⚡️ 14-летний школьник из Москвы сошел с ума собирая KDE из исходников

Сижу в потоке, правлю nginx.conf, птички поют, коты ебутся, весна!

Запускаю nginx reload, хм, ничего не изменилось… Лезу в nginx.conf, а в нем все мои локейшены, которые я добавил — похерены отсутствуют.

Почесываю свою лысую кабину. Ага, значит какой-нибудь puppet агент тут крутится или ансибл.

Смотрю процессы, паппета нет, смотрю логи auth на момент подключения ансибла. Да блядь. Пусто! Смотрю логи крона и сам крон, ничо нет. В логах нет — нихуя!

Списываю всё на глюки симуляции этого мира и магнитные бури. Добавляю еще раз локейшены, перезапускаю nginx, сука! Локейшенов нет ))

Курю, бегаю по каталогам, размеренно думаю. Ииии замечаю забавнейшую вещь. В корне каталога etc есть директория .git!!! Вот и сложился пазл. Картина маслом.

Как я и думал, здесь установлен ETCKeeper.

Эта такая херабора, которая отслеживает изменения в каталоге etc. Если что-то изменилось, оно это откатывает из git репозитория.

А чтобы поправить nginx конфиг, предварительно нужно запушить в репу актуальные правки иии только потом оно останется на сервере.

Штука довольно интересная, в своё время я ее втыкал где только можно. Очень полезна от криворуких разработчиков/тестировщиков с рутом. Которые ломают и потом утверждают, что они ничего не делали.

А ты просто смотришь диффы в git и тыкаешь их носом как нагадивших в макбук котяток.

Ставится эта штука очень просто, через apt, ну а дальше почти из коробки работает, достаточно сказать с каким репозиторием ей взаимодействовать и по желанию добавить всякие конфиденциальные файлы в .gitignore.

Давай позабавимся:

apt install etckeeper git
cd /etc
git remote add origin git@github.com:bashdays/etc.git

В git репе в разделе Deploy Keys, добавляем public root ключик с галочкой Allow write access.

А затем применяем бест практику и пушим в мастер:

git push -u origin master

Всё Initial Commit почти со всем содержимым, запушен в репу. Красотища!

✔️ Но перед пушем не забываем поправить файлик .gitignore и добавить в него например всякие shadows и т.п.

Я этой хуйнёй не занимаюсь, ну спиздят у меня хеши паролей, да ради бога. Репа приватная. Да и на серваке у меня вход по паролям всегда отключен, только ключи.

Ну а теперь пробуем отредактировать какой-нибудь fstab и добавить новую строчку. Добавил? Ок, запускай!

etckeeper commit "поправил fstab" && git push

Всё! Правки в git репе. Ну и по желанию всё это дело можно откатить, либо пачкой, либо один файл.

Делается так, смотрим список коммитов:

etckeeper vcs log --pretty=oneline

e36f279 (HEAD -> master, origin/master)
9c24a66 поправил fstab
c1ee020 Initial commit

Теперь откатываем правленый fstab:

etckeeper vcs checkout 9c24a66 /etc/fstab

Ееее! Откатилось. Ну и не забываем, что после отката нужно зафиксировать все изменения.

etckeeper commit "вернул как было"
git push

Вот и всё! Функционал etckeeper намного шире, я рассказал про основное и саму концепцию. А если будет интересно думаю ты и сам найдешь всю нужную информацию в гугле.

Вообще можно и через Bash скрипт такое размутить, не устанавливая никакой софт, но иногда проще сделать apt install чем отлаживать баги в своем коде.

Я как-то на коленке изобретал нечто подобное для nginx, писал в этом посте.

Отслеживать изменения можно через incron и автоматически коммитить:

incrontab -e
/etc IN_MODIFY /usr/bin/etckeeper commit "modified $@/$#"

Incron запускает таски не по временным меткам, а по событиям.

Добавить больше нечего. Хорошего тебе дня!

tags: #linux #utils

@ВАSНDАYS | BАSHDАYS.CОM

Linux всем надоел?

Привет. Сегодня поговорим про полезную утилиту, которой я лично пользуюсь для поиска всякого говна на Linux серверах.

В контексте говна выступает всё то, что не должно быть на серваке. К примеру собранные их исходников древние артефакты и т.п.

Короче софтина ищет все файлы, которые попали на сервак в обход пакетного менеджера. Ну и которые были установлены из левых источников, либо созданные самими пользователями.

✔️ Называется Сruft, ставится через апт, или чего там у тебя.

apt install cruft

cruft - Check the filesystem for cruft (missing and unexplained files)

А дальше запускаем. НО из коробки она будет въедливо и долго шуршать. Поэтому заранее сообщаем ей, какие директории нужно проигнорировать.

Например, я знаю что установлен docker и мне в отчете это видеть не обязательно. Справедливо и для всяких mysql и т.п.

cruft --ignore /boot --ignore /sys --ignore /home --ignore /var/lib/docker -r ~/bashdays-report.txt

Тем самым ты уменьшишь свой отчет и потратишь меньше времени на анализ.

Отчет выглядит примерно так:

cruft report: Fri Apr 19 10:00:07 UTC 2024

---- unexplained: / ----
    /usr/local/sbin/fuck.sh
    /usr/local/sbin/growroot
    /usr/local/sbin/ttyd
    /usr/local/sbin/validator
    /usr/local/share/fonts/.uuid

В отчете ты найдешь ОЧЕНЬ много интересного, особенно если это сервак клиента или ты устроился на новую работу и нужно въехать в инфраструктуру. А может найдешь какую-нибудь хитро запрятанную малварю.

Из отчета выше я вижу какой-то Bash скрипт /usr/local/sbin/fuck.sh о котором не знал. А оказывается я его писал очень давно и совсем про него забыл. Опа. А если я бы похерил сервер, то и скрипт бы похерился. Обидно. А еще вон какой-то validator затесался, явно тоже самописная приблудина.

Короче очень удобно искать подобные вещи, о которых ты не подозреваешь или забыл.

У утилиты достаточно много ключей, но я ими не пользуюсь, максимум загоняю в игнор жирные пользовательские папки, докеры и подобную хероту.

Советую присмотреться, ни раз мою жопу выручал во время миграций со старых серваков на новые.

Давай! Не смею больше отвлекать 🥳

tags: #linux #utils

@ВАSНDАYS | BАSHDАYS.CОM

Почему 99% девопсов жирные?

Ну ясно понятно, из-за стресса, а не из-за того, что много жрут и ведут сидячий образ жизни.

Далеко ходить не будем. Вчера мы с тобой тёрли за cruft, поэтому делюсь еще одной штукой, которую также применяю.

✔️ Утилита называется — debsums

Она предназначена для проверки целостности файлов, которые установлены пакетным менеджером. Вроде хуйня, а НЕТ! Инструмент — мастхэв.

Из названия уже понятно, что проверка целостности пакетов будет проходить на основе контрольных хэш сумм.

Откуда берутся эталонные хэши?

При установке пакетов и т.п. все эталонные, контрольные суммы попадают в «базу данных», которая находится тут: /var/lib/dpkg/info.

В ней содержатся файлы с данными, которые и использует debsums для проверки.

Например, nginx-common.md5sums

dba41b  system/nginx.service
17d6d7  package-hooks/source_nginx.py
9e33ba  nginx-common/NEWS.Debian.gz
6c278a  nginx-common/README.Debian

Ну дак вот. Debsums либо идет сразу в коробке, либо ставится через пакетный менеджер.

У меня в Селектел на убунте 22 уже была предустановлена, хотя локально её не было. Имей это ввиду.

Запускаем так

debsums -a

В этом случае, будут проверяться все хэш суммы, всех файлов. Это дохуя долго, но иногда полезно если разбираешься с сервером, на который через php залили крипто-майнер или нечто подобное.

Если нужно проверить только измененные:

debsums -ac

Опять же очень полезно при миграциях с сервера на сервер.

А для проверки только конфигов:

debsums -ae

Например, я в душе не ебал что файл php.ini кто-то правил, а debsum мне это подсказал. И я не зафакапил.

После отработки команды, имеем список измененных файлов:

/etc/crontab
/sbin/start-stop-daemon
/etc/modprobe.d/blacklist.conf
/etc/nginx/sites-available/default
/etc/php/8.1/fpm/pool.d/www.conf
/etc/sysctl.conf
/etc/sudoers
/etc/pam.d/sudo
/etc/systemd/zram-generator.conf

Ну а дальше включаем в себе подозрительного аналитика и разбираемся с полученной информацией. Также можно быстро визуально понять, какой софт устанавливался и какими внешними пакетами напичкан сервер.

Указав ключ -x весь её высер можно сразу выгрузить в файл. В отчет попадут только измененные файлы.

Из минусов — пиздец долго всё ищет (при полной проверке). Запускаем и идем пить кофе/смотреть мультики. Но это приятное ожидание, плюсы покрывают минусы.

Рекомендую взять на вооружение, утилита довольно пиздатая и достойна твоего внимания.

Подобных утилит много, из тех что я знаю: AIDE, Tripwire, rkhunter, chkrootkit, ossec, Lynis. Присмотрись и к ним, возможно найдешь среди них что-то интересное под свои задачи.

Ну вот и всё. Пойдука я чайку хапну. Хорошего тебе дня!

tags: #linux #utils

@ВАSНDАYS | BАSHDАYS.CОM

Привет отдыхающим. Продолжим тему с повышением прав. Искать suid биты через find конечно мастхев, но есть пиздатый инструмент под названием LinPEAS.

LinPEAS - Linux Privilege Escalation Awesome Script

Изобрел его некий пентестер - Карлсон (Carlson P), который держит проект HackTricks, возможно ты про него когда-нибудь слышал.

Короче штука написана на sh. Чувствуешь уровень? То есть будет работать хоть на чайнике.

При запуске LinPEAS сканирует Linux машину, на всякие дырки и криворукость админов.

Один из тестов, как раз показывает файлы с suid битами, которые можно использовать для повышения привилегий.

Скрипт заточен как раз под поиск всякой хуйни, которая может помочь злоумышленникам надругаться над твоим серваком.

Работает самодостаточно, не нужен root, ничего не пишет на диск, не требует каких-то библиотек, запустил и получил на экране отчет. Заплакал, сделал выводы, закрыл дырки/оставил как есть.

Запускается одной командой и не требует установки:

curl -L https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh | sh

Но можно и через змеюку:

python -c "import urllib.request; urllib.request.urlretrieve('https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh', 'linpeas.sh')"

python3 -c "import urllib.request; urllib.request.urlretrieve('https://github.com/peass-ng/PEASS-ng/releases/latest/download/linpeas.sh', 'linpeas.sh')"

Поддерживает различные ключи запуска и всякие навороты, тут уже читай мануал. Мне обычно хватает запуска по дефолту.

Да, утилита раньше входила в состав Kali Linux, сейчас хз, не проверял, но скорее всего там и осталась.

Короче достойная пепяка! Рекомендую потыкать, по крайней мере на своих сервачках с пет проектами. Найдешь много интересного.

🌐 Страница проекта на github

tags: #linux #security #utils

@ВАSНDАYS | BАSHDАYS.CОM

✨ Ты — caмый счaстливый чeловек нa плaнeте!

Почему? Потому, что сейчас узнаешь про ONLY.

Частенько возникала необходимость разрешить пользователю запускать только определенные команды по ssh. То есть явно указать ему белый список таких команд.

Городили мы конечно знатные велосипеды с помощью костылей, rbash, симлинков, chroot и т.п.

Кстати про chroot писал в этом посте, почитай на досуге, мож где применишь.

Все эти костыли были неудобные и какие-то пиздец сложно поддерживаемые. Но решение было найдено и вполне элегантное. Всё уже украдено придумано за нас.

Для затравки: /home/user/.ssh/authorized_keys

command="only rsync ls cat" ssh-rsa AAAAB3Nza

Думаю идею ты понял. Пользователь подключается по ssh и может выполнить только 3 команды rsync, ls, cat.

И тут большой плюс - пользователь не получает интерактивную оболочку, то есть всё сводится к выполнению подобной конструкции:

ssh user@bashdays.ru ls /home/user/

Команда ls находится в белом списке и успешно отработает при подключении по ssh, а дальше сессия завершится.

Нехер ему на сервере делать. Есть список команд, вот пусть ими и довольствуется без интерактива.

✔️ Теперь подробности

ONLY это НЕ какая-то встроенная команда в Linux, это Bash скрипт, который аккуратно лежит в /usr/local/sbin, положить его туда ты должен самостоятельно.

1. Берем only из репы
2. Кидаем его в /usr/local/sbin/only
3. Ставим chmod +x чтобы запускался
4. Делаем пару ключей для работы

ssh-keygen -P "" -f only

P = пустая парольная фраза
f = задаем имя ключа

Содержимое ключа only pub добавляем в authorized_keys нужному пользователю, а private key отдаем, тому кто будет подключаться к серверу.

Да, файл authorized_keys у меня выглядит примерно так:

command="only rsync cat ls", no-agent-forwarding, no-port-forwarding, no-pty, no-user-rc, no-X11-forwarding ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAA

То есть запрещаем всякую лишнюю хуйню. Ну и добавляем в белый список команды, которые будем позволять запускать этому пользователю.

Важная штука, потребуется файл с правилами, называется .onlyrules. Забирай тут.

Этот файл нужно также скопировать в папку, того пользователя, которого ограничиваем, например в /home/user/.onlyrules

Правила нужны, чтобы еще сильнее ограничить пользователя на ввод команд, этакие лимиты на регулярках и sed.

\:^ls$:{p;q}
\:^who$:{p;q}

Короче это фильтры на аргументы, ключи и т.п. Можно не заморачиваться и просто обернуть нужные команды между \:^ и $:{p;q}.

Бонусом, в папке пользователя можешь разместить файл .onlyrc и затюнить всякие информационные сообщения. Но автор не рекомендует этого делать и использовать only без этого файла.

Все файлы из этого поста можешь взять в нашей репе. А историю создания этой пепяки и мельчайшие подробности, можешь почитать тут кстати очень занятно чтиво, правда на английском, да и похер.

Лично мне эта штука понравилась, раздал тестировщикам ключики, теперь они сами могут своих вонючих демонов перезапускать, без блуждания по серверу и фраз — да блядь, я что-то нажал и всё сломалось!

Такие дела. Увидимся!

tags: #bash #linux #utils

@ВАSНDАYS | BАSHDАYS.CОM

Привет, сегодня коротко, очередная внеплановая пятница. Короче в продолжение к постам про повышение привилегий.

Если звезды сошлись (suid/guid и прочая хуйня), то через vim ты можешь получить интерактивный root shell.

Делается так:

vim -c ':!/bin/sh'

Или так:

vim --cmd ':set shell=/bin/sh|:shell'

На выходе тебе выплюнет доллар ($) ну и там уже бесоёбишь.

Это применимо не только к пентесту, но и к ситуации когда админ порезал оболочку, ограничив тебя белым списком.

И если в этом списке есть vi/vim, то ты ничем не ограничен. Запускаешь полноценный shell через vim и развлекаешься. А порой можно дотянутся и до папки /root и всего остального. Было бы желание 🥳

Вектор этот очень распространён, добавил в бэклог. Сниму как-нибудь видос на ютубину, покажу так сказать всю подноготную выхода из клетки средствами vim.

Давай, хороших выходных! Я пожалуй тоже устрою себе внеплановый отпуск на пару дней. Увидимся!

Там еще ребята с какого-то облака пришли. Устроим с ними конкурс в ближайшее время с вкусными призами, обещают подвезти вам облачных плюшек на халяву, а я в свою очередь денежный бонус задоначу, приобретете себе чтонибудь пиздатое, например как Дима тут ))

tags: #linux #security #utils

@ВАSНDАYS | BАSHDАYS.CОM

Майские праздники равносильны новогодним, уже на третий день начинаешь деградировать и превращаться в обезьяну. После таких затяжных выходных, нужно еще пару недель, чтобы вернуться к нормальной жизни.

Привет. Сегодня расскажу про штуку, которой одно время пользовался на локальной машине и снова к ней вернулся.

✔️ Называется Atuin — Magical shell history.

Если коротко, эта тулза заменяет стандартный поиск в командной строке по ctrl+r на красивенький и достаточно удобный.

Но помимо красивых пейзажей, вся история команд синхронизируется с облачным сервером. Используется база данных sqlite.

По сути у тебя одна общая история на нескольких машинах. Очень удобно если бегаешь между ноутом и стационарным компом.

Ты скажешь — фи, это же не безопасно! Согласен, поэтому есть варик поднять свой сервачок и синхронизировать через него.

Все в лучших традициях selfhosted. Мануал по установке сервера. Через docker-compose за пару минут все расчехляется.

Кстати если нажать стрелочку вверх, сработает триггер и откроется морда atuin с историей, пиздатенько!

Дополнительно:

- написана на rust + sqlite
- удобный поиск и фильтр
- история команд шифруется
- совместимо с Bash, ZSH, Fish, NuShell

Установка одной командой:

/bin/bash -c "$(curl --proto '=https' --tlsv1.2 -sSf https://setup.atuin.sh)"

Короче рекомендую потыкать.

Сайт проекта: https://atuin.sh/
Страница на github: https://github.com/atuinsh/atuin

tags: #linux #utils

@ВАSНDАYS | BАSHDАYS.CОM

🔥 Говяжий дошик ВСЁ!

Есть штука прикольнее, называет — tig.
ㅤ
Это утилита-обёртка для git с консольной мордой лица (ncurses). Охуенно заходит для быстро позырить историю коммитов и прочие непотребства.

- Просмотр истории и логов
- Отображение состояния репозитория
- Работа с изменениями на уровне отдельных блоков
- Поиск по содержимому файлов

Можно конечно и через нативные git командами всё это глянуть, но любителям новогодних ёлок — tig однозначно зайдёт.

Звездочек у проекта достаточно дохуя (12к), поэтому рекомендую забрать в свой рабочий инструментарий. Авось зайдёт на постоянку. Потыкай.

Установка: apt install tig

Репа на гитхабе: https://github.com/jonas/tig

tags: #utils #linux
—
🔔 @bashdays➡️ @gitgate

А у нас тут это — ssh_commander

Эта штука позволяет запускать команды по ssh на нескольких серверах одновременно.

Что прикольно — можно выполнять команды из файлов. Нахуячил инструкций в файл, скормил этой тулзе, запустил. Вуаля!

Ни циклов тебе, ни ансиблов, для быстрых манипуляций — сгодится. Написан на змеях.

В коробке много еще всяких фишек, посмотри на досуге ради интереса, авось в хозяйстве сгодится.

➡️ Проект на гитхабе

Заявлена поддержка винды, маков, хуяков.

tags: #linux #utils
—
🔔 @bashdays➡️ @gitgate