Category Archives: Linux

Systemaktivität mit fatrace monitoren

Posted on by

Dank einem zunächst eher unscheinbaren Hinweis auf Thomas Christlieb’s Blog, bin ich auf fatrace aufmerksam geworden. Danke Thomas.

Mit „fatrace“ läßt sich sehen, was Programme so genau im System treiben. Im Gegensatz zu „strace“, daß mit „strace -f -e open,read,write,close,stat -p PID “ auch die Dateiaktivitäten eines Programms anzeigen kann, sieht man hier alle Programm gleichzeitig arbeiten, ganz ohne das unnötige Beiwerk von „strace“.

Ein Beispiel:

thunderbird(1985): RCO /home/marius/.thunderbird/stmtg0mw.default/Mail/pop3.web.de/popstate.dat
thunderbird(1985): CWO /home/marius/.thunderbird/stmtg0mw.default/Mail/pop3.web.de/popstate-1.dat
thunderbird(1985): WO /home/marius/.thunderbird/stmtg0mw.default/Mail/pop3.web.de/popstate-1.dat
thunderbird(1985): CW /home/marius/.thunderbird/stmtg0mw.default/Mail/pop3.web.de/popstate-1.dat
cinnamon-settin(1773): RO /etc/fstab
cinnamon-settin(1773): C /etc/fstab
systemd-journal(806): O /var/log/journal/7e390913b33b4e5ba8f960a9ba97aeee
systemd-journal(806): RC /var/log/journal/7e390913b33b4e5ba8f960a9ba97aeee

Mit der Option „-f“ kann man die Ausgabe zudem auf einzelne Aktivitäten reduzieren, z.B. mit „-f ow“ auf das Öffnen und Schreiben von Dateien. Mit „-p“ kann man Prozesse ausschliessen und mit „-s“ die Dauer der Aufzeichnung begrenzen.

fatrace ist seit 2011 auf der Welt und wurde von Martin Pitt geschaffen und hat natürlich nichts mit „fat race“ zu tun, sondern mit „File Access TRACE“ 🙂

Was jetzt noch fehlt ist ein komfortables Tool mit Oberfläche, daß auch eine gefilterte Ausgabe erlaubt. Unter AmigaOS wäre das z.B. SnoopDOS  und Window hatte da seinen FileMon. Spontan fällt mir zu fatrace auch sofort ein anderes Anwendungsgebiet ein: NIDS-überwachung.

Wenn man fatrace mit „-f o“ startet könnte man es mit „| grep -E ‚(passwd|group|…andere kritische Pfade)‘ “ auf bestimmte Dateien filtern. Da man zusätzlich noch einen Timestamp einblenden kann, wäre das ausnutzbar um Hackaktivitäten zu finden.

Alternativ kann man Dateien auch mit „inotify“ überwachen. Das wird gern vom Maldet Projekt benutzt um Virenscans bei Dateiänderungen zu machen

Games: Earth 2150 & Ankh

Posted on by

Tja, an dieser Stelle sollte eigentlich der Spielbericht von „Earth 2150 – The Moon Project“  und vom P&C Klassiker „Ankh“  stehen. Leider lassen sich zwar beide mit Wine installieren, starten aber beide nicht.

Stattdessen muss eine befreundete Katze für meine Meinung herhalten:

Cat-not-happy

kritische Sicherheitslücken in aktuellen Teamspeak 3 Servern

Posted on by

Wie Hanz Jenson auf der Mailingliste Fulldisclosure berichtet/behauptet, hat er 10 kritische Sicherheitslücken gefunden. Eine davon kann genutzt werden um den Server komplett zu übernehmen.

Der Autor will/hat bereits einen funktionierenden Exploit geschrieben/haben:

Here's the output of an exploit which uses two of the vulnerabilities:

	$ python exploit_teamspeak.py
	leaking distinct stack pointers
	 '\xa2'  '\x9a'  '\x8a' . '_' .. '\xa0'
	got a ptr: 0x7fa29a8a5fa0
	 '\xa2'  '\x9a'  '\x9a'  'o' ... '\xa0'
	got a ptr: 0x7fa29a9a6fa0
	 '\xa2'  '\x9a'  '\xaa' . '\x7f'  '\xa0'
	got a ptr: 0x7fa29aaa7fa0
	stack ptr: 0x7fa29a8a5fa0
	assumed stack base: 0x7fa29a5a5000
	sleeping a bit to avoid flood detection.......
	initializing stack sprayers............
	spraying the stacks............
	doing some magic.....

	Got a shell from ('127.0.0.1', 38416)
	ts3@ts3:/home/ts3/teamspeak3-server$

Sollte TeamSpeak die Schwachstellen bestätigen, kann man TS3 Serverbesitzern nur raten den Dienst bis auf weiteres abzuschalten.

Auf Pastebin gibt es das Advisory zu nachlesen.