Linux. Восстановление данных

На Хабре - небольшая заметка про восстановление удаленных файлов под Linux. В комментариях дают еще несколько советов.

Ключевые тезисы:
1. scalpel
2. photorec
3. ext3grep
4. testdisk
5. magicrescue

Linux. Flip-Flop - смена MAC-адресов у сетевых интерфейсов

Настроил в сети отслеживание соответствия IP-адресов MAC-адресам посредством Slackware Linux и ARPWatch. Начали сыпаться сообщения о смене MAC-адреса одним из сетевых интерфейсов машины под Linux-ом. Выяснил, что:

1. Оба инрефеса включены в одну сеть.
2. При опросе IP-адресов в сети Linux отсылает отвечает от той сетевой карты, которая первая получила этот запрос. То есть система видит, что IP относится к ней, и отвечает с того интерфейса, на который был принят пакет проверки.
3. ARPWatch репортует о смене MAC-адреса таким-то IP-адресом.

Отключается это поднятием флага arp_filet в /proc/sys/net/ip4v/conf/<соотв. интерфейс>.

Arpwatch. Slackware. Сборка из исходников

Скачал с оффсайта исходники ArpWatch (утилита контроля за соответствием MAC-адресов IP-адресам в сети). Сборка и инсталляция прошли нормально. Но упоминаемые в сети ключи -s (отправка почты на указанные e-mail вместо root-а), -u (испльзование привилегий указанного пользователя вместо root-а) и еще несколькие в программе отсутствуют. На Sysadmins.SU Подсказали место, где лежат патчи, которые добавляют эти функции в программы.

Финальная строка запуска получилась такая:
arpwatch -i eth3 -n 192.168.0.0/24 -n 192.168.2.0/24 -e &

Пока только не разобрался куда же записываются логи программы...

Оповещение о новых записях в журнале событий

Для обработки событий появления вления новых записей в системных журналах Windows есть команда eventtriggers. Вот что выдает "eventtriggers /?":

---

EVENTTRIGGERS /<параметр> [<аргументы>]

Описание:
Эта команда позволяет администратору отобразить и настроить
триггеры событий в локальной или удаленных системах.

Параметры:
/Create Создание нового триггера события.

/Delete Удаление триггера событий по его идентификатору.

/Query Отображение свойств и параметров триггера событий.

/? Вывод справки по использованию.

Примеры:
EVENTTRIGGERS /Create /?
EVENTTRIGGERS /Delete /?
EVENTTRIGGERS /Query /?

---

В результате создания триггера создается назначенное задание, которое срабатывает при добавлении соответствующей записи в соответствующий журнал. А там уже можно поставить отправку письма, запись в лог и т.д.

Для мониторинга изменения в настройках локальных групп и пользователей написал программку, которая создает дамп списка локальных групп и входящих в них польльзователей. В момент изменений она создает еще один дамп.

Putty, SSH, ключи

Вот тут располжена пошаговая инструкция по настройке подключения к SSH-серверу с помощью файлов ключей, то есть без ввода пароля. На аглицком - не сложный. 

Могу добавить лишь, что ssh-ключи имеют несколько разных форматов. OpenSSH, Putty, SSH работают только со своими форматами. Но у каждой из них есть возможность конвертирования "чужого" формата в свой. Так у PuTTYgen это делается функцией импорта ключей с последующим сохранением. В ssh-keygen опцией -i.

Несколько рекомендаций по безопасности

Здесь - небольшая заметка с перечнем рекомендаций по безопасности.

Explorer.exe не грузится - вирусы

На одном из терминальных серверов перестал грузиться explorer.exe. Благо, через taskmgr.exe программы запускаются. Запустил Total Commander. Далее - Autoruns и Process Explorer от Sysinternals. Вычислил несколько файлов. запускающиеся не из Program Files и Windows, и несколько запускавшихся из легальных директорий, но не знакомые мне. Удалил, отключил автозапуск, сенс из памяти то, что было. 

Помогло.

А все из-за того, что для админов была отключена Политика ограниченного использования программного обеспечения. Очень нужная и полезная настройка системы.

//** 2009-01-23 12-25-48 Rett Pop [+]: 

Не полностью вычистил каку. В %WINDOWS%\system32\ находился файлик mmmprzpr.dll, который был инжектирован практически во все процессы системы. Припопытке подключения к сети от имени пользователя любая программа тут же закрывалась.

Нашел его поиском всех новых файлов в директории %WINDOWS%.

На случай отсутствия ICQ

Если нету ICQ, есть неплохой онлайновый вариант.

http://www.meebo.com/.

Стремновато, конечно, отдавать им свой UIN и пароль... Но на безрыбьи...

Мониторинг *nix-систем

Еще средства мониторинга:

Cacti и Nagios

Наблюдение за системой в Linux

Взято с Хабрахабр.
Несколько лог-файлов:

• /var/log/acpid — служба, которая отвечает за питание (acpi для intel);
  
• /var/log/boot.log — журнал загрузки системы;
  
• /var/log/cron — планировка событий;
  
• /var/log/messages — сообщения системы (ядра);
  
• /var/log/Xorg.*.log — графическая подсистема (X-сервер Xorg);
  
• /var/log/cups/* — система печати cups (достаточно популярная и широкораспространенная);
  

Изменения в файлах.

Очень хорошим инструментом для выявления факта модификации файлов является стандартная программа find. Разумное использование параметра mtime поможет установить изменения в файловой системе, например, команда
find /etc -mtime -1

покажет файлы, которые были изменены в течение последних суток. Очень хорошо поиск файлов по различным временам описан в Unix find tutorial.


Анализ процессов:

• top
  
• ps
  

Анализ сети:

• nmap
  
• tcpdump
  
• netstat
  
• fuser
  
• lsof
  

Анализ файловой системы:

• find
  

Из комментов:
Я бы все-таки убрал из текста упоминание про «nmap localhost».
Гораздо разумнее воспользоваться помянутым «netstat -l», только добавить еще к нему:
* -A inet, чтобы выкинуть unix сокеты (а то их сильно много бывает)
* -p, чтобы видеть слушающий процесс (будут видны не все процессы, а только свои)
* -n, чтобы видеть цифири вместо буков там где порты (это по желанию)

Я обычно использую набор
netstat -ntap.

Будут еще и установленные соединения.
А их на загруженном сервере может быть много.

лучше netstat -tpln
список tcp-сокетов, в состояний LISTEN, с именем и pid процесса, без резолвинга имени хоста(чтобы не заскучать).


netstat -tupan
главное — легко запоминается, хотя работает только на линуксе. для юниксов нужно убрать -p

От себя:
Использование памяти — free -m
Информация о процессоре — cat /proc/cpuinfo
Сколько там у нас траффика на интерфейсе — ifconfig ppp0
Как там дела со свободным местом — df -h

Можно не выходя из top убить процесс, просто жмем k, а потом PID номер.

Можно еще для убийства процесса использовать pkill. Принимает имя процесса, а не его PID в качестве аргумента.
Смотреть вывод команды каждые N раз — watch.
killall также по имени снимает


Если говорить конкретнее, на сайте очевидно сидит какой-то червь и систематически дописывает в индексные файлы всякую хрень, админы хоста морозятся как могут (
вроде auditd умеет