mikas blog

advchk ist ein Tool, das anhand einer definierten Software-Liste diverse (konfigurierbare) Security-Feeds (RSS/RDF/XML) abklappert und dann meldet, falls die installierte Softwareversion laut der bekannten Lücken verwundbar ist. Der Autor beschreibt es wie folgt:

Advchk (Advisory Check) reads security advisories so you don’t have to.

advchk is a tool for monitoring the security of installed software.
Advisory Check gathers security advisories using RSS / RDF / XML feeds,
compares them against a list of known software, and alerts you if
you’re vulnerable.

Das funktioniert nicht nur für Debians dpkg, sondern auch für pkginfo/pkg_info, rpm, lpp und portage. Hier ein Praxisbeispiel für Debian (Anmerkung: von Upstream wird addfeeds.sh geliefert, in meinem Debian-Paket heißt das advchk-addfeeds):

Eine vordefinierte Liste von Feeds der Datenbank von advchk hinzufügen:
% advchk-addfeeds

Paketliste erstellen:
% dpkg -l > $(hostname).list

Falls ein Feed ungewünscht ist (oder nicht funktioniert) einfach aus der Datenbank entfernen:
% advchk -r http://packetstormsecurity.org/advisories.xml

Und los geht's mit dem Check:
% advchk -c

Man kann advchk natürlich in cron integrieren (Details siehe manpage), durch den eingebauten ssh-Support lassen sich auch andere Rechner integrieren und überwachen. So wird das Paket speziell für jene Leute interessant, die einen heterogenen Rechnerpark zu verwalten haben.

Ich finde advchk auf alle Fälle interessant und habe daher ein Debian-Paket erstellt (wie immer in mercurial verwaltet). Das .deb befindet sich im grml-testing Pool. Den Upstream-Autor habe ich wegen der Lizenz kontaktiert (laut Homepage ‘2-clause-bsd’, aber eine Lizenz im Tarball selbst fehlt) Update: das Lizenz-Problem wurde gelöst, Upstream hat netterweise Version 1.03 mit Lizenzdatei veröffentlicht. Falls jemand Ideen bezüglich Features für das Debian-Paket haben sollte bitte her damit.

As my ppc-based efika system is quite slow at building kernel packages I decided to cross compile the kernel on my x86 box. JFTR the necessary steps on a Debian system:

Adjust $KERNELSOURCE/Makefile to:

ARCH            = powerpc
CROSS_COMPILE   = powerpc-linux-gnu-

Thanks to the Embedded Debian project you can easily get the necessary gcc as Debian package. Just add the Embedded Debian pool to your /etc/apt/sources.list:

deb http://www.emdebian.org/debian/ unstable main

… and install the package ‘gcc-4.1-powerpc-linux-gnu’.

Make sure that the environment variable ARCH is set to ‘powerpc’ if you are using a kernel >=2.6.16, otherwise use ‘ppc’ (or whatever you need).

export ARCH=powerpc

If you are using make-kpkg for building the kernel-package make sure to use the arch-option:

make-kpkg --arch powerpc ...

I had problems with getting the vmlinuz image. The relevant files (the /usr/lib/$KERNEL stuff) weren’t present in the kernel package but without the vmlinuz image my OpenFirmware based system doesn’t boot. Thanks to Sven Luther I could hack my own Makefile and finally got a vmlinuz image using mkvmlinuz:

/usr/sbin/mkvmlinuz -o /boot/vmlinuz-2.6.19-grml 2.6.19-grml

Now I’m running my first grml-kernel on ppc:

root@grmlppc ~ # uname -a
Linux grmlppc 2.6.19-grml #2 PREEMPT Sat Jan 20 20:26:15 CET 2007 ppc GNU/Linux

I received an efika board at the end of 2006. Now I had some time to investigate on that. I want to use Debian on the board of course to be able to work on grml-ppc.

My setup involves the following hardware:

• the efika board ;)
• a 2.5" western digital harddisk
• an ATX power supply
• a nullmodem cable
• an USB to IDE/SATA adapter
• my laptop with ethernet cable plus USB to serial adapter running grml

First of all I downloaded d-i image from efika.de and copied it to the harddisk intended for use in the efika board. Then I connected the efika board with my laptop using the USB to serial adapter and the nullmodem cable. Giving power to the board using the ATX power supply and starting screen on my laptop then:

% screen -S console -m -c /dev/null /dev/ttyUSB0 115200

There we are – the board is booting:

The ‘ok’ is the bootprompt of the OpenFirmware. Using the command devalias I can figure out that the harddisk is accessible via hd:0 so my commandline looks like:

boot hd:0 di_efika root=/dev/sda1 console=ttyPSC0 rootdelay=20

And then we are booting into d-i:

Using grml-router I can use my laptop as gateway for setting up network stuff within a few seconds. So just stepping through d-i then. If you need further assistance take a look at Efika Install @ littlefe.net.

Then I downloaded kernel and modules from efika.de and installed them. After some more fine-tuning (installing ssh server package, activating network interface,…) I could boot into my Debian system using:

boot hd:1 /boot/kernel_efika root=/dev/sda2 console=ttyPSC0

If you notice any problems with your system the bootoptions ‘rootdelay=20 panic=10 init=/bin/sh’ might be useful for further investigation.

The last step included installing zsh and vim using grml’s configuration files of course. :-)

Finally JFTR:

root@grmlppc ~ # cat /proc/cpuinfo
processor       : 0
cpu             : G2_LE
clock           : 396.000000MHz
revision        : 1.4 (pvr 8082 2014)
bogomips        : 65.53
timebase        : 33000000
platform        : Efika
machine         : EFIKA5K2 CHRP PowerPC System
revision        : 2B3
vendor          : bplan
root@grmlppc ~ # lspci
00:1c.0 Bridge: Motorola MPC5200B
root@grmlppc ~ # free
             total       used       free     shared    buffers     cached
Mem:        125080      29736      95344          0       2244      18408
-/+ buffers/cache:       9084     115996
Swap:       979956          0     979956

Useful resources:

• efika.de
• EfikaInstall @ littlefe.net
• Efika @ gentoo-wiki

At last meeting of Security Treff Graz I brought up the question whether rsync is capable of handling extended ACLs (the Access Control Lists you handle with setfacl and getfacl on your Linux system). That’s very important for me when backing up running systems because I’m using ACLs on some systems but only a few programs (like star) are aware of the ACLs. So I took a closer look at it and the answer whether rsync supports extended ACLs is: "depends".

Out of the box rsync does not handle extended ACLs. But: there is a patch available (patches/acls.diff in upstream-sources) which provides support for ACLs via option ‘-A’. The best news: Debian uses the patch by default now starting with rsync 2.6.9-1 so we have ACL support within rsync on upcoming Debian/etch as well. This is very important because the nonstandard option only works if the remote rsync also supports it.

Get Google Suggest on the commandline:

cd /tmp
dh-make-perl --cpan WebService::Google::Suggest --build
sudo dpkg -i libwebservice-google-suggest-perl_0.01-1_all.deb
wget http://hg.grml.org/grml-scripts/raw-file/tip/usr_bin/gsuggest.pl
chmod +x ./gsuggest.pl

% ./gsuggest grml
grml: 175000 results
grmlins: 286 results
grmlin: 816 results
grml linux: 76200 results
grmls: 566 results
grmln: 192 results
grml.ca: 57 results
grmlive: 7 results

Thanks to maxx and oliver for reporting a problem with the feed of my blog. rss2email displayed the following warning:

% e2run
W: looks like HTML http://michael-prokop.at/blog/feed/

and whereas bloglines.com, Firefox, Internet Explorer, Awasu and even dog and wget worked without any noticeable problems there also was a problem with rss-reader akregator.

Finally I could track down the problem with:

% GET -e http://michael-prokop.at/blog/feed/

and use of telnet and stumbled upon ticket 3528 in the wordpress bug database then.

Conclusion: if you upgraded your wordpress installation to version 2.0.6 you might want to apply the fix mentioned in ticket 3528.

Thanks to Michael Hammer I had the possibility to test grml on a HP Compaq dc7700 Convertible Minitower today. As the box seems to be widely used at TU Graz and there’s not that much information available yet I’m feeding google.

My testing system was of course the grml live-cd using the current stable version grml 0.9 featuring kernel 2.6.18-grml and X.org 7.1.1 and grml’s current develrelease (known as 0.9-1) providing the bleeding edge stable kernel 2.6.19-grml.

The box has ‘Intel® Pentium® D processor 915 dual-core 2.80 GHz 4 MB (2 MB per core) L2 cache 800 MHz front side bus with Extended Memory 64-bit Technology’ inside with a graphic card type ‘Hewlett-Packard Company Integrated Graphics Controller’ known as ‘Intel Corporation 82Q963/Q965 Integrated Graphics Controller’ and provides as network device the ‘Hewlett-Packard Company Ethernet controller’ known as ‘Intel(R) PRO/1000 Network Connection’.

Important: vesa framebuffer does not work (at least not with 2.6.18 and 2.6.19) so you have to boot using vga=normal (known as ‘nofb’ bootoption at grml). And the BIOS seems to be horrible broken, therefore you have to use acpi=off or pci=nommconfig. So boot your grml box using:

nofb acpi=off

or

nofb pci=nommconfig

Booting works fine then. Network and sound work stright out of the box. By default running grml-x will use the vesa module. You might want to use the i810 module instead, so run ‘grml-x -module i810 wm-ng’. Depending of your setup you might want to set ‘Option "MonitorLayout" "CRT, DFP"’ in the Device-section of your /etc/X11/xorg.conf additionally. That’s it.

Update [2007-01-09]: instead of acpi=off you can try pci=nommconfig as well which should provide a (basically) working ACPI setup without hanging at the mmconfig stuff during bootup. Seems to be a problem of Intel 965 based chipsets…

Thanks to schula for writing down the necessary steps how to set up a router with grml in less than 1 minute. JFTR the steps in english (will become part of grml-tips as well):

• Execute ‘grml-router’
• Install dnsmasq if not already present: apt-get update ; apt-get install dnsmasq
• Adjust /etc/dnsmasq.conf according to your needs:

domain-needed
bogus-priv
dhcp-range=192.168.0.124,192.168.0.254,1m # dhcp range
dhcp-option=3,192.168.0.1   # dns server
dhcp-option=1,255.255.255.0 # netmask

• Run ‘Restart dnsmasq’

That’s it. :-)

As I usually forgot how to do it ;-) JFTR a cmdline to reset the password of a user in dokuwiki:

# usr='myuser'; passwd='secret_password'
# sed -i "s#$usr:[[:alnum:]$]*:#$usr:`printf ${passwd} | md5`:#"  /var/lib/dokuwiki/acl/users.auth.php

So, nachdem ich netterweise von Thomas Quaritsch darauf hingewiesen wurde, dass die Software von pokerstars.de durch den Einsatz von Wine auch unter Linux zum Laufen zu bringen ist, habe ich das mal schnell probiert und es tut ohne große Hexerei:

Tipp: in der user.ini (hier in ‘~/.wine/drive_c/Program\ Files/PokerStars.NET/user.ini’) unter dem Punkt [Options] ein "f5redrawtable=1" hinzufügen, dann kann man den Tisch auch vergrößern (einfach mit der Maus in der rechten unteren Ecke anpacken, ziehen und dann F5 drücken).

Interessanterweise ist in der Wine-Datenbank die Version 2.070 erwähnt, ich habe aber 2.065 im Einsatz – obwohl ich auf pokerstars.de die deutsche Beta-Version genommen habe (es gibt auch keine andere zur Auswahl). Anscheinend ist da ein Unterschied zwischen der Variante von pokerstars.com und jener von pokerstars.de. Ich hab auf alle Fälle einen Eintrag für Debian/unstable in der pokerstars-Seite der Wine-Datenbank hinterlassen.

So, ich musste das jetzt leider posten, damit das erledigt ist und ich von dem Spiel jetzt endlich wegkomme. 8-)

Seit Weihnachten bin ich stolzer Besitzer eines Poker-Koffers. Und vor Kurzem ist in Debian unstable pokerth aufgetaucht:

PokerTH is a single-player poker game written in C++/QT4. You can play the popular “Texas Hold’em” poker variant against up to four computer-opponents. This poker engine is open-source and available for Linux and Windows.

Nachdem ich selbst auch Texas Hold’em (no limit) spiele, habe ich mir dieses Spiel mal kurz angesehen. Schaut soweit sehr nett aus, obwohl man momentan nur alleine gegen den Computer spielen kann. Das soll sich laut Taskliste des Projektes aber ändern: network-support (There will be network support for multiplayer modus over net). Sehr schön, ich bin auf alle Fälle gespannt, ob daraus was wird. :-)

Was ich sonst noch im Debian-Pool gefunden habe: gtali aus dem Debian-Paket ‘gnome-games’ beschreibt sich mit "sort of poker with dice and less money. An ancient Roman game, this variant is similar to Yahtzee (R)." Ist somit nicht mein Ding, ebenso wenig wie kpoker und das Kommandozeile-basierte sillypoker ("five card draw, five card stud, and seven card stud poker").

Viel versprechend schaut dafür python-poker2d aus, das auf Wunsch gleich alles relevante für den Gebrauch mit dem pokersource.info-Pokerserver einrichtet. Ich muss mich aber erst noch im Detail durchs Interface kämpfen, bevor ich andere Spieler vernichten kann. 8-)

Online-Pokerspiele hab ich mir noch nicht angesehen, falls da jemand Empfehlungen hat (Voraussetzung: muss unter Linux stressfrei laufen): nur her damit.

Es ist gar nicht so einfach, für die Playstation 2 Spiele zu finden, die a) kein Shooter, b) kein Kinderspiel und c) für mehrere Personen (Multiplayer) sind. Für den Fall, dass jemand den gleichen Geschmack wie meine Freundin und ich haben sollte, werde ich jetzt mal Google füttern. ;-) (Disclaimer: ich spiele Shooter durchaus, aber auf Spielekonsolen finde ich Shooter von der Steuerung her typischerweise zu anstrengend.)

Torino 2006 (PS2) ist für 1-4 Spieler und bietet 8 verschiedene Winter-Disziplinen. Leider spielt man nicht simultan gegen andere Spieler, sondern immer nur nacheinander. Die meisten Disziplinen sind aber kurz genug um sich nicht zu langweiligen. ;) Durch die verschiedenen Spielemodi ‘einfach’, ‘mittel’ und ‘schwer’ kommt jeder recht schnell in Schwung. Die Disziplinen in Ski-Alpin gefallen mir am Besten und Slalom scheint meine Spezialdisziplin zu sein. 8-) Die Wartezeiten zwischen den einzelnen Spielen sind ziemlich kurz und man kann fast alles einfach und schnell überspringen, dadurch wird es auch zu viert nicht wirklich langweilig, solange man keine langwierige Disziplin wie Biathlon auswählt. Was ein wenig störend auffällt sind die Kommentare. Anfangs noch lustig wird es mit der Zeit einfach nervend. Es sind immer die gleichen wenigen Sprüche und wenn man bei guter Zwischenzeit bei Ski Alpin einen Torfehler begeht hört man ein ‘toll!’ und mit einigen Sekunden Verzögerung ein ‘nein!’. Die Intelligenz von Kommentatoren scheint also auch in Computerspielen beschränkt zu sein. ;-)

Das Spiel finde ich insgesamt aber dennoch sehr nett, auf einer Skala von 0 bis 10 würde ich 8 Punkte vergeben. 1 Punkt Abzug gibt’s für die teilweise doch sehr schwachen Kommentare und 1 Punkt Abzug für den fehlenden Simultan-Spielemodus.

You might know of moreutils‘s existence already, but in case you do not use them so far please give it a try as it’s definitely worth a look:

Description: additional unix utilities
 This is a growing collection of the unix tools that nobody thought
 to write thirty years ago.
 .
 So far, it includes the following utilities:
  - isutf8: check if a file or standard input is utf-8
  - sponge: soak up standard input and write to a file
  - ts: timestamp standard input
  - vidir: edit a directory in your text editor
  - vipe: insert a text editor into a pipe
  - combine: combine the lines in two files using boolean operations
  - ifdata: get network interface info without parsing ifconfig output
  - pee: tee standard input to pipes
  - zrun: automatically uncompress arguments to command
  - mispipe: pipe two commands, returning the exit status of the first

Ich habe jetzt ein paar grml 0.9-CDs. 5 Stück davon habe ich kostenlos zu vergeben. Du möchtest eine solche grml-CD haben? Dann nenne mir einen guten Grund, warum gerade du so eine CD bekommen sollst. 8-) Die besten Einsendungen gewinnen und bekommen eine solche CD (im deutschsprachigen Raum) kostenfrei zugesandt. Bewerbungen bitte einfach als Kommentar auf diesen Blogeintrag hinterlassen oder Mail an mich [mika (at) grml.org]. Bitte nicht vergessen die Mailadresse anzugeben, damit ich dich im Gewinnfall auch kontaktieren kann. ;-)

Bewerbungsende ist der 18. Dezember 2006 – 23:59 Uhr, damit es die CD noch rechtzeitig unter den Weihnachtsbaum schafft. ;-)

Wer Stress haben will, soll Windows mit einer solchen Partitionierung betreiben:

Disk /dev/sda: 250.0 GB, 250059350016 bytes
255 heads, 63 sectors/track, 30401 cylinders
Units = cylinders of 16065 * 512 = 8225280 bytes

Device Boot      Start         End      Blocks   Id  System
/dev/sda1   *           1        2432    19535008+   7  HPFS/NTFS
/dev/sda2            2433        5959    28330627+   5  Extended
/dev/sda3            6081       29027   184321777+  17  Hidden HPFS/NTFS
/dev/sda4           29028       30401    11036655   83  Linux
/dev/sda5            2433        4865    19543041    7  HPFS/NTFS
/dev/sda6            4866        5959     8787523+  83  Linux

Was ist das Problem? Diese ‘Hidden HPFS/NTFS’-Partition wird von Windows gesetzt. Man kann den Partitionstyp von 0x17 (Hidden-NTFS) auf 0x07 (NTFS) zurücksetzen und beim nächsten Booten setzt Windows die Partition wieder auf Hidden-NTFS zurück. Ergo kommt man unter Windows nicht einfach an die Daten auf der Hidden-NTFS-Partition ran.

Weder diskpart, noch regedit mit Bearbeitung von HKLM/System/MountedDevices + CO haben Abhilfe geschafft. Nach jedem Reboot der gleiche Schmarrn… Am Schluss (mangels Zeit zum weiteren Debuggen) half nur das Entfernen der Linuxpartitionen und ein Neuschreiben vom MBR via ms-sys. *grml*#@$@$#$

Update:

Danke an den Hinweis von Jörn. Ich hab jetzt auf einem anderen Rechner das gleiche Problem gehabt und wollte das jetzt mal genauer anschauen.

Und zwar wird die Partitionstabelle wirklich immer exakt dann modifiziert, wenn man Windows bootet. Unter Windows hat man dann auf die ‘Hidden NTFS’-Partition keinen direkten Zugriff (die ‘Daten’-Partition im folgenden Screenshot):

Im Spiel ist dabei:

# lilo -V
LILO version 22.6.1 (Debian GNU/Linux)

Abhilfe schafft der folgende Eintrag in der lilo.conf:

change-rules
reset

Jetzt ist Ruhe im Haus, auch wenn man Windows bootet wird aus NTFS jetzt kein ‘Hidden NTFS’ mehr. Würgs… Dafür hat sich auch gleich ntfs-3g auf grml mit ‘mount.ntfs-3g -o rw,locale=de_DE …’ beweisen können: 14GB Daten erfolgreich von NTFS nach NTFS geschaufelt. *streichel*

Ja, es ist vollbracht. grml 0.9 mit Codenamen ‘Dioptrienotto’ und der kleine Bruder grml-small 0.3 mit Codenamen ‘Zwergenaufstand’ sind verfügbar. Beide haben einen sehr gut ausgestatteten Kernel 2.6.18 an Board. (Jener von grml-small 0.3 hat aufgrund der Platzbeschränkung aber wie üblich nicht so viele Features wie jener vom großen Bruder.)

Für mich auf alle Fälle wieder ein Milestone, da sich unter der Haube doch einiges getan hat. Einerseits verwenden wir jetzt Mercurial für die Versionskontrolle (nicht nur für unsere eigene Software sondern auch für Debian-Pakete), andererseits haben wir dank der Arbeit von Alexander ‘formorer‘ Wirt sehr viel an der Infrastruktur verbessert, unter anderem ein neues grml-Repository.

Wenn neue Blockdevices (wie USB-Sticks) hinzukommen oder auch entfernt werden, wird die dafür zuständige Datei /etc/fstab (sofern nicht deaktiviert) via udev und grml-rebuildfstab automatisch angepasst, auch FS-Labels bzw. UUID werden nun unterstützt (vereinfacht die Handhabung von z.b. USB-Sticks ungemein!). Swap wird per Default nicht mehr aktiviert (lässt sich aber einfach mit Aufruf von ‘grml-swapon’ oder Bootoption ‘swap’ einfach ändern), der SW-RAID-Supportwurde ebenfalls verbessert.

Die Zsh wurde noch feiner konfiguriert, schöne Konfigurationsdateien wie z.B. für Mercurial und lftp sind hinzugekommen und auch diesmal sind wieder neue Skripte mit an Board:

• grml-ap: einfach und schnell einen Access-Point einrichten
• grml-bridge: den eigenen Rechner schnell und einfach als Bridge konfigurieren
• grml-debootstrap: damit geht das Installieren von "reinem" Debian noch einfacher und noch schneller(!)
• grml-router: aus dem eigenen Rechner einen NAT-Router machen
• qma: ‘quick manual access’, dank lzop superschnell Manpages via Vim zur Verfügung haben

Natürlich gibt es auch neue Software mit an Board, insgesamt 113 neue Pakete. Darunter aamath, histring, inotail, iwatch, mathomatic, ptfinder, ruby-prof, vim-ruby und xmms2.

Beim kleinen Bruder wurden die Features der großen Version eingepflegt bzw. synchronisiert. Neben Tools wie chntpw, wpasupplicant und xfsprogs hat auch WLAN-Support (z.B. für IPW2200 + IPW3495) Einzug gefunden.

Wie üblich finden sich weitere Details im offiziellen Release-Announcement von grml 0.9 sowie im Release-Announcement von grml-small 0.3. Der Download ist wie immer u.a. via Bittorrent, HTTP und FTP möglich.

Viel Spass mit der neuen Release! Das grml-Team freut sich über Feedback!

Vor über einem halben Jahr habe ich beim EFIKA-Projekt von Genesi um ein PPC-Board für grml angesucht: grml – Linux Live-CD for sysadmins / texttool-users @ EFIKA.

Am Sonntag (03.12.06) war es dann soweit: Genesi USA hat bei mir nachgefragt, ob meine Lieferadresse wohl noch stimmt. Und heute schon (3 Tage später, WTF ging das jetzt schnell!) war das EFIKA 5200B bei mir:

Damit man einen Größenvergleich hat, ein Bild gemeinsam mit meinem Samsung X20 15" Laptop:

Jetzt bin ich dank Genesi also stolzer Besitzer von einem EFIKA 5200B Mainboard mit einem Freescale MPC5200B PowerPC SoC 400MHz. Danke! Als ob die gewusst hätten, wann ich eine neue grml-Release rausbringe. 8-)

• du einen ausgeborgten USB-WLAN-Stick über mehrere Wochen nicht getestet hast
• du seit mehr als einer Woche einen neuen WLAN-AP (Asus 500G Deluxe) und eine neue Festplatte hast, die aber noch immer in der Original-Verpackung hausen
• du seit einem Monat eine Bluetooth-Maus besitzt, diese aber noch immer nicht ausgepackt hast
• du seit einem Monat einen AMD64-Rechner hast, der aber immer noch mitten im Zimmer steht und dort auch läuft, weil die Zeit für eine ordentliche Verkabelung gefehlt hat
• du dein privates Netzwerk-Setup schon seit Ewigkeiten neu machen wolltest, das aber noch immer nicht erledigt hast
• du Uni-Aufgaben nicht mehr Sonntag Abend sondern Montag Früh machst
• alle nach der Frage "wie geht’s?" sofort ein "wann kommt denn die neue Release?" nachschieben :-)

… und schliesslich und endlich, wenn deine Top 10 Shell-Kommandos so aussehen:

mika@grml ~ % print -l -- ${(o)history%% *} | uniq -c | sort -nr | head -n 10
    632 hg
    504 mv
    385 vim
    346 cd
    304 grep
    289 ls
    204 rm
    185 scp
    138 patch
    135 lintian

My notes/slides from the zsh-workshop I held yesterday at Medienkunstlabor Graz are available online: zsh-workshop notes

Original aus der Verpackung:

Zuerst der Wecker, jetzt das Eis. Ich bin ja gespannt, was mich als Nächstes erwartet. Vielleicht ein XFCE mit OK-Buttons? 8-)