñòðîêó «Usage». тера, можно выключить питание принтера и отправить
# Îáðàòèòå âíèìàíèå íà äâîéíîé çíàê «%» â ñòðîêå несколько заданий на печать. Впрочем, я думаю, вы и
# ôîðìàòèðîâàíèÿ.
# Ñíîâà âñïîìíèâ õîðîøèìè ñëîâàìè ôóíêöèþ printf ( ), сами сможете придумать разные способы создаия кри-
# ïîíèìàåì, ÷òî â ðåçóëüòàòå èç äâóõ ïîëó÷èòñÿ îäèí ñèìâîë «%». тических ситуаций. Наигравшись вдоволь, можно пе-
# Ïåðåõîä â ñîñòîÿíèå ïðåäóïðåæäåíèÿ ïðîèñõîäèò ïðè äîñòèæåíèè
# óðîâíÿ â 80 ïðîöåíòîâ, à êðèòè÷åñêèé ñòàòóñ íàñòóïàåò, реходить ко второму способу мониторинга, который я
# åñëè ôàéë ïîäêà÷êè çàïîëíåí íà 90 è áîëåå ïðîöåíòîâ. опишу в следующей статье.

№7(8), июль 2003 19

администрирование

ДЕНИС ПЕПЛИН
20

Знакомство с системой зачастую начинается с ее уста-
новки и настройки, причем эти два процесса обычно со-
вмещены. Для систем Unix настройка сводится к созда-
нию текстовых файлов конфигурации. В FreeBSD основ-
ная работа идет над файлом /etc/rc.conf, который являет-
ся частью системы стартовых скриптов /etc/rc*.
Настроить систему после установки можно путем за-
пуска /stand/sysinstall или вручную. Оба способа хороши,
а первый к тому же лишен недостатка большинства про-
грамм автоматической настройки: уже заданные парамет-
ры не перезаписываются, а добавляются в конец файла
/etc/rc.conf, где их можно затем отредактировать под соб-
ственные нужды или вообще удалить, чтобы вернуться к
настройкам по умолчанию.
Многие, казалось бы, сложные вещи, которые мо-
гут поставить новичка в тупик, в FreeBSD делаются
путем добавления пары строк в этот файл. Чтобы не
быть голословным, приведу пример настройки шлюза
в Интернет для локальной сети с частными адресами
(192.168.0.0/24) на внутреннем интерфейсе и NAT на
внешнем, кэширующим DNS-сервером и SSH для уда-
ленного управления всем этим хозяйством. Хотя это не
самый простой пример, конфигурация умещается все-
го на 11 строчках:
sshd_enable="YES"
ifconfig_rl0="inet 123.123.123.2 netmask 0xfffffff0"
ifconfig_rl1="inet 192.168.0.1 netmask 0xffffff00"
hostname="example.com"
defaultrouter="123.123.123.1"
firewall_type="OPEN"
firewall_enable="YES"
gateway_enable="YES"
natd_enable="YES"
natd_interface="rl0"
named_enable="YES
Такая лаконичность достигается благодаря тому, что
параметры по умолчанию хранятся в /etc/defaults/rc.conf,
а строки из /etc/rc.conf лишь изменяют и дополняют эти
параметры. Редактировать файл с параметрами по
умолчанию не нужно (это только усложнит последую-
щие обновления), но вот просмотреть его хотя бы раз
будет полезно.
Строки rc.conf означают не что иное, как установку
переменных Bourne shell (/bin/sh). Когда в процессе заг-
рузки системы init запускает скрипт /etc/rc, одним из
первых его действий становится установка параметров
настройки:
if [ -r /etc/defaults/rc.conf ]; then
. /etc/defaults/rc.conf
source_rc_confs
elif [ -r /etc/rc.conf ]; then
. /etc/rc.conf
fi
В данном случае перезаписыванием параметров по
умолчанию занимается функция source_rc_confs (рас-
положенная в /etc/defaults/rc.conf), которая и включает
/etc/rc.conf, /etc/rc.conf.local или любые другие файлы
из списка, определенного в переменной rc_conf_files.
Конструкция эта могла бы быть несколько проще, но ис-
пользуемая функция уже содержит «защиту от дурака»,
поскольку некоторые пользователи считают удобным
№7(8), июль 2003
администрирование
копировать /etc/defaults/rc.conf в /etc/rc.conf, что без та-
кой защиты привело бы к зацикливанию.
Включение в rc.conf команд нежелательно. Хотя та-
кой метод и работает, процесс загрузки будет нарушен,
ведь обычно в rc.conf ничего, кроме установки перемен-
ных не происходит, все действия выполняются позже
стартовыми скриптами. При правильной настройке (ус-
тановка переменных) порядок запуска сервисов и уста-
новки параметров системы определяется не положени-
ем строк в rc.conf, которое может быть произвольным, а
содержимым скриптов.
Начиная с FreeBSD 5.x, содержимое это поменялось
почти полностью: из NetBSD были заимствованы скрип-
ты «нового поколения» /etc/rc.d. После некоторой паузы,
потребовавшейся на тестирование новых скриптов, ста-
рые были убраны. Наиболее важные из оставшихся в /etc
скриптов и файлы конфигурации:

rc – запускается init при загрузке системы.

rc.shutdown – запускается init при останове системы.

rc.subr – часть системы, импортированной из NetBSD.

rc.firewall – предназначен для настройки ipfw и natd.

rc.conf – содержит настройки системы, переписываю-
щие параметры по умолчанию.

rc.conf.local – специфичные для хоста настройки. Если
используется этот файл, rc.conf может быть общим для
группы хостов.

rc.local – все еще поддерживается для запуска локаль-
ных сервисов. Вместо него рекомендуется использо-
вать скрипты /usr/local/etc/rc.d.
Для редактирования предназначены только скрипт
rc.firewall и файлы конфигурации. Ситуация, в которой
потребовалось бы приспосабливать к своей системе ос-
тальные скрипты, возникнуть не должна (по крайней мере,
теоретически). Если она все же возникла – сообщите об
этом разработчикам.
Принципиальное отличие скриптов нового поколения –
поддержка параметров запуска. По сравнению со скрип-
тами из /usr/local/etc/rc.d список этих параметров суще-
ственно расширен. К минимальному набору (start|stop)
добавились:

restart – последовательно stop и start.

reload – перегружает процесс, посылая ему сигнал.

status – показывает статус процесса.

poll – ждет завершения процесса.

rcvar – показывает соответствующие переменные
rc.conf.
Параметры status, reload и poll реализуются только в
том случае, если скрипт запускает какой-либо процесс.
Введение параметров запуска существенно облегча-
ет задачу запуска и рестарта отдельных сервисов без
перезагрузки всей системы. Конечно, это было возмож-
но и раньше, но рекомендация «перегрузиться на вся-
кий случай» теперь имеет под собой гораздо меньше
оснований.
Перезагрузка после настройки системы нужна для
того, чтобы проверить правильность внесенных в фай-
лы конфигурации изменений. Когда стартовые скрипты
21
 администрирование
представляют собой нечто монолитное, разделенное
только по общей функциональности, воспользоваться
ими для старта сервисов без перезагрузки можно разве
что в качестве практического пособия «как это устрое-
но». В этом случае запуск сервисов распадается на два
этапа: внесение изменений в конфигурационный файл,
чтобы все работало и после перезагрузки, и запуск про-
грамм вручную.
Проблема в том, что второй этап никак не проверя-
ет правильность первого: может возникнуть ситуация,
когда вручную все запущено правильно, а в конфигу-
рационном файле допущена ошибка. Если это так, то
при любой последующей перезагрузке соответствую-
щий сервис не стартует, и придется все исправлять (хо-
рошо, если вы будете в этот момент рядом, а не в от-
пуске, например).
К тому же запуск вручную не всегда тривиален: к приме-
ру, для запуска NFS сервера в FreeBSD 4.x так, как это про-
исходит при установке параметра nfs_server_enable=«YES»
в rc.conf, потребуются следующие команды:
# portmap
# mountd -r
# nfsd
# rpc.statd
В FreeBSD 5.x достаточно добавить эту переменную и
выполнить команду:
# /etc/rc.d/nfsd start
Очевидно, это гораздо проще и к тому же проверена
на правильность соответствующая переменная. В приме-
ре с NFS в обеих случаях сначала необходимо подгото-
вить файл /etc/exports (man exports(5)).
Другие параметры также достаточно интересны: на-
пример, status поможет узнать, какие процессы запуще-
ны в данный момент, а rcvar – познакомиться со скрипта-
ми поближе:
# for i in /etc/rc.d/*; do $i status 2>/dev/null; done
# for i in /etc/rc.d/*; do echo $i; $i rcvar 2>/dev/null; ↵
echo; done
Для стартовых скриптов системы, в отличие от локаль-
ных скриптов в /usr/local/etc/rc.d, очень важен порядок за-
пуска. Локальные скрипты не имеют механизма реализа-
ции зависимостей и определения порядка запуска. Они
стартуют в алфавитном порядке и если необходимо, что-
бы какой-то скрипт стартовал раньше, нужно «повысить»
его место по алфавиту. Обычно перед именем скрипта
добавляют пару-тройку нулей.
Зависимости и определение порядка запуска в сис-
темных стартовых скриптах FreeBSD 5.x реализуются с
помощью rcorder(8).
Эта программа использует специальные ключевые
слова, содержащиеся в каждом скрипте: REQUIRE,
PROVIDE, BEFORE, KEYWORD. Для оболочки строки, со-
держащие эти слова, являются комментариями. Вот при-
мер блока ключевых слов /etc/rc.d/nfsd (все пробелы обя-
зательны):
22
# PROVIDE: nfsd
# REQUIRE: mountd
# KEYWORD: FreeBSD NetBSD
Этот скрипт предоставляет сервис nfsd, требует пред-
варительного запуска mountd и работает в FreeBSD и
NetBSD.
Должен быть хотя бы один скрипт без ключевого сло-
ва REQUIRE, чтобы rcorder мог определить первый стар-
товый скрипт. Например, /etc/rc.d/devd содержит сле-
дующий блок:
# PROVIDE: devd
# BEFORE: disks
# KEYWORD: FreeBSD
Ключевое слово BEFORE помогает определить последую-
щие скрипты (в которых анализируется строка «# PROVIDE:
disks»).
В FreeBSD правильную последовательность скриптов
выдает следующая команда:
# rcorder -k FreeBSD -s nostart /etc/rc.d/* 2>/dev/null
В полученном списке по именам скриптов можно вы-
делить три группы. Скрипты с именами в верхнем реги-
стре служат только для определения основных зависи-
мостей. Это своеобразные «контрольные точки», кото-
рые определяют набор зависимостей на отдельных эта-
пах загрузки.
Таких скриптов всего четыре: NETWORKING, SERVERS,
DAEMON, LOGIN (man rc(8)). Они используются только
rcorder, для sh это всего лишь набор комментариев. Ос-
тальные скрипты делятся по признаку наличия или отсут-
ствия расширения «.sh». Если расширение присутствует,
скрипт запускается в текущей оболочке.
В локальных скриптах поддержка параметров реали-
зуется с помощью конструкции case. Параметр start пред-
полагает запуск программы, stop – отправку ему сигна-
ла TERM. Любой другой параметр – вывод краткой справ-
ки по параметрам. Шаблон локального скрипта выгля-
дит так (man rc(8)):
#!/bin/sh -
case "$1" in
start)
/usr/local/sbin/prog -d && echo -n ' prog'
;;
stop)
kill `cat /var/run/prog.pid` && echo -n ' prog'
;;
*)
echo "unknown option: $1 - should be 'start' or 'stop'" >&2
;;
esac
Реализация таким методом большего числа парамет-
ров потребует соответствующего числа ключевых слов в
case и множества довольно тривиального и одинакового
для всех скриптов кода (более сложного, чем в приведен-
ном примере). Видимо, разработчикам NetBSD такое ре-
шение изящным не показалось и вся функциональность
стартовых скриптов нового поколения была реализована
в отдельном скрипте (/etc/rc.subr). Вот шаблон простей-
шего скрипта «нового поколения».

#!/bin/sh
#
# PROVIDE: prog
# REQUIRE: before_prog
# BEFORE: after_prog
# KEYWORD: FreeBSD
. /etc/rc.subr
name="prog"
rcvar=`set_rcvar`
command="/usr/local/bin/prog"
load_rc_config $name
run_rc_command "$1"
Функционально этот скрипт превосходит предыдущий
за счет добавления новых параметров (и к тому же, бла-
годаря параметрам rcorder, он «знает свое место»). Ви-
зуально он делится на четыре части: ключевые слова,
включение /etc/rc.subr, переменные и запуск функций
из включенного rc.subr. Между переменными и запус-
ком функций rc.subr могут быть включены собственные
функции скрипта. В скрипт могут быть помещены пе-
ременные argument_cmd. Слово argument означает па-
раметр запуска. Если запустить любой из стартовых
скриптов без параметров, он выдаст информацию при-
мерно в таком виде:
Usage: /etc/rc.d/prog ↵
[fast|force](start|stop|restart|rcvar|reload|status|poll)
Параметрами скрипта могут быть start, faststart,
forcestart, stop, faststop... и соответственно переменная
argument_cmd на самом деле означает набор start_cmd,
stop_cmd...
Получить примерное представление о том, какие на
самом деле используются переменные, поможет следую-
щая команда:
$ cat /etc/rc.d/[a-z]* | egrep "^[a-z]+_?[a-z]+=.*$" ↵
| awk -F= '{print $1}' | sort -u | less
Не менее интересен может быть просмотр перемен-
ных вместе с их значениями:
$ cat /etc/rc.d/[a-z]* | egrep "^[a-z]+_?[a-z]+=.*$" ↵
| sort -u | less
В man rc.subr(8) дано описание всех используемых
функций и переменных.
Задаваемые в стартовых скриптах переменные ис-
пользуются функцией run_rc_command. Вот список этих
переменных в сокращенном виде:

name – имя скрипта. Указывается в обязательном по-
рядке.

rcvar – значение переменной, имя которой помещено
в rcvar, берется из rc.conf и проверяется с помощью
checkyesno. Истинными считаются значения «YES»,
«TRUE», «ON» или «1». Ложными «NO», «FALSE»,
«OFF» или «0».

command – полный путь к команде. Переменная не нуж-
на, если для каждого поддерживаемого параметра
указана переменная argument_cmd.

command_args – опциональные аргументы и/или ди-
рективы оболочки.
№7(8), июль 2003
администрирование

command_interpreter – командный интерпретатор, с по-
мощью которого запускается command.

extra_commands – дополнительные параметры за-
пуска.

pidfile – полный путь к файлу PID. Если эта перемен-
ная установлена, для проверки процесса использу-
ется check_pidfile $pidfile $procname. Иначе, если ус-
тановлена переменная command, используется
check_process $procname.

procname – имя процесса для проверки. По умолча-
нию – procname.

required_dirs – проверка на наличие директории перед
стартом программы.

required_files – проверка на читаемость файлов.

required_vars – проверка переменной с помощью
checkyesno.

${name}_chdir – каталог, в который нужно войти перед
запуском command, если нет – ${name}_chroot.

${name}_chroot – каталог для запуска chroot(8) перед
запуском command.

${name}_flags – эта переменная используется для пе-
резаписи соответствующей переменной из rc.conf.

${name}_nice – устанавливает уровень nice(1) перед за-
пуском command.

${name}_user – пользователь, под которым запускается
command. Если установлена переменная ${name}_chroot,
используется chroot(8), иначе – su(1).

${name}_group – группа для запуска command в chroot.

${name}_groups – разделенный запятыми список групп
для запуска в chroot.

argument_cmd – перезаписывает действие по умол-
чанию.

argument_precmd – выполняется перед argument_cmd или
действием по умолчанию, которое выполняется только в
случае успешного завершения argument_precmd.

argument_postcmd – выполняется, если argument_cmd
или действие по умолчанию успешно выполнены.

sig_stop – сигнал, который посылается процессу для
его завершения вместо SIGTERM.

sig_reload – сигнал, который посылается процессу для
перезагрузки вместо SIGHUP.
Префикс fast означает отсутствие проверки запущен-
ных процессов перед запуском нового и установку пере-
менной rc_fast=YES, а префикс force – установку пере-
менной rc_force=YES и игнорирование статуса заверше-
ния argument_precmd.
В отличие от локальных скриптов, для работы скрипта
«нового поколения» в rc.conf должна быть помещена пе-
ременная, имя которой определяется значением rcvar.
Кроме того, туда же можно поместить и дополнительные
переменные, например ${name}_flags.
В целом с переходом на новые скрипты настройка
системы в rc.conf не изменилась (совместимость остав-
лена с целью минимизации проблем при обновлении си-
стемы). Возможностей по перенастройке системы на
ходу явно прибавилось, и к тому же стартовые скрипты
теперь еще лучше подходят в качестве инструмента изу-
чения системы.
23
администрирование

НАСТРОЙКА
СЕРВЕРА SSH

ДЕНИС КОЛИСНИЧЕНКО

24

Сервис Telnet обеспечивает базовую эмуляцию термина-
лов удаленных систем, поддерживающих протокол Telnet
над протоколом TCP/IP. Обеспечивается эмуляция терми-
налов Digital Equipment Corporation VT 100, Digital
Equipment Corporation VT 52, TTY. Любые команды, вы-
полняемые с помощью Telnet, обрабатываются telnet-сер-
вером, а не локальным компьютером. Пользователь лишь
видит результат выполнения этих команд.
Для использования Telnet на удаленном компьюте-
ре должен быть установлен telnet-демон. На компьюте-
ре пользователя нужно установить программу-клиент.
Практически в каждой операционной системе суще-
ствует утилита telnet, которая является клиентом для
протокола telnet.
Сервис Telnet был и остается одним из самых попу-
лярных способов удаленной регистрации и работы на уда-
ленной машине. Основным его недостатком является то,
что любая информация, в том числе и пароли, передает-
ся в открытом виде без какого-либо кодирования.
SSH (Secure Shell) – программа, позволяющая вам за-
регистрироваться на удаленных компьютерах и устано-
вить зашифрованное соединение. Существует также «бе-
зопасная» версия telnet – stelnet.
SSH использует криптографию открытого ключа для
шифрования соединения между двумя машинами, а так-
же для опознавания пользователей. Оболочку ssh можно
использовать для безопасной регистрации на удаленном
сервере или копировании данных между двумя машина-
ми, в то же время предотвращая атаки путем присоеди-
нения посредине (session hijacking) и обманом сервера
имен (DNS spoffing).
Оболочка Secure Shell поддерживает следующие ал-
горитмы шифрования:

BlowFish – это 64-разрядная схема шифрования. Этот
алгоритм часто используется для высокоскоростного
шифрования данных больших объемов.

Тройной DES (Data Encryption Standard) – стандарт для
шифрования данных. Данный алгоритм довольно ста-
рый, поэтому не рекомендуется его использовать.
Обычно DES используется для шифрования несекрет-
ных данных.

IDEA (International Data Encryption Algorithm) – между-
народный алгоритм шифрования информации. Этот
алгоритм работает со 128-разрядным ключом и поэто-
му он более защищен, чем BlowFish и DES.

RSA (Rivest-Shamir-Adelman algorithm) – алгоритм Ри-
веста-Шамира-Адельмана. Представляет собой схему
шифрования с открытым и секретным ключами.
При выборе алгоритма шифрования нужно исходить
из конфиденциальности информации, которую вам нуж-
но передать. Если информация секретна, лучше исполь-
зовать алгоритмы IDEA или RSA. Если же вы просто не
хотите передавать данные в открытом виде, используйте
алгоритм BlowFish, поскольку он работает значительно бы-
стрее, чем DES.
Оболочка ssh очень эффективна против анализаторов
протоколов, так как она не только шифрует, но и сжимает
трафик перед его передачей на удаленный компьютер.
№7(8), июль 2003
администрирование
Программу ssh можно скачать по адресу http://
www.cs.hut.fi/ssh/. Версия ssh для UNIX распространяется
бесплатно, а за Windows-версию (имеется в виду клиент
для Windows) нужно заплатить.
Оболочка ssh незаменима в тех случаях, когда уда-
ленно нужно администрировать сервер или когда сервер
не имеет собственного монитора. При использовании
telnet все данные, которые передаются через telnet-соеди-
нение, доступны в открытом виде. А значит, имена пользо-
вателей и пароли будут доступны всем, кто прослушива-
ет трафик с помощью анализатора. SSH выполняет шиф-
рование, используя несколько различных алгоритмов,
включая DES и 3DES.
Программа состоит из демона sshd, который запуска-
ется на Linux/UNIX-машине, и клиента ssh, который рас-
пространяется как для Linux, так и для Windows. Чтобы
установить ssh, возьмите исходные тексты и поместите
их по традиции в каталог /usr/src/. Затем распакуйте ар-
хив и установите программу, выполнив следующую пос-
ледовательность действий:
cd /usr/src/
tar xzf ssh-2.4.0.tar.gz
cd ssh-2.4.0
./configure
make
make install
Чтобы ssh начал работать, необходимо запустить де-
мон sshd на той машине, к которой предполагается под-
ключение. Желательно добавить команду запуска в сце-
нарий загрузки системы для автоматического запуска.
Демон sshd работает по 22 порту (см. листинг 1). Если
не ошибаюсь, ssh невозможно использовать вместе с
xinetd/inetd – его нужно запускать подобно httpd-серверу
в режиме standalone.
Ëèñòèíã 1. Ôðàãìåíò ôàéëà /etc/services
ssh 22/tcp # SSH Remote Login Protocol
ssh 22/udp # SSH Remote Login Protocol
Обычно с настройкой sshd не возникает никаких не-
приятных моментов. Подробно о настройке sshd пого-
ворим чуть позже. Теперь попробуйте зарегистриро-
ваться на этой машине через ssh. Для этого нужно ус-
тановить этот же пакет на другую машину под управле-
нием Linux/UNIX (или установить Windows-клиент ssh)
и ввести команду:
$ ssh hostname.domain
ssh запросит вас ввести пароль пользователя. В каче-
стве имени пользователя для установки соединения бу-
дет использовано имя текущего пользователя, то есть
имя, под которым вы сейчас зарегистрированы в сис-
теме. В случае если аутентификация пройдет успеш-
но, начнется сеанс связи. Прекратить сеанс можно ком-
бинацией клавиш Ctrl+D. Если вам нужно указать дру-
гое имя пользователя, используйте параметр -l програм-
мы ssh:
ssh -l user hostname.ru
25
 администрирование
Так можно указать программе ssh, от имени какого
пользователя нужно регистрироваться на удаленной ма-
шине (см. рис. 1).
Ðèñ. 1. Ðåãèñòðàöèÿ íà óäàëåííîé ìàøèíå.
При использовании Windows-клиента имя компьюте-
ра, имя пользователя и пароль нужно ввести в диалого-
вом окне программы. Если соединение не устанавлива-
ется, попробуйте выбрать метод кодирования blowfish.
Если и это не поможет, выберите 3DES. Работа в ssh ана-
логична работе в telnet. Вы можете администрировать
удаленную машину также легко, как и локальную.
Оболочка ssh использует два файла конфигурации
ssh_conf и sshd_conf. Думаю, что нет смысла говорить о
том, что они находятся в директории /etc/ssh. Рекомен-
дую в файле sshd_conf прописать следующую строчку:
allowedadress 10.1.1.1 10.1.2.1 10.1.3.1
Это означает, что доступ по ssh может быть выполнен
только с машин с адресами 10.1.1.1, 10.1.2.1, 10.1.3.1. Это
оградит ваш компьютер от нежелательных вторжений
извне. Программа stelnet во всем полностью аналогична
программе telnet, но она выполняет шифрование трафи-
ка, который передается во время telnet-соединения.
Демон sshd – это программа-демон для оболочки ssh.
Обычно sshd запускается на машине, к которой подклю-
чаются клиенты SSH. Последние версии демона sshd под-
держивают две версии протокола SSH: SSH версия 1 и
SSH версия 2.
Протокол SSH версия 1
У каждого узла есть свой RSA-ключ (обычно 1024 бит),
который используется для идентификации узла. Этот ключ
еще называется открытым. Дополнительно при запуске
демона генерируется еще один RSA-ключ – ключ серве-
ра (обычно 768 бит). Этот ключ создается заново каждый
час и никогда не сохраняется на диске.
Каждый раз при установке соединения с клиентом
демон отправляет ему в ответ свой открытый ключ и
ключ сервера. Клиент сравнивает полученный откры-
тый ключ со своей базой данных, чтобы проверить, не
изменился ли он. Затем клиент случайным образом
генерирует 256-разрядное число и кодирует его, исполь-
зуя одновременно два ключа – открытый ключ и ключ
26
сервера. Обе стороны используют этот случайный но-
мер как ключ сессии, который используется для коди-
рования всех передаваемых во время сессии данных.
Затем клиент пытается аутентифицировать себя, ис-
пользуя .rhosts-аутентификацию, аутентификацию RSA
или же аутентификацию с использованием пароля.
Обычно .rhosts-аутентификация небезопасна и поэто-
му она отключена.
Протокол SSH версия 2
Версия 2 работает аналогично: каждый узел имеет опре-
деленный DSA-ключ, который используется для иденти-
фикации узла. Однако при запуске демона ключ сервера
не генерируется. Безопасность соединения обеспечива-
ется благодаря соглашению Диффи-Хелмана (Diffie-
Hellman key agreement).
Сессия может кодироваться следующими методами:
128-разрядный AES, Blowfish, 3DES, CAST128, Arcfour,
192-разрядный AES или 256-разрядный AES.
Опции демона sshd указаны в таблице 1.
Файл конфигурации демона /etc/ssh/sshd_config до-
вольно большой, поэтому я не стану приводить в статье
его полный листинг. Сейчас мы остановимся только на
самых важных директивах файла конфигурации.
Директива Port предназначена для указания порта,
которые демон будет прослушивать (данная директива
аналогична опции -p):
Port 22
Следующая директива – это директива Protocol. С по-
мощью этой директивы можно указать в порядке пред-
почтения номера поддерживаемых протоколов SSH:
Protocol 2,1
Такое определение директивы означает, что сначала
сервер будет пытаться установить соединение с клиен-
том по протоколу SSH версии 2, а потом – по протоколу
SSH версии 1. Можно указать использование только од-
ной версии протокола, например: Protocol 1. Директива
ListenAddress указывает локальный адрес, который дол-
жен прослушивать демон.
Директива определяет файлы ключей. Файлами по
умолчанию являются:
/etc/ssh/ssh_host_key
/etc/ssh/ssh_host_rsa_key
/etc/ssh/ssh_host_dsa_key
Директива ServerKeyBits определяет разрядность клю-
ча сервера для протокола SSH первой версии. По умол-
чанию используется 768-разрядный ключ (768 бит).
Директива LoginGraceTime аналогична опции -g : пре-
доставляет клиенту дополнительное время, чтобы аутен-
тифицировать себя. По умолчанию время равно 600 се-
кундам. Если за это время клиент не смог аутентифици-
ровать себя, соединение будет прекращено.
Директива KeyRegenerationInterval аналогична опции -k.
 администрирование
Òàáëèöà 1. Îïöèè äåìîíà sshd.

Она определят время, спустя которое ключ сервера бу-

дет создан заново. По умолчанию время составляет 3600
секунд (1 час).
Директива PermitRootLogin определяет, разрешено ли
пользователю root регистрироваться по ssh. Значение по
умолчанию:

PermitRootLogin yes

Еще две директивы, имеющие непосредственное от-

ношение к аутентификации – это PasswordAuthentication
и PermitEmptyPasswords. Первая разрешает (при значе-
нии yes) аутентификацию с помощью пароля, а вторая
разрешает (при значении yes) использовать пустые паро-
ли. Значения по умолчанию:

PasswordAuthentication yes
PermitEmptyPasswords no

Описание остальных опций вы найдете в справочной

системе, введя команду man sshd. Ваши вопросы и ком-
ментарии присылайте на dhsilabs@mail.ru.

№7(8), июль 2003 27

администрирование

IRC-CЕРВЕР

АЛЕКСАНДР СЛОБОДСКОЙ

28

Итак, вы администрируете небольшую локальную сеть. Так
или иначе пользователям хочется общаться. Такие програм-
мы, как lantalk, естественно, не подходят, потому что рассы-
лают широковещательные пакеты по всей сети, что не есть
хорошо. Выход – установка irc-сервера, который лишен очень
многих недостатков и имеет массу преимуществ. Например,
быстрота работы по сравнению с www-чатами – ведь клиен-
ту не приходится грузить громоздкую страницу, чаще всего
наполненную всяческими баннерами; расходование меньше-
го количества трафика, что не может не радовать. Суще-
ствует несколько разновидностей irc-серверов, имеющих не-
кие свои особенности, но похожие друг на друга в целом,
например, unreal ircd, bahamut ircd и так далее, но в данном
обзоре я рассмотрю PTlink ircd как более простой для описа-
ния и использующийся в российской irc-сети – IrcNET.Ru.
Приступим. Качаем сам сервер с http://www.aldem.net/irc.
Выберите ли вы бинарный файл или скомпилируете из ис-
ходных кодов, зависит от того, какая операционная система
на вашем сервере. В статье пойдет речь именно о Unix-вер-
сии. В Unix-версии компилирование должно обязательно про-
ходить под обычным пользователем, то есть у того, у кого id
больше 0, иначе сервер откажется компилироваться.
Распаковываем архив, заходим в папку и пишем:
[user@server]$ ./configure
Появится экран с описанием изменений и дополнений,
начиная с самого старого. Пролистываем описание и нажи-
маем enter. Теперь нужно выбрать опции сборки сервера.
Сначала вас спросят о типе компилятора: выбираем gcc,
если, конечно, вы не являетесь счастливым обладателем
экзотической операционной системы типа HP-UX, в этом
случае выбирайте cc. Дальше идут опции компиляции, их
можно оставить по умолчанию, так как они автоматически
определяются в зависимости от операционной системы.
Затем выбираем место, где будет лежать папка со всеми
необходимыми файлами для ircd.
Выбираем название бинарного файла. Далее идет оп-
ция – компилировать ли сервер как Hub или как Leaf. (Hub –
сервер, способный присоединять к себе другие сервера. Leaf
– одиночный сервер, привязанный к хабу, не имеющий воз-
можности присоединять сервера).
Выберите нужный вам тип в зависимости от стоящих
перед вами задач. Затем вас спросят, осуществлять ли крип-
тование паролей irc-операторов: если нет, то пароли в
O-lines вписываем простым текстом; если да, то пароли не-
обходимо зашифровать. Для этого необходимо зайти на irc-
сервер и набрать команду /mkpasswd ваш_пароль: получит-
ся некая последовательность букв и цифр – их и нужно впи-
сать в O-line на место пароля. У вас возникнет вопрос: «Как
зайти-то, ведь мы еще не настроили ircd?». Ответ прост:
сначала настройте сам сервер, а пароль для O-line можно
сделать в самом конце, он не критичен для работоспособно-
сти ircd. Далее выбираем число разрешенных соединений к
серверу. И последний пункт – выбор типа сети. Компиляция:
[user@server]$ make && make install
Если все прошло гладко, то сервер готов к использованию.
№7(8), июль 2003
администрирование
Примечание: если сервер при запуске сразу выпадает в
core, возможно, проблемы с share-библиотеками, тогда нуж-
но вернуться к компиляции снова:
[user@server]$ make LDFLAGS=static && make install
Теперь, скорее всего, все будет в порядке.
Переходим в директорию, которую указали при компи-
ляции и видим там несколько файлов:

ircd – основной бинарный файл.

ircd.conf – файл конфигурации.

ircd.motd – файл, который выдается всем пользователям
при каждом заходе на irc. Можете изменять и дополнять
его нужной информацией или картинкой, например.

help.user – файл помощи для простых смертных, выво-
дится командой /helpsys.

help.oper – файл помощи для irc-операторов.

help.admin – файл для irc-администраторов.
Файл sendbug необходим в случае падения ircd в core,
таким образом можно отправить им этот файл для исправ-
ления ошибок. Синтаксис: sendbug ircd.core.
После запуска и использования irc-сервера в этой же
папке появится пара новых файлов, таких как ircd.pid, в ко-
тором находится номер процесса запущенного сервера, и
gline.log, в котором находится список всех gline, которые ста-
вились в сети. (Gline – запрет доступа ко всем серверам сети
для определенных IP).
Переходим к составлению конфигурационного файла.
Все опции пишутся через двоеточие.
В M-line содержится техническая информация о сервере:
M:èìÿ_ñåðâåðà:ip:îïèñàíèå_ñåðâåðà:ñòàíäàðòíûé_ïîðò
А-line – отражает информацию об администраторе дан-
ного сервера, эта информация доступна через команду
/admin на irc-сервере.
A:îïèñàíèå:Admin:e-mail
Y-line – определяет классы коннектов серверов друг к
другу, Y-lines нужно оставить без изменений.
Все же некоторое описание необходимо, т.к. оно приго-
дится далее при написании C\N-lines.
Класс-1 – определяет соеднинения простых смертных с
сервером:
Y:1:90:0:250:100000
предпоследний параметр, определяет разрешенное количе-
ство коннектов к серверу.
Класс-30 – коннект Hub to Leaf:
Y:30:180:0:0:3500000
Класс-40 – как раз наоборот, Leaf to Hub:
Y:40:90:90:1:3500000
29
 администрирование
Класс-50 – класс коннекта Hub to Hub, с автоконнектом: N:óäàëåííûé_ñåðâåð:ïàðîëü:èìÿ_óäàëåííîãî_ñåðâåðà: ↵
êëàññ_ êîííåêòà

Y:50:90:60:1:4000000 Q-line – запрет использования ников.

Пример:
И класс-51 – тоже класс коннекта Hub to Hub, но без ав-
токоннекта: Q:*:ïðè÷èíà:nickname

Y:51:90:60:0:4000000 H-line – определяет сервер как Hub, на серверах Leaf все-

гда должен указываться H-line на вышестоящий Hub:
I-line – для разрешения доступа к irc-серверу по IP или
паролю: H:*::hub.server.ru

I:*@*:Ïàðîëü:*@*::1 P-line – позволяет открывать прослушивание коннектов

на дополнительный порт:
синтаксис понятен. Если же вам не надо кого-нибудь огра-
ничивать, вот пример I-line стандартного: P:*:*:*:port

I:*@*::*@*::1 e-line – исключение проверки на open socks:

Теперь обратимся к O-line. Строка, определяющая дос- e:127.0.0.1::*

туп к irc-операторству:
На этом описание конфигурационного файла можно
O:host:ïàðîëü:login:modes:1 закончить.
А вот небольшой пример реально работающего конфи-
Параметр modes вы, естественно, выбираете сами, ниже гурационного файла:
даны основные режимы.
Данные режимы устанавливаются для пользователя M:irc.server.ru:*:Network server:6667
A:My cool server:mr_Black:email@server.ru
irc, набравшего команду /oper и нужны для управления Y:1:90:0:30:100000
сервером irc: Y:50:90:60:1:4000000
Y:51:90:60:0:4000000
Y:30:180:0:0:3500000
r = äîñòóï ê êîìàíäå /rehash. Y:40:90:90:1:3500000
R = äîñòóï ê êîìàíäå /restart. I:*@*::*@*::1
D = äîñòóï ê êîìàíäå /die.
g = ìîæåò ñëàòü /globops. Пароль здесь представлен без криптования.
c = äîñòóï ê ëîêàëüíîìó ïðîèçâåäåíèþ /connect è /squit.
C = äîñòóï ê óäàëåííûì /squits è /connects.
k = äîñòóï ê ëîêàëüíûì /kills. O:*@*:qwerty:mr_Black:*:1
K = äîñòóï ê ãëîáàëüíûì /kills. U:services.server.ru:*:*
b = äîñòóï ê /kline ïîëüçîâàòåëåé ñ ñåðâåðà. X:qwerty:qwerty
o = ëîêàëüíûé àäìèíèñòðàòîð, âêëþ÷åíû òàêèå ôëàãè, êàê, C:127.0.0.1:services:services.server.ru:50
rhgwlckbBnuf. N:127.0.0.1:services:services.server.ru::50
Q::Reserved for services:ChanServ
O – глобальный оператор, включены такие флаги, как: Q::Reserved for services:NickServ
Q::Reserved for services:MemoServ
oRDCKN. Q::Reserved for services:OperServ
U-line – определяет сервисы, чтобы правильно понимать Q::Reserved for services:HelpServ
Q::Reserved for services:NewsServ
смену топиков, модов на irc: Q::Reserved for services:Global
Q::Reserved for operators:IRCop
H:*::services.server.ru
U:services.some.net:*:*
Вот пример конфигурации с настроенными на сервисы
X-line – определяет пароли для restart и die: C\N\H lines.
Запускайте ircd. Попробуем приконнектиться на порт,
X:diepass:restartpass который вы указали в ircd.conf.
Видим, что все работает, и уже можно оповестить пользо-
C-line – строка описывает сервер, пытающийся прикон- вателей о появлении нового сервиса и как с ним работать.
нектиться. Для работы в irc есть очень много интересных клиентов, вот
N-line – строка, описывающая возможность коннекта с некоторые из них:
данного сервера.
для windows: mIRC; http://www.mirc.com, BersIRC; http://
Обязательно использование C- и N-lines в паре друг с www.bersirc.com.
другом.
для Unix-систем: xchat; http://www.xchat.org, BitchX; http:/
/www.bitchx.org.
C:óäàëåííûé_ñåðâåð:ïàðîëü:èìÿ_óäàëåííîãî_ñåðâåðà: ↵
port:êëàññ _êîííåêòà

http://www.ptlink.net/Coders – сайт разработчиков серве-
ра PTlink, там же можно найти и сервисы для ircd.
который был определен в Y-line.
http://www.ircd.ru – интересный ircd-сервер.

30

Уязвимость шестилетней давности
для IE работает на новых версиях
Mozilla, Netscape и Opera
Уязвимость в управлении доступом обнаружена в Java и
Javascript, выполненных в браузерах Netscape, Mozilla и
Opera. Злонамеренный сценарий или апплет может вы-
полнить произвольный код и подключиться к произволь-
ным доменам.
Сообщается, что удаленный пользователь может создать
HTML, который, когда будет загружен целевым пользовате-
лем, внедрит и выполнит произвольный Javascript-код в
JavaScript-консоли в браузере целевого пользователя, при-
меняя функцию «view-source:».
Эксплоит:
<script>
function werd()
a.document.open();
a.document.write("<h1>werd</h1>");
a.document.close();
function winopen() {
a=window.open("view-source:javascript:location= ↵
'http://www.iss.net';");
setTimeout('werd()',23000);
</script>
Также сообщается, что злонамеренный апплет может
выполнить подключения к произвольным доменам. Демон-
страционный эксплоит был написан несколько лет назад
для уязвимости в Microsoft Internet Explorer, которая была
устранена с того времени, но появилась в Mozilla, Opera и
Netscape: http://neurosis.hungry.com/~ben/msie_bug/.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
Выполнение произвольных команд
оболочки в Adobe Acrobat Reader и Xpdf
Уязвимость обнаружена в Adobe Acrobat Reader и Xpdf для
Linux-систем. Удаленный пользователь может создать зло-
намеренный PDF-файл, который выполнит произвольные
команды оболочки при клике на ссылку в PDF-файле.
Сообщается, что удаленный пользователь может вне-
дрить команды оболочки в пределах внешней гиперссыл-
ки. Согласно сообщению, PDF reader передает гиперссыл-
ку к операционной системе, используя команду 'sh -c'. В
результате ссылка может быть обработана в следующей
форме:
mailto:[address]`[malicious command]`
Уязвимость обнаружена в Adobe Acrobat Reader 5.06
для Linux/UNIX и Xpdf 1.01.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
№7(8), июль 2003
bugtraq
Несколько уязвимостей в mod_gzip
позволяют удаленному пользователю
выполнять произвольный код на системе
Несколько уязвимостей обнаружено в mod_gzip в подпрог-
раммах отладки. Удаленный пользователь может выпол-
нить произвольный код. Локальный пользователь может
получить root-привилегии на уязвимой системе.
Сообщается, что удаленный пользователь может зап-
росить длинное имя файла, которое должно быть обрабо-
тано gzip, чтобы вызвать буферное переполнение в меха-
низме регистрации. Уязвимость может использоваться для
выполнения произвольного кода. Пример:
GET [overflow] HTTP/1.1
Host: www.apachesite.com
Accept-Encoding: gzip, deflate
Также сообщается, что удаленный пользователь мо-
жет представить специально обработанный HTTP GET
запрос, чтобы эксплуатировать уязвимость форматной
строки в механизме регистрации Apache. Уязвимость мо-
жет использоваться для удаленного выполнения произ-
вольного кода.
Пример:
GET /cgi-bin/printenv.pl?x=%25n%25n%25n%25n%25n HTTP/1.1
Host: www.apachesite.com
Accept-Encoding: gzip, deflate
или
GET /cgi-bin/printenv.pl?x=%n%n%n%n%n HTTP/1.1
Host: www.apachesite.com
Accept-Encoding: gzip, deflate
Также сообщается, что когда регистрация Apache не
используется, программное обеспечение использует не-
безопасные файлы регистрации, основанные на ID про-
цесса (например “t.log”). Локальный пользователь может
сконструировать символьную ссылку из временного фай-
ла к критическому системному файлу на системе. Когда
mod_gzip выполняется, ссылающийся фал будет переза-
писан с root-привилегиями.
Уязвимость обнаружена в mod_gzip 1.3.26.1a.
DoS против Microsoft Windows 2000/XP/2003
Уязвимость обнаружена в Microsoft Windows 2000/XP/2003.
Удаленный атакующий может остановить работу сетевых
служб.
Сообщается, что если на целевом сервере включена
поддержка IPV6, то удаленный пользователь может запу-
стить ICMP flood нападение, чтобы отключить работу се-
тевых служб.
Уязвимость обнаружена в Microsoft Windows 2000/XP/2003.
Составил Александр Антипов
31
администрирование

КОНТРОЛЬ
ПОСЛЕДОВАТЕЛЬНЫХ
ПОРТОВ В Linux

ДЕНИС КОЛИСНИЧЕНКО

32
 администрирование
Интерфейс RS-232C является одним из самых распрост- Òàáëèöà 2. Êîíòàêòû è ñèãíàëû (25 pin).
раненных способов связи компьютеров и периферийных
устройств. Кто же не помнит старый добрый Norton
Commander и его функцию Связь (Link), позволяющую об-
мениваться файлами двум компьютерам, соединенным
нуль-модемным кабелем? Интерфейс RS-232C подразу-
мевает наличие двух типов оборудования:

Терминального (DTE);

Связывающего (DCE).

Терминальное устройство принимает и/или отправляет

данные. К терминальному типу относятся, например, ком-
пьютеры. Терминальные устройства служат окончанием
линии передачи данных, отсюда и название – terminate. Свя-
зывающее оборудование (DCE) обеспечивает передачу дан-
ных между терминальными устройствами по линии связи.
Иногда нам нужно знать состояние терминального ус-
тройства, или же мы хотим заставить связное устройство
DCE работать как терминальное DTE, для этого нам нуж-
но сделать небольшое изменение в линиях данных интер-
фейса RS-232C. Для этого нужно знать, какие функции
выполняет тот или иной сигнал интерфейса.
Терминальное оборудование оснащено 9- или 25-кон-
тактными D-образными разъемами. На следующем рисун-
ке изображены сами порты, а также нумерация контактов.

Следующая программа выводит состояние последо-

вательного устройства.

Ëèñòèíã 1. Ïðîãðàììà äëÿ êîíòðîëÿ ïîñëåäîâàòåëüíîãî ïîðòà

#include <sys/ioctl.h>
#include <fcntl.h>
#include <errno.h>
#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>
#include <signal.h>
int main(int argc, char **argv)
{
int fd;
int flags;
if (argc<1) {
fprintf(stderr,"Usage: pctrl serial_device");
fprintf(stderr,"For example: sns /dev/ttyS0");
Ðèñ. 1. Ïîñëåäîâàòåëüíûå ïîðòû. exit(1);
В таблицах 1 и 2 описаны функции контактов для 9- и }
25-контактных портов соответственно. if ((fd = open(argv[1], O_RDWR | O_NDELAY)) < 0) {
// Íåâîçìîæíî îòêðûòü ïîðò
Òàáëèöà 1. Êîíòàêòû è ñèãíàëû (9 pin). fprintf(stderr, "Cannot open port");
exit(1);
}
// Áåñêîíå÷íûé öèêë. Äëÿ âûõîäà èç ïðîãðàììû íàæìèòå Ctrl + C
while (1)
{
ioctl(fd, TIOCMGET, &flags);
/*
Èñïîëüçóåìûå êîíñòàíòû (ñì. òàáëèöó 1)
#define TIOCM_LE 0x001
#define TIOCM_DTR 0x002
#define TIOCM_RTS 0x004
#define TIOCM_ST 0x008
#define TIOCM_SR 0x010
Интерфейс RS-232C обеспечивает два независимых #define TIOCM_CTS 0x020
последовательных канала данных: основной и вспомога- #define TIOCM_CAR 0x040
#define TIOCM_RNG 0x080
тельный (вторичный), но на практике используется толь- #define TIOCM_DSR 0x100
ко основной, поэтому в асинхронном режиме использу- #define TIOCM_CD TIOCM_CAR
#define TIOCM_RI TIOCM_RNG
ются только первые 9 линий из 25. */

№7(8), июль 2003 33

 администрирование
// Âûâîäèì ñîñòîÿíèå óñòðîéñòâà int main(int argc, char **argv)
if (flags & TIOCM_CD) fprintf(stderr,"1 [CD] "); {
if (flags & TIOCM_SR) fprintf(stderr,"2 [RD] "); int fd;
if (flags & TIOCM_ST) fprintf(stderr,"3 [TD] "); int flags=TIOCM_RNG;
if (flags & TIOCM_DTR) fprintf(stderr,"4 [DTR] ");
if (flags & TIOCM_DSR) fprintf(stderr,"6 [DSR] "); if (argc<1) {
if (flags & TIOCM_RTS) fprintf(stderr,"7 [RTS] "); fprintf(stderr,"Usage: sns serial_device");
if (flags & TIOCM_CTS) fprintf(stderr,"8 [CTS] "); fprintf(stderr,"For example: sns /dev/ttyS0");
if (flags & TIOCM_RNG) fprintf(stderr,"9 [RNG] "); exit(1);
}
fprintf(stderr,"\n");
ioctl(fd, TIOCMSET, &flags);
// Çàñûïàåì íà 1 ñåêóíäó
sleep(1); close(fd);
} }
close(fd);
}

Для компилирования программы введите команду:

gcc -o pctrl pctrl.c

Каждую секунду программа выводит на экран состоя-

ние указанного порта. Вывод программ можно увидеть на
рисунке 2. Для установки какого-нибудь сигнала можно
воспользоваться следующей программой:

Ëèñòèíã 2. Óñòàíîâêà ñèãíàëà RNG

#include <sys/ioctl.h>
#include <fcntl.h>
#include <errno.h> Ðèñ. 2. Âûâîä ïðîãðàììû.
#include <stdlib.h>
#include <unistd.h> Примечание. Обе программы нужно запускать от име-
#include <stdio.h>
#include <signal.h> ни пользователя root (пользователя с UID = 0). Все ваши
вопросы присылайте по адресу dhsilabs@mail.ru.

34
безопасность

НЕЯВНЫЙ САМОКОНТРОЛЬ
КАК СРЕДСТВО СОЗДАНИЯ
НЕЛОМАЕМЫХ ЗАЩИТ

КРИС КАСПЕРСКИ

36

Основная ошибка подавляющего большинства разработ-
чиков защитных механизмов состоит в том, что они дают
явно понять хакеру, что защита еще не взломана. Если
защита сообщает «неверный ключевой файл (пароль)»,
то хакер ищет тот код, который ее выводит и анализирует
условия, которые приводят к передаче управления на дан-
ную ветку программы. Если защита в случае неудачной
аутентификации блокирует некоторые элементы управ-
ления и/или пункты меню, хакер либо снимает такую бло-
кировку «в лоб», либо устанавливает точки останова (в
просторечии называемые «бряками») на API-функции, по-
средством которых такое блокирование может быть осу-
ществлено (как правило, это EnableWindows), после чего
он опять-таки оказывается в непосредственной близости
от защитного механизма, который ничего не стоит про-
анализировать и взломать. Даже если защита не выво-
дит никаких ругательств на экран, а просто молчаливо
выходит из программы, то хакер либо ставит точку оста-
нова на функцию exit, либо тупо трассирует программу и,
дождавшись момента передачи управления на exit, ана-
лизирует один или несколько последующих условных пе-
реходов в цепи управления – какой-то из них непосред-
ственно связан с защитой!
В некоторых защитных механизмах используется кон-
троль целостности программного кода на предмет выяв-
ления его изменений. Теперь, если хакер подправит не-
сколько байтиков в программе, защита немедленно об-
наружит это и взбунтуется. «Святая простота!» – восклик-
нет хакер и отключит самоконтроль защиты, действуя тем
же самым способом, что описан выше. По наблюдениям
автора, типичный самоконтроль выявляется и нейтрали-
зуется за несколько минут. Наиболее сильный алгоритм
защиты: использовать контрольную сумму критических
участков защитного механизма для динамической рас-
шифровки некоторых веток программы, которые ломают-
ся уже не за минуты, а за часы (в редчайших случаях –
дни). Алгоритм взлома выглядит приблизительно так:

подсмотрев контрольную сумму в оригинальной про-
грамме, хакер переписывает код функции CalculateCRC,
заставляя ее всегда возвращать это значение, не вы-
полняя реальной проверки;

если защита осуществляет подсчет контрольной сум-
мы различных участков программы и/или разработ-
чик использовал запутанный самомодифицирующий-
ся код, труднопредсказуемым способом меняющий
свою контрольную сумму, то хакер может изменить
защиту так, чтобы она автоматически самовосстанав-
ливалась после того, как все критические участки
будут пройдены;

отследив все вызовы CalculateCRC, хакер может про-
сто снять динамическую шифровку, расшифровав ее
вручную, после чего надобность в CalculateCRC про-
падает.
Стоит отметить, что независимо от способа своей ре-
ализации любой самоконтроль элементарно обнаружива-
ется установкой точек останова на те участки защитного
механизма, которые были изменены. Остальное – дело
техники. Можно сколь угодно усложнять алгоритм подсче-
№7(8), июль 2003
безопасность
та контрольной суммы: напичкивать его антиотладочны-
ми приемами, реализовать его на базе собственных вир-
туальных машин (то есть интерпретаторов), некоторые из
них, например, Стрелку Пирса, достаточно трудно про-
анализировать. Но если такие меры и остановят взлом-
щика, то ненадолго.
Техника неявного контроля
Ошибка традиционного подхода заключается в его пред-
сказуемости. Любая явная проверка чего бы то ни было
независимо от ее алгоритма – это зацепка! Если хакер
локализует защитный код, то все – пиши пропало. Един-
ственный надежный способ отвадить его от взлома –
«размазать» защитный код по всей программе с таким
расчетом, чтобы нейтрализовать защиту без полного
анализа всей программы целиком – было заведомо не-
возможным. К сожалению, существующие методики
«размазывания» либо многократно усложняют реализа-
цию программы, либо крайне неэффективны. Некоторые
программисты вставляют в программу большое количе-
ство вызовов одной и той же защитной функции, иду-
щих из различных мест, наивно полагая тем самым, что
хакер будет искать и анализировать их все. Да как бы не
так! Хакер ищет ту самую защитную функцию и правит
ее. К тому же, зная смещение вызываемой функции,
найти и отследить ее вызовы можно без труда! Даже если
встраивать защитную функцию непосредственно в мес-
то ее вызова, хакер сможет найти все такие места ту-
пым поиском по сигнатуре. Пусть оптимизирующие ком-
пиляторы несколько меняют тело inline-функций с уче-
том контекста конкретного вызова, эти изменения не-
принципиальны. Реализовать же несколько десятков раз-
личных защитных функций слишком накладно, да и фан-
тазии у разработчика не хватит, и хакер, обнаружив и
проанализировав пару-тройку защитных функций, на-
столько проникнется «духом» и ходом мысли разработ-
чика, что все остальные найдет без труда.
Между тем существует и другая возможность – неяв-
ная проверка целостности своего кода. Рассмотрим сле-
дующий алгоритм защиты: пусть у нас имеется зашиф-
рованная (а еще лучше упакованная) программа. Мы,
предварительно скопировав ее в стековый буфер, рас-
шифровываем (распаковываем) ее и… используем осво-
бодившийся буфер под локальные переменные защищен-
ной программы. С точки зрения хакера, анализирующего
дизассемблерный код, равно как и гуляющего по защите
отладчиком, все выглядит типично и «законно». Обнару-
жив защитный механизм (пусть для определенности это
будет тривиальная парольная проверка), хакер правит со-
ответствующий условный переход и с удовлетворением
убеждается, что защита больше не ругается и программа
работает. Как будто бы работает! – через некоторое вре-
мя выясняется, что после взлома работа программы ста-
ла неустойчивой: то она неожиданно виснет, то делает из
чисел винегрет, то… Почесав репу, хакер озадаченно ду-
мает: «А как это вообще ломать? На что ставить точки
останова? Ведь не анализировать же весь код целиком!».
Весь фокус в том, что некоторые из ячеек буфера,
ранее занятого зашифрованной (упакованной) програм-
37
 безопасность
мой при передаче их локальным переменным не были про-
инициализированы! Точнее, они были проинициализиро-
ваны теми значениями, что находились в соответствую-
щих ячейках оригинальной программы. Как нетрудно до-
гадаться, именно эти ячейки и хранили критичный к из-
менениям защитный код, а потому и неявно контролируе-
мый нашей программой. Теперь я готов объяснить, зачем
вся эта котовасия с шифровкой (упаковкой) нам вообще
понадобилась: если бы мы просто скопировали часть кода
программы в буфер, а затем «наложили» на него наши
локальные переменные, то хакер сразу бы заинтересо-
вался происходящим и, бормоча под нос «что-то здесь не
так», вышел бы непосредственно на след защиты. Рас-
шифровка нам понадобилась лишь для усыпления бди-
тельности хакера. Вот он видит, что код программы копи-
руется в буфер. Спрашивает себя: «А зачем?». И сам же
себе отвечает: «Для расшифровки!». Затем, дождавшись
освобождения буфера с последующим затиранием его
содержимого локальными переменными, хакер (даже про-
ницательный!) теряет к этому буферу всякий интерес.
Далее, если хакер поставит контрольную точку останова
Ðèñóíîê 1.
38
на модифицированный им защитный код, то он вообще
не обнаружит к ней обращения, т.к. защита контролирует
именно зашифрованный (упакованный) код, содержащий-
ся в нашем буфере. Даже если хакер поставит точку ос-
танова на буфер, он быстро выяснит, что:

ни до, ни в процессе, ни после расшифровки (распа-
ковки) программы содержимое модифицированных им
ячеек не контролируется (что подтверждает анализ
кода расшифровщика/распаковщика – проверок цело-
стности там действительно нет);

обращение к точке останова происходит лишь тогда,
когда буфер затерт локальными переменными и (по
идее!) содержит другие данные.
Правда, ушлый хакер может обратить внимание, что
после «затирания» значение этих ячеек осталось неиз-
менным. Совпадение? Проанализировав код, он сможет
убедиться, что они вообще не были инициализированы и
тогда защита падет! Однако мы можем усилить свои по-
зиции: достаточно лишь добиться, чтобы контролируемые
байты попали в «дырки», образующиеся при выравнива-

нии структуры (этим мы отвечаем хакеру на вопрос: а чего
это они не инициализированы?), а затем скопировать эту
структуру целиком (вместе с контролируемыми «дырка-
ми»!) в десяток-другой буферов, живописно разбросан-
ных по всей программе. Следить на всеми окажется не
так-то просто: во-первых, не хватит контрольных точек, а
во-вторых, это просто не придет в голову.
Практическая реализация
Правила хорошего тона обязывают нас проектировать
защитные механизмы так, чтобы они никогда, ни при ка-
ких обстоятельствах не могли нанести какой бы то ни было
вред легальному пользователю. Даже если вам очень-
очень хочется наказать хакера, ломающего вашу програм-
му, форматировать диск в случае обнаружения модифи-
кации защитного кода, категорически недопустимо! Во-
первых, это просто незаконно и попадает под статью о
умышленном создании деструктивных программ, а во-
вторых, задумайтесь, что произойдет, если искажение
файла произойдет в результате действий вируса или не-
которого сбоя? Если вы не хотите, чтобы пострадали не-
винные, вам придется отказаться от всех форм вреда, в
том числе и преднамеренном нарушении стабильности ра-
боты самой защищенной программы.
Стоп! Ведь выше мы говорили как раз об обратном.
Единственный путь сделать защиту трудноломаемой, не
выдавая никаких ругательных сообщений, по которым нас
можно засечь, – молчаливо делать винегрет из обраба-
тываемых данных. А теперь выясняется, что делать этого
по этическим (и юридическим!) соображениям нельзя. На
самом деле, если хорошо подумать, то все эти ограниче-
ния легко обойти. Что нам мешает оснастить защиту яв-
ной проверкой целостности своего кода? Хакер найдет и
нейтрализует ее без труда, но это и не страшно, посколь-
ку истинная защита находится совершенно в другом мес-
те, а вся эта бутафория нужна лишь затем, чтобы предот-
вратить последствия непредумышленного искажения кода
программы и поставить пользователя в известность, что
все данные нами гарантии (как явные, так и предполагае-
мые) ввиду нарушения целостности оригинального кода
аннулируются. Правда, при обсуждении защиты данного
типа некоторые коллеги мне резонно возразили, а что,
если в результате случайного сбоя окажутся изменены и
контролируемые ячейки, и сама контрольная сумма? За-
щита сработает у легального пользователя!!! Ну что мне
на это ответить? Случайно таких «волшебных» искаже-
ний просто не бывает, их вероятность настолько близка к
нулю, что… К тому же, в случае срабатывания защиты
мы ведь не форматируем легальному пользователю диск,
а просто нарушаем нормальную работу программы. Пусть
и предумышленно, все равно, если в результате того или
иного сбоя был искажен исполняемый файл, то о коррек-
тности его работы более говорить не приходится. Ну хо-
рошо, если вы так боитесь сбоев, можно встроить в за-
щиту хоть десяток явных проверок, – трудно нам что ли?!
Ладно, оставим этические проблемы на откуп тем са-
мым пользователям, которые приобретают титул «лицен-
зионных» исключительно через крак, и перейдем к конк-
ретным вещам. Простейший пример реализации данной
№7(8), июль 2003
безопасность
защиты приведен в листинге 1. Для упрощения понима-
ния и абстрагирования от всех технических деталей здесь
используется простейшая схема аутентификации, «ло-
мать» которую совершенно необязательно: достаточно
лишь подсмотреть оригинальный пароль, хранящийся в
защищенном файле прямым текстом. Для демонстраци-
онного примера такой прием с некоторой натяжкой допу-
стим, но в реальной жизни вам следует быть более изощ-
ренными. По крайней мере, следует добиться того, чтобы
ваша защита не ломалась изменением одного-единствен-
ного байта, поскольку в этом случае даже неявный конт-
роль будет легко выявить. Следует также отметить, что
контролировать все критические байты защиты – не
очень-то хорошая идея, т.к. хакер сможет это легко обна-
ружить. Если защита требует для своего снятия хотя бы
десяти модификаций в различных местах, три из которых
контролируются, то с вероятностью ~70% факт контроля
не будет обнаружен. Действительно, среднестатистичес-
кий хакер следить за всеми модифицированными ими бай-
тами просто не будет. Вместо этого, он в надежде что ту-
пая защита контролирует целостность своего кода цели-
ком, будет следить за обращениями к одной, ну макси-
мум двум-трем измененным им ячейкам и… с удивлени-
ем обнаружит, что защита их вообще не контролирует.
После того как контрольные точки выбраны, вы долж-
ны определить их смещение в откомпилированном фай-
ле. К сожалению, языки высокого уровня не позволяют
определять адреса отдельных машинных инструкций и,
если только вы не пишите защиту на ассемблерных встав-
ках, то у вас остается один-единственный путь – восполь-
зоваться каким-нибудь дизассемблером (например, IDA).
Допустим, критическая часть защиты выглядит так, и
нам необходимо проконтролировать целостность услов-
ного оператора if, выделенного красным цветом:
int my_func()
{
if (check_user())
{
fprintf(stderr, "passwd ok\n");
}
else
{
fprintf(stderr, "wrong passwd\n");
exit(-1);
}
return 0;
}
Загрузив откомпилированный файл в дизассемблер,
мы получим следующий код (чтобы быстро узнать, кото-
рая из всех процедур и есть my_func, опирайтесь на тот
факт, что большинство компиляторов располагает функ-
ции в памяти в порядке их объявления, т.е. my_func будет
вторая по счету функция):
.text:00401060 sub_401060 proc near ↵
; CODE XREF: sub_4010A0+AF?p
.text:00401060 call sub_401000
.text:00401065 test eax, eax
.text:00401067 jz short loc_40107E
.text:00401069 push offset aPasswdOk ↵
; "passwd ok\n"
.text:0040106E push offset unk_407110
.text:00401073 call _fprintf
.text:00401078 add esp, 8
39
 безопасность
.text:0040107B xor eax, eax int my_func()
.text:0040107D retn {
.text:0040107E ; ----------------------------------------- if (check_user())
.text:0040107E {
.text:0040107E loc_40107E: ↵ fprintf(stderr, "passwd ok\n");
; CODE XREF: sub_401060+7?j }
.text:0040107E push offset aWrongPasswd ↵ else
; "wrong passwd\n" {
.text:00401083 push offset unk_407110 fprintf(stderr, "wrong passwd\n");
.text:00401088 call _fprintf exit(-1);
.text:0040108D push 0FFFFFFFFh ↵ }
; int return 0;
.text:0040108F call _exit }
.text:0040108F sub_401060 endp
main()
Как нетрудно сообразить, условный переход, распо- {
int a, b = 0;
ложенный по адресу 0x401067, и есть тот самый «if», ко- #pragma pack(1)
торый нам нужен. Однако это не весь if, а только малая
union anti_hack
его часть. Хакер может и не трогать условного перехо- {
да, а заменить инструкцию test eax, eax на любую дру- char buf[MAX_CODE_SIZE];
struct code_control
гую инструкцию, сбрасывающую флаг нуля. Также он {
может модифицировать защитную функцию sub_401000, int local_var_1;
int local_var_2;
которая и осуществляет проверку пароля. Словом, тут char gag_1[OFFSET_1-sizeof(int)*2];
много разных вариантов и на этом несчастном услов- int x_val_1;
char gag_2[OFFSET_2 - OFFSET_1 - sizeof(int)];
ном переходе свет клином не сошелся, а потому для int x_val_2;
надежного распознавания взлома нам потребуются до- };
};
полнительные проверки. Впрочем, это уже детали. Глав- union anti_hack ZZZ;
ное, что мы определили смещение контролируемого
// TITLE
байта. Кстати, а почему именно байта? Ведь мы можем fprintf(stderr, "crackeme.0xh by Kris Kaspersky\n");
контролировать хоть целое двойное слово, расположен-
// ðàñøèôðîâêà êîäà
ное по данному смещению! Особого смысла в этом нет, // ======================================================
просто так проще.
// êîïèðóåì ðàñøèôðîâûâàåìûé êîä â áóôåð
Чтобы не работать с непосредственными смещения- memcpy(&ZZZ, &check_user, (int) &main - (int) &check_user);
ми (это неудобно и вообще некрасиво), давайте загоним
// ðàñøèôðîâûâàåì â áóôåðå
их в специально на то предназначенную структуру: for (a = 0; a < (int) &main - (int) &check_user; a++)

union anti_hack {
{ (*(char *) ((int) &ZZZ + a)) ^= x_crypt;
char buf[MAX_CODE_SIZE]; }
struct code_control
{ // êîïèðóåì îáðàòíî
int local_var_1; memcpy(&check_user, &ZZZ, (int) &main - (int) &check_user);
int local_var_2;
char gag_1[OFFSET_1-sizeof(int)*2];
int x_val_1; // ÿâíàÿ ïðîâåðêà èçìåíåíèÿ êîäà
char gag_2[OFFSET_2 - OFFSET_1 - sizeof(int)]; // ======================================================
int x_val_2; for (a = 0; a < (int) &main - (int) &check_user; a++)
};
}; {
b += *(int *) ((int) &check_user + a);
}
if (b != x_original_all)
Исходный текст: {
fprintf(stderr, "-ERR: invalid CRC (%x) hello, hacker\n", b);
Ëèñòèíã 1. return 0;
#include <stdio.h> }

#define PASSWD "+++"

#define MAX_LEN 1023 // ÿâíàÿ ïðîâåðêà "âàëèäíîñòè" ïîëüçîâàòåëÿ
#define MAX_CODE_SIZE (0x10*1024) // ======================================================
#define OFFSET_1 0x42 my_func();
#define OFFSET_2 0x67

#define x_original_1 0xc01b0574 // íîðìàëüíîå âûïîëíåíèå ïðîãðàììû

#define x_original_2 0x44681574 // ======================================================
#define x_original_all 0x13D4C04B
// ñêðûòûé êîíòðîëü
#define x_crypt 0x66 ZZZ.local_var_1 = 2;
ZZZ.local_var_2 = 2;x_original_2;
int check_user() sprintf(ZZZ.gag_1, "%d * %d = %d\n", ZZZ.local_var_1, ↵
{ ZZZ.local_var_2, ZZZ.local_var_1*ZZZ.local_var_2 + ↵
char passwd[MAX_LEN]; ((x_original_1^ZZZ.x_val_1)+ ↵
(x_original_2^ZZZ.x_val_2)));
fprintf(stderr,"enter password:");
fgets(passwd, MAX_LEN, stdin); printf("DEBUG: %x %x\n", ZZZ.x_val_1, ZZZ.x_val_2);
return ~strcmp(passwd, PASSWD); fprintf(stderr, "%s",ZZZ.gag_1);
}
}

40

Заключение
Итак, для надежной защиты своих программ от вездесу-
щих хакеров вам совершенно необязательно прибегать к
помощи широко разрекламированных, но дорогостоящих
электронных ключей (которые, как известно, склонны в
самый неподходящий момент "сгорать", к тому же "отвя-
зать" программу от ключа для опытного взломщика не
проблема). Также совершенно необязательно спускаться
на уровень "голого" ассемблера (ассемблерные защиты
непереносимы и к тому же чрезвычайно трудоемки в от-
ладке, про сопровождение я и вовсе молчу). Как было
показано выше, практически неломаемую защиту можно
создать и на языках высокого уровня, например, на Си/
Си++, Delphi или Фортране.
Защиты, основанные на неявном контроле целост-
ности своего кода, ни один здравомыслящий хакер ло-
мать не будет (конечно, при условии, что они не содер-
жат грубых ошибок реализации, значительно упроща-
ющих взлом), ибо трудоемкость взлома сопоставима с
разработкой аналогичной программы "с нуля", а ведь
№7(8), июль 2003
безопасность
каждую новую версию защищенной программы придет-
ся ломать индивидуально и опыт предыдущих взломов
ничуть не упрощает задачу, а сама логика защиты до
безобразия проста. Как защита проверяет целостность
своего кода, хакеру более или менее ясно, но вот где
конкретно осуществляется такая проверка, он не смо-
жет сказать до тех пор, пока не проанализирует всю
программу целиком.
Допустим, объем кода защищенного приложения со-
ставляет порядка 256-512 Кб (не слишком много, прав-
да?), тогда при средней длине одной машинной инструк-
ции в 2,5 байта, хакеру придется проанализировать 100 –
200 тысяч ассемблерных команд! При "крейсерской" ско-
рости анализа 10-20 инструкций в минуту (а это предел
мечтаний для профессионалов экстракласса) ориентиро-
вочное время взлома составит по меньшей мере полто-
раста часов работы – почти неделя напряженного труда!
А на практике (с учетом затрат на тестирование взло-
манного приложения) даже более того. Другими слова-
ми, взломать защиту за разумное время нереально.
41
 bugtraq
KDE Konqueror Embedded не в состоянии
в некоторых случаях подтвердить
подлинность SSL-сертификатов
Уязвимость обнаружена в KDE Konqueror. Программное
обеспечение не проверяет имя хоста в SSL-сертификатах.
Сообщается, что выполнение KDE SSL в KDE Konqueror
Embedded проверяет сертификаты, основанные на IP-ад-
ресе, но не проверяет, соответствует ли Common Name
имени хоста. Удаленный пользователь может подделать
безопасный веб-сервер или выполнить SSL man-in-the-
middle нападение таким образом, что его не сможет об-
наружить KDE Konqueror Embedded.
Патчи можно скачать отсюда:
ftp://ftp.kde.org/pub/kde/security_patches
4c252809dec8be73bbe55367350c27ca post-2.2.2-kdelibs-
kssl-2.diff
441afec72fab406f8c1cd7d6b839b3e0 post-2.2.2-kdelibs-
kio-2.diff
Уязвимость обнаружена в KDE 2.2.2 и более ранних
версиях.
Множественные переполнения буфера
в MDaemon IMAP-сервере
Несколько уязвимостей обнаружено в MDaemon IMAP-сер-
вере. Удаленный пользователь может аварийно завершить
работу сервиса или выполнить произвольный код с System-
привилегиями.
Сообщается, что несколько переполнений буфера суще-
ствует в обработке IMAP4-протокола. Удаленный пользова-
тель может послать чрезмерно большое количество данных
с командами EXAMINE, DELETE, SUBSCRIBE, RENAME,
UNSUBSCRIBE, LIST, LSUB, STATUS, LOGIN, CREATE и
SELECT, чтобы вызвать переполнение. Для выполнения не-
которых команд требуется авторизация.
Уязвимость обнаружена в MDaemon 6.7.8.
Обход ограничений доступа
по хостам в OpenSSH
Уязвимость в проверке правильности доступа обнаружена
в OpenSSH. Удаленный пользователь, способный управ-
лять DNS, может обойти ограничения по хостам в OpenSSH.
Сообщается, что при получении нового подключе-
ния OpenSSH выполняет обратный DNS-просмотр и про-
веряет результаты поиска против IP-адресов или име-
ни хостов, указанных в файле конфигурации OpenSSH,
как разрешенные или запрещенные хосты. Если файл
конфигурации определяет числовой IP-адрес или ин-
тервал IP-адресов, удаленный пользователь, контроли-
рующий DNS-сервер, может заставить DNS-сервер воз-
вратить имя хоста, содержащее строку IP-адреса (на-
пример, '[ipaddress].[domain]'). Если строка IP-адреса со-
ответствует разрешенным IP-адресам в конфигураци-
онном файле, OpenSSH некорректно определит подклю-
чение как разрешенное. В результате удаленный
пользователь может получить доступ к SSH-порту от
запрещенного хоста.
Уязвимость обнаружена в OpenSSH 3.6.1 и более ран-
них версиях. Для устранения уязвимости, включите оп-
цию 'VerifyReverseMapping' на SSH-сервере.
42
Просмотр содержания произвольных
файлов в памяти системы в HP/UX 'ftpd'
Уязвимость обнаружена в HP/UX 'ftpd' в команде REST. Уда-
ленный пользователь может просматривать содержание
произвольных файлов в памяти системы.
Сообщается, что удаленный пользователь может ис-
пользовать команду REST (reset) и определить местопо-
ложение памяти, чтобы просматривать содержание фай-
лов из памяти.
Пример: (еще несколько примеров можно найти в ис-
точнике сообщения):
frieza elguapo $ ftp 192.168.1.111
Connected to 192.168.1.111.
220 kakarot FTP server (Version 1.1.214.4 Mon Feb 15 08:48:46 ↵
GMT 1999) ready.
Name (192.168.1.111:root): elguapo
331 Password required for elguapo.
Password:
230 User elguapo logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> rest 1111111111111111
restarting at 2147483647. execute get, put or append ↵
to initiate transfer
ftp> get .
local: . remote: .
200 PORT command successful.
# gdb /usr/lbin/ftpd 2862
GNU gdb 4.18-hppa-991112
Copyright 1998 Free Software Foundation, Inc.
/home/elguapo/2862: No such file or directory.
Attaching to program: /usr/lbin/ftpd, process 2862
Unable to find __dld_flags symbol in object file.
(gdb) c
Continuing.
Program received signal SIGSEGV, Segmentation fault.
0xc00ef0b8 in ?? ()
(gdb) bt
#0 0xc00ef0b8 in ?? ()
Error accessing memory address 0x7fffffff: Bad address.
(gdb) info registers r3 r11
r3: 7fffffff
r11: 7fffffff
Уязвимость может использоваться, например, для полу-
чения пароля root из памяти. Уязвимость связана с непра-
вильным использованием конверсионного символа в стро-
ке формата. Уязвимость обнаружена в HP/UX ftpd 1.1.214.4.
Hewlett Packard выпустил заплату PHNE_18377, уст-
раняющую эту уязвимость.
DoS против Microsoft Windows XP
Уязвимость обнаружена во всех версиях Microsoft Windows
XP. Локальный пользователь может аварийно завершить
работу системы.
Проблема связана с тем, что Windows не в состоянии
правильно обработать множественные вложенные дирек-
тории. Локальный пользователь может создать каталог,
содержащий 122 вложенные директории и обратиться к
последней директории, чтобы аварийно завершить рабо-
ту системы.
Уязвимость обнаружена в Microsoft Windows XP.
Составил Александр Антипов
безопасность

СЕРГЕЙ ЯРЕМЧУК

44

В статье «Контрольная сумма на защите Linux/FreeBSD»
июньского номера журнала «Системный администратор»
была рассмотрена настройка утилиты Tripwire, позволя-
ющей системному администратору контролировать цело-
стность важных системных файлов и быть предупрежден-
ным о взломе. Но хотелось бы не доводить до всего этого
и иметь возможность защититься и предотвратить взлом.
Существует множество утилит, позволяющих определить
признаки подготовки и начала атаки (сканирование пор-
тов, множество неудачных удаленных подключений к сер-
веру), в этой статье познакомимся с тремя из них.
Набор программ TriSentry от компании Psionic
Technologies Inc. (http://www.psionic.com/) разработаны, что-
бы увеличить защиту компьютерных сетей и уменьшить ве-
роятность проникновения, эти приложения относятся к IDS
(Intrusion Detection System – система обнаружения вторже-
ний). Состоит TriSentry из трех ключевых компонентов:
PortSentry, HostSentry и LogSentry, распространяемых как
freeware и предназначенных для использования на Unix-по-
добных операционных системах как вместе, так и раздель-
но, в зависимости от задач и необходимости.
PortSentry
PortSentry – программа, предназначенная для обнаружения
сканирования портов, которое, как правило, всегда пред-
шествует атаке. Она не только позволяет регистрировать
это в системных журналах при помощи syslog, но и позволя-
ет запустить в ответ любую программу (блокировки хоста
firewall или переадресации на несуществующий dead host,
traseroute, свой скрипт), которой могут быть переданы IP-
адрес атакующего и номер атакуемого порта, или просто
прописать адрес компьютера в файле /etc/hosts.deny.
PortSentry обнаруживает практически все известные виды
сканирования: Strobe-style, SYN/half-open, Null, XMAS, FIN,
TCP connect и другие. В файле README.stealth архива вы
найдете описание обнаруживаемых методов Stealth-скани-
рования. В настоящее время имеется уже версия 2.0 про-
граммы, отличающаяся от первой поддержкой libpcap, т.е.
методами обнаружения сканирования. После закачки паке-
та распакуйте (tar xfz portsentry-2.0b.tar.gz) его и откройте в
любимом редакторе файл portsentry_config.h, в котором со-
держатся некоторые опции конфигурирования, для большин-
ства случаев подойдут используемые по умолчанию:

CONFIG_FILE “/usr/local/psionic/portsentry2/portsentry.conf” –
содержится путь к конфигурационному файлу, если зна-
чение по умолчанию не подходит, изменив его, не за-
будьте подправить его и в Makefile в опциях INSTALLDIR
(/usr/local/psionic) и CHILDDIR (/portsenry2);

WRAPPER_HOSTS_DENY “/etc/hosts.deny” – путь к фай-
лу hosts.deny для работы tcpwrapper;

SYSLOG_FACILITY LOG_DAEMON – тип логов для
syslogd (подробности в man 3 syslog);

SYSLOG_LEVEL LOG_NOTICE – уровень syslogd для
посылки сообщений;

MAXSTATE 50 – максимальное количество запоминае-
мых хостов для проверки повторного подключения.
Знак решетки (#) в этом файле в начале строк с пере-
менными – это не признак комментария, они требуются
№7(8), июль 2003
безопасность
компилятором С при обработке файлов заголовков, по-
этому удалять их не надо. После набираем:
# make linux (openbsd, freebsd, netbsd)
чтобы откомпилировать программу и затем под логином root:
# make install
Теперь в /usr/local должен появиться каталог psionic с под-
каталогом portsentry2, в котором будут находиться три фай-
ла: portsentry – исполняемый файл программы, portsentry.conf
и portsentry.ignore. В portsentry.ignore содержатся IP-адре-
са узлов, которые не дожны блокироваться.
По умолчанию там содержится два адреса 127.0.0.1 и
0.0.0.0, остальные при необходимости заносятся в фор-
мате <IP Address>/<Netmask>. Например:
192.168.2.0/24
192.168.0.0/16
192.168.2.1/32
По умолчанию используется 32-битная маска. Теперь
самое время заглянуть в главный конфигурационный файл
portsentry.conf. Опции в этом файле для удобства условно
сгруппированы по секциям и имеют вид ОПЦИЯ=«значение».
Значения опций файла portsentry.conf
Interface Configurations

INTERFACE=«auto» – названия подконтрольного интер-
фейса, при наличии одного возможен вариант «auto»,
и он будет найден автоматически; если же их несколь-
ко, то необходимо указать на выбранный для контро-
ля, например INTERFACE=«eth0», Portsentry может кон-
тролировать только один интерфейс.

INTERFACE_ADDRESS=«XXX.XXX.XXX.XXX» – IP-адрес
интерфейса, без него Portsentry не сможет работать дол-
жным образом, в данное время не поддерживается ди-
намическое определение адреса, в этом случае придет-
ся писать скрипт (но в ближайшее время, по заверени-
ям разработчиков, такая опция будет реализована).
Port Configurations

TCP_PORTS – перечисляются через запятую все про-
веряемые Portsentry TCP-порты (диапазоны не поддер-
живаются), список желательно не делать слишком
большим, чтобы уменьшить количество срабатываний,
но он должен охватывать весь диапазон и содержать
порт номер 1, так как в большинстве сканеров скани-
рование начинается именно с него, также не надо вклю-
чать сюда порты, открытые работающими приложени-
ями (20 – ftp, 25 – sendmail, 80 – httpd и пр.). При по-
пытке подключения к указанному порту информация
об этом заносится в логи, затем выполняется пользо-
вательская команда и после узел блокируется при по-
мощи ipchains.

UDP_PORTS – то же самое, только касается UDP-пор-
тов.
45
 безопасность
Configuration Files

IGNORE_FILE – полный путь к файлу portsentry.ignore.

HISTORY_FILE – путь к файлу с историей, в котором
содержатся записи о времени блокирования, имени и
IP-адреса хоста, атакованный порт и протокол (TCP или
UDP).

BLOCKED_FILE – шаблон, из которого формируется
файл блокировки, имеющий имя BLOCKED_FILE.про-
токол.
Misc. Configuration Options
RESOLVE_HOST – при установлении в 1 производится
запрос сервера DNS имени хоста нападавшего. На мед-
ленных компьютерах это может увеличить время реакции
и может предупредить нападающего о наличии Portsentry,
если он контролирует сервер имен. Значение по умолча-
нию – 0.
Ignore Options

BLOCK_UDP – позволяет задать ответную реакцию
на сканирование в зависимости от установленного
значения. При значении 0 ничего не происходит, узел
не блокируется, команда не запускается; 1 означает
блокировать узел и запустить на выполнение коман-
ду; 2 – только запустить заданную команду. Команда
задается при помощи опции KILL_RUN_CMD.

BLOCK_TCP – то же самое, только для TCP-прото-
кола.
Dropping Routes
В этой секции описывается команда, которая будет вы-
полнена при обнаружении сканирования, при этом пе-
ременная $TARGET$ заменяется IP-адресом, а в пере-
менную $PORT$ будет подставлен номер порта, к ко-
торому было подключение. В файле содержатся шаб-
лоны команд (удаление маршрута, установка firewall)
для различных операционных систем, необходимую
нужно раскомментировать или дописать свою, исполь-
зуя параметр KILL_ROUTE.
# FreeBSD
#KILL_ROUTE="route add -net $TARGET$ ↵
-netmask 255.255.255.255 127.0.0.1 -blackhole"
# iptables support for Linux
#KILL_ROUTE="/usr/local/bin/iptables -I INPUT -s $TARGET$ ↵
-j DROP"
TCP Wrappers
KILL_HOSTS_DENY – опция задает строку, которая будет
помещена в /etc/hosts.deny для блокировки доступа (ALL:
$TARGET$).
External Command

KILL_RUN_CMD – команда, которая будет выполнена
в сторону нападающего. Можно запустить отправку по-
чты администратору или на любителя порцию фраг-
ментированных пакетов.

KILL_RUN_CMD_FIRST – установка значения в 0 запу-
стит команду, перед тем как маршрут будет удален из
таблицы; в 1 – после.
46
Scan trigger value
SCAN_TRIGGER – определяет разрешенное количество
подключений, прежде чем Portsentry начнет действовать.
Значение по умолчанию 0 означает немедленную реак-
цию. Установка в 1 или 2 уменьшит количество ложных
срабатываний. Но можно оставить как есть.
Это все опции применительно к версиям 1.1 и 2.0, но в
версии 1.1, которая до сих пор пользуется популярнос-
тью, имеется еще одна опция – PORT_BANNER, которая
задает сообщение, выводимое при подключении к прове-
ряемому порту.
PORT_BANNER="** UNAUTHORIZED ACCESS PROHIBITED *** YOUR
CONNECTION ATTEMPT HAS BEEN LOGGED. GO AWAY."
Сами авторы программы не рекомендуют пользоваться
ею, чтобы не злить взломщика, очевидно поэтому она и была
убрана со второй версии программы. Хотя можно попытать-
ся при помощи этой опции сбить начинающего взломщика с
толку, указав, например, неправильные данные о системе.
После того как все параметры установлены, можно за-
пускать утилиту. Во второй версии это просто запуск ис-
полняемого файла без параметров.
# /usr/local/psionic/portcentry2/portcentry
После этого в файле /var/log/message должно появить-
ся примерно такое сообщение, в котором описываются
контролируемый интерфейс и порты:
Jun 4 09:00:32 grinder portsentry[1881]: adminalert: ↵
Monitoring interface eth0 and address:
192.168.0.4
Jun 4 09:00:32 grinder portsentry[1881]: adminalert: ↵
Initializing PortSentry BPF filters.
Jun 4 09:00:32 grinder portsentry[1881]: adminalert: ↵
Monitoring TCP ports:
1,11,15,79,111,119,143,515,540,635,666,1080,1524,2000,6667, ↵
12345,12346,20034,27374,27665,3133
7,32771,32772,32773,32774,40421,49724,54320,54321
Jun 4 09:00:32 grinder portsentry[1881]: adminalert: ↵
Monitoring UDP ports:
1,7,9,69,161,162,513,635,2049,27444,32770,32771,32772,32773,32774,31337,54321
Jun 4 09:00:32 grinder portsentry[1881]: adminalert: ↵
PortSentry is initialized and monitoring.
Последняя строка указывает на счастливый запуск
утилиты, если ее нет, то что-то сделано неправильно. При
этом могут быть следующие специфические сообщения:

adminalert – это сообщение выводит текущий статус
PortSentry.

securityalert – сообщение о том, что некое защитное
событие произошло.

attackalert – компьютер был атакован и соответствую-
щие данные занесены в /etc/host.deny.
В первой же версии программы использовалось шесть
режимов по три на каждый протокол (TCP и UDP):

portsentry -tcp (basic port-bound TCP mode)

portsentry -udp (basic port-bound UDP mode)

portsentry -stcp (Stealth TCP scan detection)

portsentry -atcp (Advanced TCP stealth scan detection)

portsentry -sudp («Stealth» UDP scan detection)

portsentry -audp (Advanced «Stealth» UDP scan detection)

Для каждого протокола может запускаться только один
выбранный режим. В режиме basic открываются описан-
ные в файле portsentry.conf контролируемые порты и при
попытке соединиться с ними происходит блокировка, при
этом PortSentry не реагирует на Stealth-сканирование. Ре-
жим Stealth отличается от предыдущего тем, что не дер-
жит порты открытыми, и атакующий получает достовер-
ную информацию об используемых портах, а также выяв-
ляет практически все виды Stealth-сканирования. Режим
Advanced является самым быстрым и рекомендуется раз-
работчиками (во второй версии используется именно этот
режим совместно со Stealth). При этом контролируются
все порты ниже значений ADVANCED_PORTS_TCP и
ADVANCED_EXCLUDE_UDP.
LogSentry
В системных журналах имеется довольно ценная инфор-
мация, так как любое событие оставляет там свой след,
но большинство системных администраторов заглядыва-
ют туда один-два раза в неделю, иногда даже вручную,
что, согласитесь, очень утомительно. Утилита Logsentry
(или logcheck) как раз и предназначена для автоматичес-
кой проверки системных журналов на предмет наруше-
ний безопасности и других необычных действий, таким
образом немного облегчая труд. Берет свою родослов-
ную от скрипта frequentcheck.sh, входящего в состав
firewall Gauntlet компании Trusted Info
безопасность
После этого скомпилированная программа logtail
вместе со вспомогательными файлами скопируется в
каталоги, указанные в переменных INSTALLDIR_BIN,
INSTALLDIR и INSTALLDIR_SH. По умолчанию это под-
каталоги /usr/local/bin, /usr/local/etc и /usr/local/etc. Кро-
ме основного скрипта logcheck.sh и программы logtail,
в комплекте идут несколько вспомогательных файлов.
Файл logcheck.hacking содержит ключевые слова (вро-
де LOGIN root REFUSED или attackalert от Portcentry),
появление которых в лог-файлах может свидетельство-
вать только об одном – компьютер атакован, т.е. если
такое слово будет обнаружено, то суперпользователь
получит сообщение, которое просто не сможет не при-
влечь его внимания: «ACTIVE SYSTEM ATTACK». А
файл logcheck.violations содержит набор слов, свиде-
тельствующих, как правило, о каком-либо негативном
действии (например, failed, denied и даже su root). На-
пример, сравните следующие два сообщения:
Jun 4 09:00:32 grinder sendmail[5475]: VAA05473: ↵
to=crowland, ctladdr=root (0/0), delay=00:00:02, ↵
xdelay=00:00:01, mailer=local, stat=refused
Jun 4 09:00:32 grinder rshd: ↵
refused connect from hacker@evil.com:1490
Первая строка указывает на довольно обычную житей-
скую ситуацию с sendmail, отдаленный компьютер отка-