subject:"packages.debian.org"

2014-07-23 Пенетрантность alexander barakin (aka sash-kan)

согласен, спорить не буду... 
надо инкризить срочно security skill.


--
BW

C S

21.07.2014, 22:56, Dmitrii Kashin free...@freehck.ru:
 C S ll75...@yandex.ru writes:
  ну хорошо, допустим в ближайшее время переустановлю систему-где
  гарантия, что тёмными делами не занимается сам хостинг-провайдер?

 Нигде. Но главное - прежде, чем кидаться такими заявлениями, Вы докажите
 сначала, что это действительно тёмные дела. Сами по себе скрытые
 процессы ничего не доказывают - это обычные треды скорее всего.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/4386801406098...@web17g.yandex.ru

Re: md5sum на packages.debian.org

23.07.2014, 11:06, C S ll75...@yandex.ru:
 согласен, спорить не буду...
 надо инкризить срочно security skill.

у вас виртуалка?
тогда не спешите переустанавливать систему.

p.s. что-то debian-russian перестал принимать от меня письма (и на subscribe не 
реагирует), потому прошу прощения за личные письма.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/4896091406102...@web10g.yandex.ru

Re: md5sum на packages.debian.org

2014-07-23 Пенетрантность alexander barakin (aka sash-kan)

23.07.2014, 13:47, C S ll75...@yandex.ru:
 23.07.2014, 11:53, alexander barakin (aka sash-kan) a...@barak.in:
  23.07.2014, 11:06, C S ll75...@yandex.ru:
   согласен, спорить не буду...
   надо инкризить срочно security skill.
  у вас виртуалка?
  тогда не спешите переустанавливать систему.

  p.s. что-то debian-russian перестал принимать от меня письма (и на 
 subscribe не реагирует), потому прошу прощения за личные письма. yes, VPS

 ну а если виртуалка, то что?

например: 
https://support.edis.at/kb/a22/how-to-prevent-openvz-containers-from-rewriting-files.aspx


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/3914651406109...@web22m.yandex.ru

Re: md5sum на packages.debian.org

2014-07-23 Пенетрантность Андрей Любимец

yes, VPS

ну а если виртуалка, то что?

--
BW

C S

23.07.2014, 11:53, alexander barakin (aka sash-kan) a...@barak.in:
 23.07.2014, 11:06, C S ll75...@yandex.ru:
  согласен, спорить не буду...
  надо инкризить срочно security skill.

 у вас виртуалка?
 тогда не спешите переустанавливать систему.

 p.s. что-то debian-russian перестал принимать от меня письма (и на subscribe 
 не реагирует), потому прошу прощения за личные письма.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/5769001406108...@web21h.yandex.ru

Re: md5sum на packages.debian.org

23.07.2014 13:49, C S пишет:
 согласен, спорить не буду... 
 надо инкризить срочно security skill.
 
Скажи, а что тебя надоумило проверить мд5сумму?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/53cf89d2.5060...@nskes.ru

Re: md5sum на packages.debian.org

начал спам рассылаться плотно через мой сервер-до нескольких гектаров в сутки и 
быстренько занесён был в black-list от www.spamcop.net;при этом конфиг exim был 
всё тем же, я подумал тогда, что подменили бинарник exim4, внутри которого всё, 
что надо спамерами уже присутствует и  им не надо изменять мой конфиг...


--
BW,

C S

23.07.2014, 14:10, Андрей Любимец and...@nskes.ru:
 23.07.2014 13:49, C S пишет:
  согласен, спорить не буду...
  надо инкризить срочно security skill.

 Скажи, а что тебя надоумило проверить мд5сумму?

 --
 To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
 Archive: https://lists.debian.org/53cf89d2.5060...@nskes.ru


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/300581406113...@web8g.yandex.ru

Re: md5sum на packages.debian.org

2014-07-23 Пенетрантность alexander barakin (aka sash-kan)

Вы предлагаете мне иммунизировать сам бинарник экзима и заодно его конфиги, 
например?


--
BW

C S

23.07.2014, 14:01, alexander barakin (aka sash-kan) a...@barak.in:
 23.07.2014, 13:47, C S ll75...@yandex.ru:
  23.07.2014, 11:53, alexander barakin (aka sash-kan) a...@barak.in:
   23.07.2014, 11:06, C S ll75...@yandex.ru:
    согласен, спорить не буду...
    надо инкризить срочно security skill.
   у вас виртуалка?
   тогда не спешите переустанавливать систему.

   p.s. что-то debian-russian перестал принимать от меня письма (и на 
 subscribe не реагирует), потому прошу прощения за личные письма. yes, VPS
  ну а если виртуалка, то что?

 например: 
 https://support.edis.at/kb/a22/how-to-prevent-openvz-containers-from-rewriting-files.aspx


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/1950461406127...@web14g.yandex.ru

Re: md5sum на packages.debian.org

23.07.2014, 18:56, C S ll75...@yandex.ru:
 Вы предлагаете мне иммунизировать сам бинарник экзима и заодно его конфиги, 
 например?
 23.07.2014, 14:01, alexander barakin (aka sash-kan) a...@barak.in:
  23.07.2014, 13:47, C S ll75...@yandex.ru:
   23.07.2014, 11:53, alexander barakin (aka sash-kan) a...@barak.in:
23.07.2014, 11:06, C S ll75...@yandex.ru:
 согласен, спорить не буду...
 надо инкризить срочно security skill.
у вас виртуалка?
тогда не спешите переустанавливать систему.

p.s. что-то debian-russian перестал принимать от меня письма (и на 
 subscribe не реагирует), потому прошу прощения за личные письма. yes, VPS
   ну а если виртуалка, то что?
  например: 
 https://support.edis.at/kb/a22/how-to-prevent-openvz-containers-from-rewriting-files.aspx

я предлагаю сначала уточнить у провайдера.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/7173661406130...@web12g.yandex.ru

Re: md5sum на packages.debian.org

2014-07-23 Пенетрантность Dmitrii Kashin

C S ll75...@yandex.ru writes:

 начал спам рассылаться плотно через мой сервер-до нескольких гектаров
 в сутки и быстренько занесён был в black-list от www.spamcop.net;при
 этом конфиг exim был всё тем же, я подумал тогда, что подменили
 бинарник exim4, внутри которого всё, что надо спамерами уже
 присутствует и им не надо изменять мой конфиг...

Если не влом - снимите образ виртуалки, и выложите где-нибудь.



pgp4p3WHywSm7.pgp
Description: PGP signature

Re: md5sum на packages.debian.org

2014-07-21 Пенетрантность C S

проверять антивирусом буду чуть позже, а пока такие результаты:

$ sudo unhide brute
Unhide 20110113
http://www.unhide-forensics.info
[*]Starting scanning using brute force against PIDS with fork()

[*]Starting scanning using brute force against PIDS with pthread functions

Found HIDDEN PID: 18286 ... maybe a transitory process
Found HIDDEN PID: 18290 ... maybe a transitory process
Found HIDDEN PID: 18301 ... maybe a transitory process
Found HIDDEN PID: 18302 ... maybe a transitory process
Found HIDDEN PID: 18307 ... maybe a transitory process
Found HIDDEN PID: 18321 ... maybe a transitory process
Found HIDDEN PID: 18331 ... maybe a transitory process
Found HIDDEN PID: 18341 ... maybe a transitory process
Found HIDDEN PID: 18350 ... maybe a transitory process

при этом эти PID постоянно меняются и через ps ax| grep номер_pid
тишина...

chkrootkit ничего подозрительного не нашёл, кроме:
Checking `chkutmp'...The tty of the
following user process(es) were not found
in /var/run/utmp !

--
BW

C S

20.07.2014, 22:51, Eugene Berdnikov b...@protva.ru:
On Sun, Jul 20, 2014 at 07:57:25PM +0400, C S wrote:
спс, попробовал-при этом контрольная всех файлов, включая бинарник
exim4 в path/ верная, а по сравнению с установленным в системе у них
даже размер в байтах разный, хотя дата создания файла - одинаковая -
2 Января 2013 года...

Похоже не троян. Особенно если файл с неправильной чексуммой больше
правильного: вредоносный код обычно дописывается к существующему.

Я бы скормил этот файл антивирусу и/или отправил на исследование в
ДрВеб или Касперскому. Более того, желательно проверить всю машину
каким-нибудь антируткитом и подумать о переустановке системы.
--
Eugene Berdnikov

--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/20140720185037.gd3...@sie.protva.ru

Re: md5sum на packages.debian.org

2014-07-21 Пенетрантность C S

и еще 1 тест дал такой результат:

$ sudo unhide quick
Unhide 20110113
http://www.unhide-forensics.info
[*]Searching for Hidden processes through  comparison of results of system 
calls, proc, dir and ps

[*]Searching for Hidden processes through sysinfo() scanning

HIDDEN Processes Found: 1   sysinfo.procs = 193   ps_count = 195

--
BW

C S


20.07.2014, 22:51, Eugene Berdnikov b...@protva.ru:
 On Sun, Jul 20, 2014 at 07:57:25PM +0400, C S wrote:
  спс, попробовал-при этом контрольная всех файлов, включая бинарник
  exim4 в path/ верная, а по сравнению с установленным в системе у них
  даже размер в байтах разный, хотя дата создания файла - одинаковая -
  2 Января 2013 года...

  Похоже не троян. Особенно если файл с неправильной чексуммой больше
  правильного: вредоносный код обычно дописывается к существующему.

  Я бы скормил этот файл антивирусу и/или отправил на исследование в
  ДрВеб или Касперскому. Более того, желательно проверить всю машину
  каким-нибудь антируткитом и подумать о переустановке системы.
 --
  Eugene Berdnikov

 --
 To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
 Archive: https://lists.debian.org/20140720185037.gd3...@sie.protva.ru


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/3891751405924...@web27h.yandex.ru

Re: md5sum на packages.debian.org

2014-07-21 Пенетрантность C S

ну хорошо, допустим в ближайшее время переустановлю систему-где гарантия, что 
тёмными делами не занимается сам хостинг-провайдер? 
ведь ssh доступ настроен только с помощью ключа, а физического проникновения в 
помещение с ноутом не было, получается никто не мог, кроме сотрудников 
провайдера?
а может изошник у них уже подготовленный, но они не при делах, и желательно со 
своего изошника переустановить систему?

p.s.  спасибо всем за советы, кстати...

--
BW

C S

20.07.2014, 22:51, Eugene Berdnikov b...@protva.ru:
 On Sun, Jul 20, 2014 at 07:57:25PM +0400, C S wrote:
  спс, попробовал-при этом контрольная всех файлов, включая бинарник
  exim4 в path/ верная, а по сравнению с установленным в системе у них
  даже размер в байтах разный, хотя дата создания файла - одинаковая -
  2 Января 2013 года...

  Похоже не троян. Особенно если файл с неправильной чексуммой больше
  правильного: вредоносный код обычно дописывается к существующему.

  Я бы скормил этот файл антивирусу и/или отправил на исследование в
  ДрВеб или Касперскому. Более того, желательно проверить всю машину
  каким-нибудь антируткитом и подумать о переустановке системы.
 --
  Eugene Berdnikov

 --
 To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
 Archive: https://lists.debian.org/20140720185037.gd3...@sie.protva.ru


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/6860811405925...@web7g.yandex.ru

Re: md5sum на packages.debian.org

2014-07-21 Пенетрантность Dmitrii Kashin

C S ll75...@yandex.ru writes:

 ну хорошо, допустим в ближайшее время переустановлю систему-где
 гарантия, что тёмными делами не занимается сам хостинг-провайдер?

Нигде. Но главное - прежде, чем кидаться такими заявлениями, Вы докажите
сначала, что это действительно тёмные дела. Сами по себе скрытые
процессы ничего не доказывают - это обычные треды скорее всего.


pgpA_k5iLrLyS.pgp
Description: PGP signature

Re: md5sum на packages.debian.org

C S ll75...@yandex.ru writes:

 $ md5sum -c md5sums 
 /usr/sbin/exim4: ПОВРЕЖДЁН
 /usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
 /usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
 md5sum: ПРЕДУПРЕЖДЕНИЕ: НЕ совпала 1 вычисленная контрольная сумма

 теперь непонятно почему после переустановки пакета exim4-daemon-heavy
 та же чушь происходит-в /etc/apt/sources.list ничего лишнего не
 добавлено, странно...

Сударь, я от нечего делать кое-что для Вас проверил:


~/tmp/exim% l
  exim4_4.82.1-1_all.deb
  exim4-config_4.82.1-1_all.deb
  exim4-daemon-light_4.82.1-1+b1_amd64.deb
  unpacked
  exim4-base_4.82.1-1+b1_amd64.deb
  exim4-daemon-heavy_4.82.1-1+b1_amd64.deb
~/tmp/exim% dpkg -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb unpacked
~/tmp/exim% ar -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb control.tar.gz
~/tmp/exim% tar xzf control.tar.gz ./md5sums 
~/tmp/exim% rm control.tar.gz 
~/tmp/exim% l
  exim4_4.82.1-1_all.deb
  exim4-config_4.82.1-1_all.deb
  exim4-daemon-light_4.82.1-1+b1_amd64.deb
  unpacked
  exim4-base_4.82.1-1+b1_amd64.deb
  exim4-daemon-heavy_4.82.1-1+b1_amd64.deb
  md5sums
~/tmp/exim% cd unpacked 
~/tmp/exim/unpacked% md5sum -c ../md5sums
  usr/sbin/exim4: ЦЕЛ 
  usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
  usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
  usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
  usr/share/doc/exim4-daemon-heavy/changelog.Debian.amd64.gz: ЦЕЛ
  usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
  usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
  usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
  usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ


Как видите, файл в пакете имеет правильную сумму.
Следовательно, существует два варианта, почему у Вас в системе сумма
этого файла не сходится. Либо кто-то (умышленно или случайно) попортил
бинарник exim4, либо у Вас с диском начались проблемы, как правильно
заметил Артём Чуприна.

Я думаю, что лучшее, что Вам можно порекомендовать, это:
% apt-get install --reinstall exim4-daemon-heavy

После чего проверить контрольные суммы ещё раз.


pgpiM1C15nLEh.pgp
Description: PGP signature

Re: md5sum на packages.debian.org

$  ldd /usr/sbin/exim4
linux-vdso.so.1 =  (0x7fff785ff000)
libresolv.so.2 = /lib/x86_64-linux-gnu/libresolv.so.2 
(0x7f696791f000)
libnsl.so.1 = /lib/x86_64-linux-gnu/libnsl.so.1 (0x7f6967707000)
libcrypt.so.1 = /lib/x86_64-linux-gnu/libcrypt.so.1 
(0x7f69674cf000)
libm.so.6 = /lib/x86_64-linux-gnu/libm.so.6 (0x7f696724d000)
libpam.so.0 = /lib/x86_64-linux-gnu/libpam.so.0 (0x7f696703f000)
libdb-5.1.so = /usr/lib/x86_64-linux-gnu/libdb-5.1.so 
(0x7f6966cbb000)
libldap_r-2.4.so.2 = /usr/lib/x86_64-linux-gnu/libldap_r-2.4.so.2 
(0x7f6966a6a000)
liblber-2.4.so.2 = /usr/lib/x86_64-linux-gnu/liblber-2.4.so.2 
(0x7f696685b000)
libmysqlclient.so.18 = /usr/lib/x86_64-linux-gnu/libmysqlclient.so.18 
(0x7f6966312000)
libpq.so.5 = /usr/lib/libpq.so.5 (0x7f69660e5000)
libsqlite3.so.0 = /usr/lib/x86_64-linux-gnu/libsqlite3.so.0 
(0x7f6965e3a000)
libsasl2.so.2 = /usr/lib/x86_64-linux-gnu/libsasl2.so.2 
(0x7f6965c1e000)
libperl.so.5.14 = /usr/lib/libperl.so.5.14 (0x7f696589d000)
libdl.so.2 = /lib/x86_64-linux-gnu/libdl.so.2 (0x7f6965699000)
libpthread.so.0 = /lib/x86_64-linux-gnu/libpthread.so.0 
(0x7f696547c000)
libc.so.6 = /lib/x86_64-linux-gnu/libc.so.6 (0x7f69650f1000)
libgnutls.so.26 = /usr/lib/x86_64-linux-gnu/libgnutls.so.26 
(0x7f6964e31000)
libpcre.so.3 = /lib/x86_64-linux-gnu/libpcre.so.3 (0x7f6964bf3000)
libgcrypt.so.11 = /lib/x86_64-linux-gnu/libgcrypt.so.11 
(0x7f6964975000)
libz.so.1 = /lib/x86_64-linux-gnu/libz.so.1 (0x7f696475d000)
librt.so.1 = /lib/x86_64-linux-gnu/librt.so.1 (0x7f6964555000)
libstdc++.so.6 = /usr/lib/x86_64-linux-gnu/libstdc++.so.6 
(0x7f696424e000)
libgcc_s.so.1 = /lib/x86_64-linux-gnu/libgcc_s.so.1 
(0x7f6964037000)
libssl.so.1.0.0 = /usr/lib/x86_64-linux-gnu/libssl.so.1.0.0 
(0x7f6963dd7000)
libcrypto.so.1.0.0 = /usr/lib/x86_64-linux-gnu/libcrypto.so.1.0.0 
(0x7f69639df000)
libkrb5.so.3 = /usr/lib/x86_64-linux-gnu/libkrb5.so.3 
(0x7f696370a000)
libcom_err.so.2 = /lib/x86_64-linux-gnu/libcom_err.so.2 
(0x7f6963506000)
libgssapi_krb5.so.2 = /usr/lib/x86_64-linux-gnu/libgssapi_krb5.so.2 
(0x7f69632c7000)
/lib64/ld-linux-x86-64.so.2 (0x7f6967e58000)
libtasn1.so.3 = /usr/lib/x86_64-linux-gnu/libtasn1.so.3 
(0x7f69630b5000)
libp11-kit.so.0 = /usr/lib/x86_64-linux-gnu/libp11-kit.so.0 
(0x7f6962ea3000)
libgpg-error.so.0 = /lib/x86_64-linux-gnu/libgpg-error.so.0 
(0x7f6962c9f000)
libk5crypto.so.3 = /usr/lib/x86_64-linux-gnu/libk5crypto.so.3 
(0x7f6962a76000)
libkrb5support.so.0 = /usr/lib/x86_64-linux-gnu/libkrb5support.so.0 
(0x7f696286c000)
libkeyutils.so.1 = /lib/x86_64-linux-gnu/libkeyutils.so.1 
(0x7f6962668000)

а эта команда ничего не выдаёт:
$ objdump -x /usr/sbin/exim4 | fgrep SONAME


--
BW

C S


19.07.2014, 23:41, Eugene Berdnikov b...@protva.ru:
 On Sat, Jul 19, 2014 at 11:02:14PM +0400, C S wrote:
  а это сразу файл, а не симлинк:

  $ ls -l /usr/sbin/exim4
  -rwsr-xr-x 1 root root 1103424 Янв  2  2013 /usr/sbin/exim4

  $ file /usr/sbin/exim4
  /usr/sbin/exim4: setuid ELF 64-bit LSB shared object, x86-64, version 1 
 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.26, 
 BuildID[sha1]=0x22f499e24e52ccf2354eeb0d8eddc79e3a488fa3, stripped

  Утверждает, что файл -- разделяемая библиотека? Забавно. :)
  Покажите, что выдают эти командочки:

  ldd /usr/sbin/exim4
  objdump -x /usr/sbin/exim4 | fgrep SONAME
 --
  Eugene Berdnikov

 --
 To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
 Archive: https://lists.debian.org/20140719194100.gz3...@sie.protva.ru


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/6678401405847...@web8h.yandex.ru

Re: md5sum на packages.debian.org

2014-07-20 Пенетрантность Денис Мажар

выполнил 
$ sudo apt-get install --reinstall exim4-daemon-heavy

затем проверил снова контрольные суммы-та же негатива:
$ md5sum -c md5sums 
/usr/sbin/exim4: ПОВРЕЖДЁН
/usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
/usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
md5sum: ПРЕДУПРЕЖДЕНИЕ: НЕ совпала 1 вычисленная контрольная сумма

получается хакнули(( [странно, ведь авторизация по ключу-может проделки 
хостинг-провайдера?] что там сейчас актуально кстати а-ля tripware? кажется 
проходят иллюзии у ещё 1 непуганого идиота


--
BW

C S



20.07.2014, 10:45, Dmitrii Kashin free...@freehck.ru:
 C S ll75...@yandex.ru writes:
  $ md5sum -c md5sums
  /usr/sbin/exim4: ПОВРЕЖДЁН
  /usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
  /usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
  md5sum: ПРЕДУПРЕЖДЕНИЕ: НЕ совпала 1 вычисленная контрольная сумма

  теперь непонятно почему после переустановки пакета exim4-daemon-heavy
  та же чушь происходит-в /etc/apt/sources.list ничего лишнего не
  добавлено, странно...

 Сударь, я от нечего делать кое-что для Вас проверил:

 
 ~/tmp/exim% l
   exim4_4.82.1-1_all.deb
   exim4-config_4.82.1-1_all.deb
   exim4-daemon-light_4.82.1-1+b1_amd64.deb
   unpacked
   exim4-base_4.82.1-1+b1_amd64.deb
   exim4-daemon-heavy_4.82.1-1+b1_amd64.deb
 ~/tmp/exim% dpkg -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb unpacked
 ~/tmp/exim% ar -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb control.tar.gz
 ~/tmp/exim% tar xzf control.tar.gz ./md5sums
 ~/tmp/exim% rm control.tar.gz
 ~/tmp/exim% l
   exim4_4.82.1-1_all.deb
   exim4-config_4.82.1-1_all.deb
   exim4-daemon-light_4.82.1-1+b1_amd64.deb
   unpacked
   exim4-base_4.82.1-1+b1_amd64.deb
   exim4-daemon-heavy_4.82.1-1+b1_amd64.deb
   md5sums
 ~/tmp/exim% cd unpacked
 ~/tmp/exim/unpacked% md5sum -c ../md5sums
   usr/sbin/exim4: ЦЕЛ
   usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
   usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
   usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
   usr/share/doc/exim4-daemon-heavy/changelog.Debian.amd64.gz: ЦЕЛ
   usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
   usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
   usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
   usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
 

 Как видите, файл в пакете имеет правильную сумму.
 Следовательно, существует два варианта, почему у Вас в системе сумма
 этого файла не сходится. Либо кто-то (умышленно или случайно) попортил
 бинарник exim4, либо у Вас с диском начались проблемы, как правильно
 заметил Артём Чуприна.

 Я думаю, что лучшее, что Вам можно порекомендовать, это:
 % apt-get install --reinstall exim4-daemon-heavy

 После чего проверить контрольные суммы ещё раз.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/192031405848...@web5j.yandex.ru

Re: md5sum на packages.debian.org


On 20.07.2014 12:23, C S wrote:

выполнил
$ sudo apt-get install --reinstall exim4-daemon-heavy

затем проверил снова контрольные суммы-та же негатива:
$ md5sum -c md5sums
/usr/sbin/exim4: ПОВРЕЖДЁН
/usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
/usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
/usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
md5sum: ПРЕДУПРЕЖДЕНИЕ: НЕ совпала 1 вычисленная контрольная сумма

получается хакнули(( [странно, ведь авторизация по ключу-может проделки 
хостинг-провайдера?] что там сейчас актуально кстати а-ля tripware? кажется 
проходят иллюзии у ещё 1 непуганого идиота


Не может ли быть проблема в каком-нибудь prelink?


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/53cb94e8.5020...@gmail.com

Re: md5sum на packages.debian.org

C S ll75...@yandex.ru writes:

 выполнил 
 $ sudo apt-get install --reinstall exim4-daemon-heavy

 затем проверил снова контрольные суммы-та же негатива:
 $ md5sum -c md5sums 
 /usr/sbin/exim4: ПОВРЕЖДЁН
 /usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
 /usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
 /usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
 md5sum: ПРЕДУПРЕЖДЕНИЕ: НЕ совпала 1 вычисленная контрольная сумма

 получается хакнули((

Получается, что у Вас бинарник с exim4 битый.

Я очень сомневаюсь, что у Вас пакет повреждённый в кэше засел, хотя
вдруг... Закралось также подозрение, что --reinstall - это не то же
самое, что и remove с последующим install. Так что дабы развеять и то, и
другое подозрения, опробуйте следующее:

% apt-get remove pkg
% apt-get clean
% apt-get install pkg

Думал ещё apt-get update посоветовать, но пожалуй, не буду. А то вдруг и
правда диск сыплется - тогда лучше будет свести обновления системы к
минимуму. А то глядишь, не поднимется ещё.


pgpfJoUVWYzkx.pgp
Description: PGP signature

Re: md5sum на packages.debian.org

2014-07-20 Пенетрантность dimas

dpkg-deb в помощь. в частности dpkg-deb -R filename.deb path/


2014-201 10:44 Dmitrii Kashin free...@freehck.ru wrote:
 ~/tmp/exim% dpkg -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb unpacked
 ~/tmp/exim% ar -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb control.tar.gz
 ~/tmp/exim% tar xzf control.tar.gz ./md5sums 
 ~/tmp/exim% rm control.tar.gz


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/20140720192449.11ad7...@ulf.tvoe.tv

Re: md5sum на packages.debian.org

выполнил все эти команды без update- результат тот же - бинарник exim4-битый...


--
BW

C S

20.07.2014, 18:14, Dmitrii Kashin free...@freehck.ru:
 C S ll75...@yandex.ru writes:
  выполнил
  $ sudo apt-get install --reinstall exim4-daemon-heavy

  затем проверил снова контрольные суммы-та же негатива:
  $ md5sum -c md5sums
  /usr/sbin/exim4: ПОВРЕЖДЁН
  /usr/share/bug/exim4-daemon-heavy/script: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/EDITME.exim4-heavy.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/NEWS.Debian.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/changelog.Debian.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/changelog.gz: ЦЕЛ
  /usr/share/doc/exim4-daemon-heavy/copyright: ЦЕЛ
  /usr/share/lintian/overrides/exim4-daemon-heavy: ЦЕЛ
  md5sum: ПРЕДУПРЕЖДЕНИЕ: НЕ совпала 1 вычисленная контрольная сумма

  получается хакнули((

 Получается, что у Вас бинарник с exim4 битый.

 Я очень сомневаюсь, что у Вас пакет повреждённый в кэше засел, хотя
 вдруг... Закралось также подозрение, что --reinstall - это не то же
 самое, что и remove с последующим install. Так что дабы развеять и то, и
 другое подозрения, опробуйте следующее:

 % apt-get remove pkg
 % apt-get clean
 % apt-get install pkg

 Думал ещё apt-get update посоветовать, но пожалуй, не буду. А то вдруг и
 правда диск сыплется - тогда лучше будет свести обновления системы к
 минимуму. А то глядишь, не поднимется ещё.


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/7007501405871...@web3m.yandex.ru

Re: md5sum на packages.debian.org

спс, попробовал-при этом контрольная всех файлов, включая бинарник exim4 в 
path/ верная, а по сравнению с установленным в системе у них даже размер в 
байтах разный, хотя дата создания файла - одинаковая - 2 Января 2013 года...


--
BW

C S

20.07.2014, 19:25, dimas dimas...@ya.ru:
 dpkg-deb в помощь. в частности dpkg-deb -R filename.deb path/

 2014-201 10:44 Dmitrii Kashin free...@freehck.ru wrote:
  ~/tmp/exim% dpkg -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb unpacked
  ~/tmp/exim% ar -x exim4-daemon-heavy_4.82.1-1+b1_amd64.deb control.tar.gz
  ~/tmp/exim% tar xzf control.tar.gz ./md5sums
  ~/tmp/exim% rm control.tar.gz

 --
 To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
 Archive: https://lists.debian.org/20140720192449.11ad7...@ulf.tvoe.tv


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/5410011405871...@web20g.yandex.ru

Re: md5sum на packages.debian.org

2014-07-20 Пенетрантность dimas

а что скажет
dpkg -S /usr/sbin/exim4
?


2014-201 19:57 C S ll75...@yandex.ru wrote:
 спс, попробовал-при этом контрольная всех файлов, включая бинарник exim4 в
 path/ верная, а по сравнению с установленным в системе у них даже размер в
 байтах разный, хотя дата создания файла - одинаковая - 2 Января 2013 года...


--
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/20140720202527.3a132...@ulf.tvoe.tv

Re: md5sum на packages.debian.org

2014-07-20 Пенетрантность Eugene Berdnikov

$ dpkg -S /usr/sbin/exim4
exim4-daemon-heavy: /usr/sbin/exim4

--
BW

C S

20.07.2014, 20:25, dimas dimas...@ya.ru:
 а что скажет
 dpkg -S /usr/sbin/exim4
 ?

 2014-201 19:57 C S ll75...@yandex.ru wrote:
  спс, попробовал-при этом контрольная всех файлов, включая бинарник exim4 в
  path/ верная, а по сравнению с установленным в системе у них даже размер в
  байтах разный, хотя дата создания файла - одинаковая - 2 Января 2013 года...

 --
 To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
 with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
 Archive: https://lists.debian.org/20140720202527.3a132...@ulf.tvoe.tv


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/737171405878...@web10m.yandex.ru

Re: md5sum на packages.debian.org

On Sun, Jul 20, 2014 at 07:57:25PM +0400, C S wrote:
 спс, попробовал-при этом контрольная всех файлов, включая бинарник
 exim4 в path/ верная, а по сравнению с установленным в системе у них
 даже размер в байтах разный, хотя дата создания файла - одинаковая -
 2 Января 2013 года...

 Похоже не троян. Особенно если файл с неправильной чексуммой больше
 правильного: вредоносный код обычно дописывается к существующему.

 Я бы скормил этот файл антивирусу и/или отправил на исследование в
 ДрВеб или Касперскому. Более того, желательно проверить всю машину
 каким-нибудь антируткитом и подумать о переустановке системы.
-- 
 Eugene Berdnikov


-- 
To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org
with a subject of unsubscribe. Trouble? Contact listmas...@lists.debian.org
Archive: https://lists.debian.org/20140720185037.gd3...@sie.protva.ru

Re: md5sum на packages.debian.org

2014-07-20 Пенетрантность Eugene Berdnikov

Eugene Berdnikov b...@protva.ru writes:

 On Sun, Jul 20, 2014 at 07:57:25PM +0400, C S wrote:
 спс, попробовал-при этом контрольная всех файлов, включая бинарник
 exim4 в path/ верная, а по сравнению с установленным в системе у них
 даже размер в байтах разный, хотя дата создания файла - одинаковая -
 2 Января 2013 года...

  Похоже не троян. Особенно если файл с неправильной чексуммой больше
  правильного: вредоносный код обычно дописывается к существующему.

  Я бы скормил этот файл антивирусу и/или отправил на исследование в
  ДрВеб или Касперскому. Более того, желательно проверить всю машину
  каким-нибудь антируткитом и подумать о переустановке системы.

Допустим, что это руткит. Раз переустановка пакета не возымела эффекта -
значит зловред не (только) там. Вопрос - где именно?

Допустим, что он (где бы там ни был) отслеживает изменение файла
/usr/sbin/exim4 и модифицирует его. Раз файл в пакете - правильный, то
давайте его возьмём и тупо подменим тот, который сейчас лежит в системе,
при этом в то же время натравим на него, к примеру, `watch ls -l'. Если
зловред попытается изменить файл - то тем самым себя скомпрометирует, и
можно будет отловить, где же он там сидит.


pgpE6Gc28xIrJ.pgp
Description: PGP signature

Re: md5sum на packages.debian.org

On Sun, Jul 20, 2014 at 11:20:26PM +0400, Dmitrii Kashin wrote:
Eugene Berdnikov b...@protva.ru writes:
...
Я бы скормил этот файл антивирусу и/или отправил на исследование в
ДрВеб или Касперскому. Более того, желательно проверить всю машину
каким-нибудь антируткитом и подумать о переустановке системы.

Допустим, что это руткит. Раз переустановка пакета не возымела эффекта -
значит зловред не (только) там. Вопрос - где именно?

Скорее всего, руткитовский код сидит в нескольких системных демонах,
которые обязательно запущены в любой системе. В этом смысле exim4 очень
хорош как кандидат на подселение, вместе с init, udevd, inetd, sshd...

Допустим, что он (где бы там ни был) отслеживает изменение файла
/usr/sbin/exim4 и модифицирует его. Раз файл в пакете - правильный, то
давайте его возьмём и тупо подменим тот, который сейчас лежит в системе,
при этом в то же время натравим на него, к примеру, `watch ls -l'. Если
зловред попытается изменить файл - то тем самым себя скомпрометирует, и
можно будет отловить, где же он там сидит.

Лучше чем watch является решение с inotify, потому что можно повесить
триггер прямо на событие модификации файла (IN_MODIFY). К сожалению,
API inotify не даёт pid процесса, который производит обращение к файлу,
но зато реакция настолько быстрая, что можно успеть просканировать
дескрипторы в /proc и найти вредителя. Только нужно понимать, что
руткиты имеют обыкновение подменять системный утиль, чтобы прятаться,
так что нужно сканировать надёжными средствами, лучше своим кодом.
Для организации триггеров inotify можно взять пакет incron.

Более правильным решением был бы ядерный аудит, но я не знаю, как нынче
обстоят дела с ним в дебиане... вижу что auditd в репах имеется.
--
Eugene Berdnikov

Re: md5sum на packages.debian.org