Sudo insults

Кому и за что нравиться linux? Для меня, одно из качеств, которые нравятся в этой системе — это какая то человечность. Компоненты системы писали сотни тысяч энтузиастов, в большинстве своем очень крутых программистов, и многие из них не лишены чувства юмора… которое может проявляться в неожиданных местах. И всей жизни не хватит, что бы эти приколы исчерпать…. и это здорово.

 

Я давно использую эту систему, но только сегодня узнал, что если в конфиге для sudo, добавить строку

Defaults insults

то при вводе неправильного пароля в sudo, система будет над тобой чуточку издеваться )))) Выглядит это так:

6c06708e-c154-11e5-9a0d-5a06d5cef2c7

wordpress SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

Вот странная ошибка, на мой взгляд.

По логике, это должно означать, что wordpress, не смог средствами операционной системы в которой он установлен проверить валидность сертификата, и соединяться не стал. Но нет. Средствами ОС он этого сделать не может, и что бы оставить движек максимально простым в использовании, разработчики пошли на не совсем простой шаг. Встроили проверку сертификата вместе с хранилищем сертификатов в сам wordpress.

Если вы попали сюда из поисковика, в поиске решения этой ошибки, то лечится она легко:

Достаточно в директорию wp-includes/certificates положить файл http://curl.haxx.se/ca/cacert.pem под именем ca-bundle.crt

А теперь, чем меня насторожило такое решение. Дело в том, что движки подобные wordpress легко ломаются, всегда найдется пара не пропатченных багов. А загрузка файлов через SSL не стартует без проверки подлинности, на случай, если нам пытаются подсунуть левый контент посредством атаки Men in middle.

Получается, что проверку подлинности сервера можно легко отключить, путем замены файла ca-bundle.crt на свой, где будет добавлен сфабрикованный корневой сертификат которым будет подписан сертификат узла men in middle.

 

UPD: Как показала практика, не везде можно решить проблему таким образом.

На сайте разработчиков curl нашел вот что: http://osdir.com/ml/web.curl.php/2007-02/msg00008.html

Суть в том, что если у вас установлена версия curl из перечисленных:

>libcurl/7.10.3 OpenSSL/0.9.6g
> libcurl/7.12.1 OpenSSL/0.9.7a
> libcurl/7.11.2 OpenSSL/0.9.7c

То без обновления curl не обойтись.

Кто такие хакеры

К сожалению, с легкой руки киношников и некоторых СМИ, смысл слова «хакер» сейчас мало кто понимает. 90% опишут хакера как взломщика и вора, в лучшем случае скажут, что это «талантливый компьютерщик».

Сегодня в статье на хабре в примечаниях нашел отличное описание этому термину:

Ха́кер (англ. hacker, от to hack — рубить, кромсать) — высококвалифицированный ИТ-специалист, человек, который понимает тонкости работы программ ЭВМ.
Изначально хакерами называли программистов, которые исправляли ошибки в программном обеспечении каким-либо быстрым и далеко не всегда элегантным (в контексте используемых в программе стиля программирования и её общей структуры, дизайна интерфейсов) или профессиональным способом; слово hack пришло из лексикона хиппи, в русском языке есть идентичное жаргонное слово «врубаться» или «рубить в …». См. hacker (programmer subculture) (англ.)русск. и en:hacker (hobbyist).
В настоящее время наиболее широко известно значение «компьютерный взломщик» — крэкер (англ. cracker, от to crack — раскалывать, разламывать)
Многие хакеры могут быть крекерами и наоборот, но это не равнозначные понятия.

Может кому пригодится.

Прямо праздник какой то

Для вирусописателей, и начинающих программистов, желающих приколоться над знакомым есть отличная новость из Редмонда.

3 дня назад, товарищ @ParvezGHH сообщил о обнаружении в продуктах Microsoft Office серъезной уязвимости, позволяющей выполнить любой код с правами пользователя открывшего специально созданный документ Office.

В качестве примитивной, но действенной защиты в голову приходит только — не открывать файлы офиса с расшаренных ресурсов, а сперва копировать к себе. Не открывать ничего в формате офиса с чужих флешек. Читать

VNC server проблема с поддержкой шифрования.

Сегодня срочно потребовалось зайти удаленно на десктоп с убунтой 14.04. Такое бывает крайне редко, последний раз пару лет назад, но на всякий случай стандартный vnc сервер у меня всегда включен.

С первой попытки зайти не удалось, vnc-viewer жаловался на какие то проблемы с протоколом 3.3. Другим клиентом зайти тоже не удалось. Вторая Ultravnc сказала:

Error no security type suitable for rfb 3.3 supported

Решить эту фигню можно только с помощью заклинания в консоли:

gsettings set org.gnome.Vino require-encryption false
Читать

zsync

Вот сразу признаюсь. Все от лени. Почему то всегда, если мне требовалось скачать обновленный образ убунты, я качал его целиком, хотя можно было сэкономить трафик и деньги.

 

Суть в том, что рядом с образами лежат файлы с расширением zsync (раньше были еще jigdo), и если тебе нужно скачать скажем ubuntu-12.04.5-dvd-i386.iso, и есть в наличии например ubuntu-12.04.2-dvd-i386.iso, то 90% содержимого у них на самом то деле совпадают, и с помощью zsync можно скачать только недостающие 10%.

Как это делается?

В директории в которой лежит старый файл (ubuntu-12.04.2-dvd-i386.iso) нужно от пользователя имеющего права на запись в этой директории ввести команду:

zsync http://cdimages.ubuntu.com/ubuntu/releases/12.04.4/release/ubuntu-12.04.5-dvd-i386.iso.zsync

программа сама обнаружит имеющийся файл, и сделает из него новый. При этом старый тоже сохранит.

Естественно, если прога у тебя не установлена, то нужно поставить.

PS. Если процесс прервать, то при повторном запуске загрузка продолжится, а не начнется с начала.

PPS. А лень тут при том, что было лень разбираться как пользоваться этой командой.

Уведомление о обновлении до windows 10

Когда впервые увидел предложение от известной конторы, бесплатно обновиться до новую ОС, я конечно обрадовался. От этой организации не привык ничего хорошего бесплатно получать.

Со временем оказалось что win7 мне нравится больше, а может просто привычка, и оказалось, что скрыть или удалить уведомление нет никакой возможности. Мало того, это беда повылазила на всех устройствах получающих обновления.

Что бы избавиться от уведомления, нужно удалить определенное обновление, и заблокировать его в центре обновлений.

Для Windows 7, необходимо искать обновления с номерами 3035583, 2952664, 3021917.

Для Windows 8, обновления с номерами 3035583, 2976978.

И не забудь после удаления зайти в «Центр обновления Windows», нажать «Поиск обновлений», и «скрыть» обновления с такими же номерами, с которыми удалил.

Радостная весть из редмонда

Как сообщают популярные новостные сайты мелкософт разрабатывает ОС на основе Linux для своего облачного сервиса.

Недавно они официально не признавали существование такой ОС. (По понятной причине)

 

Terminal server linux

На днях подвернулась шабашка, нужно было срочно настроить терминальный сервер на linux, причем выбор протокола был сильно ограничен, т.к. использовать его предполагалось через тонкие клиенты, который поддерживают только RDP и XDMCP.

Сперва была неудачная попытка настроить все это дело через x11rdp, но не получилось (уже нашел причину), т.к. время поджимало, пришлось обратиться к старому, но не всеми забытому XDMCP. Как оказалось, даже в Ubuntu, которая активно выпиливает пережитки прошлого из своих дистрибутивов, удалось без танцев с бубном запустить терминальный клиент через XDMСP. Читать

Взлом PS4

Практически с самого появления этой приставки, слежу за успехами хацкеров в исследовании ее защиты. Надо сказать, что слежу я не один. Т.к. игры стоят не дешево, а с ростом курса доллара …. так вообще полный $#$#ец.

В общем до сих пор не придумано способа как на халяву играть на этой приставке, но есть некоторые успехи.

Сегодня на хабре появился перевод интересной статьи на эту тему. Во первых для меня было неожиданностью, что PS4 работает на измененном ядре FreeBSD 9.0. Во вторых, я малость подофигел от того, какими хитровыдуманными методиками пользуются для исполнения кода в обход систем защиты.

Например, т.к. на данный момент нет возможности записать код в память и выполнить его, то для выполнения своего кода используют технику ROP (Return oriented programming), вот как это можно описать простыми словами:

Понять ROP вам поможет следующая метафора.

Представьте, что вы пишете новую главу в книге, при этом пользуясь исключительно теми словами, которые стояли в концах предложений предыдущих глав. Очевидно, что в силу принципов конструкции фраз вы едва ли встретите слова «and» или «or» в конце одного из предложений — но нам потребуются эти соединительные элементы, если мы хотим написать что-нибудь осмысленное.

Вполне возможно, однако, что одно из предложений завершилось на слове «sand». И, хоть по авторскому замыслу мы и должны прочитать это слово целиком начиная с буквы «s», если мы начнем свое чтение с «a», то по чистой случайности получим совсем другое слово — «and», что нам и требовалось.

 

Т.е. в памяти сперва нужно найти кусочки которые могут выполнить необходимые тебе действия, а затем последовательно эти кусочки выполнить, почти как в анекдоте про гинеколога, который автомехаником решил стать.