Pastacode computer science blog

This howto is about installing and configuring Xen under the Linux distribution Debian Lenny. It also shows some simple steps to create and manage Xen-images.
Xen belongs to the group of paravirtualization, there an hypervisor (which runs on the host system) distributes cpu-cycles and other resources to virtual guest systems. The guest system will be directly executed on the CPU, with the exception of system calls, which are forwarded to the hypervisor. This works without special hardware extensions at an amazing performance, closely to native speed. The only drawback is that the host system must be patched in order to use the hypervisor instead of real syscalls. Special kernel-patches for Linux, FreeBSD, Solaris, and other free operating systems are already available. If you like to run Windows, which can’t be patched, you must stick with hardware-virtualization, a feature that Xen now also offers.
read more »

Das wohl am weitesten verbreitete Browserplugin “Flash” kämpft immer mal wieder mit Sicherheitslücken. Eine relativ neue führt dabei zu einem Absturz des Browsers - ich vermute mal es betrifft fast alle Browser auf allen Betriebsystemen - die Lücke lässt sich jedoch nicht dazu ausnutzen, Code einzuschleusen.

Das Problem ist folgendes (Text aus diesem bugtraq post):

If a Flash 9 SWF loads two SWF files with different SWF version
numbers from two distinct HTTP requests to the exact same URL
(including query string arguments), then Adobe's Flash Player plug-in
will try to dereference a null pointer


Die Lücke betrifft auch Version 10 (also die neuste) und man kann es hier selber testen:

http://flashcrash.dempsky.org/

Bei mir crashte Safari auch nach paar Sekunden unter Mac Os X, wenn es auch bei euch geht, postet euere System/Browser Kombination in den Kommentaren.

OpenVZ ist einer der eher unbekannteren Virtualisierungslösungen. Vom Ansatz her arbeitet es ähnlich wie Linux-Vserver: Ein Kernel wird in virtuelle “Zonen” eigeteilt, die sich fast wie eigenständige Server verhalten. Durch diese Art der Virtualisierung kann nur Linux unter Linux virtualisiert werden, jedoch fast jede Distribution.
Da es sich um keine volle Virtualisierung handelt, wird der Speicher des Hostsystems optimal genutzt und die allgemeine Performance ist sehr gut, der Overhead kann praktisch vernachlässigt werden.
Für OpenVZ und gegen Linux-Vserver spricht aufjedenfall die einfache Handhabung und die schnelle Installation. Auch wenn ich Linux-Vserver nur kurz gesehen habe, scheint es mir wesentlich komplizierter. Außerdem hat OpenVZ ein sehr interessantes Feature: Der Netzwerkverkehr wird vollständig virtualisiert, eigene Firewallregeln (Iptables) sind möglich.

Hier ein kleines Howto um OpenVZ unter Debian Lenny einzurichten:
read more »

Kaum ist ein Ssh-Server mit Port 22 am Netz, wird dieser bombardiert vom Grundrauschen des Internets. Verseuchte Rechner probieren scheinbar wahllos Benutzer und Passwort-Kombinationen zufälliger IP’s, um weitere “Zombies” zu rekrutieren. Auch wenn ein Login wohl selten gelingt, scheint die gefühlt gestiegene Anzahl fehlerhafter Login’s in den Logs des Servers, auf dem diese Seite hier gehostet wird, dafür zu sprechen, das diese primitive Form des Bruteforcens sich mehr den je lohnt.
Angeregt von einem Reddit-Post, wollte ich mal schauen wieviele fehlgeschlagene Login-Versuche besagter Server mittlerweile verbuchen kann. In /var/log wird in der Datei authlog festgehalten (zumindest unter Gentoo, andere Systeme können leicht abweichen), wenn ein Fehllogin festgestellt wird. Bei eingeschaltetem Logrotate, kann man nun folgendermaßen prüfen wie viel Fehllogins in den gespeicherten Logs sich angesammelt haben:


server1 log # zgrep "Invalid user" /var/log/authlog* | wc
139059 1390590 13655520
server1 log #

read more »