[sisyphus] кто пишет в /etc/iftab ?

[sisyphus] кто пишет в /etc/iftab ?

[Artem Zolochevskiy]

hi all

после upgrade-a что-то странно с сетью началось.
выяснилось, что какая-та нехорошая редиска понаписала маки в
/etc/iftab

А у меня там свои уже были прописаны -- в итоге сеть оказалась
неработоспособной.

вот что там в итоге:
dsl mac 00:19:66:16:df:6b
lan mac 00:e0:4c:77:16:45
ath0    mac 00:19:5b:7a:27:39
bluetooth   mac 00:0c:76:d4:0a:ef
qlinux  mac 6e:be:17:f5:1c:3e
eth2    mac 00:1a:92:d6:16:75
eth1    mac 00:e0:4c:77:16:45
eth0    mac 00:1a:92:d6:16:75
wifi    mac 00:1a:92:d6:16:75

как видно есть дубляжи, добавленные какой-то автоматикой.


-- 
Artem Zolochevskiy
Kaliningrad, Russia
JID: az@jabber.org

Re: [sisyphus] кто пишет в ... (was: /etc/iftab ?)

[Peter V. Saveliev]

В сообщении от Thursday 25 October 2007 11:43:33 Artem Zolochevskiy 
написал(а):
> hi all
>
> после upgrade-a что-то странно с сетью началось.
> выяснилось, что какая-та нехорошая редиска понаписала маки в
> /etc/iftab
<skip >

У меня вопрос шире. Как узнать, кто пишет в файл? Inotify не позволяет 
получить pid процесса, и, насколько я понимаю, да и по любому это анализ 
post-mortem.

Знает ли кто-нибудь проксирующий fuse-модуль с возможностью блокировки записи 
выбранных файлов?

...

Вопрос не праздный. Какая-то <skip /> дважды меняла мне /etc/tcb/.../shadow 
без моего ведома. При этом машина в инет смотрит через snat, chkrootkit 
ничего не находит, rpm -Va не принёс открытий, в процессах подозрительного 
нет, а логах тоже ничего, следов подчистки логов не наблюдается.

Ситуация кинетически неприятная, а потенциально же просто опасная.

-- 
Peter V. Saveliev

Re: [sisyphus] кто пишет в ... (was: /etc/iftab ?)

[Denis Medvedev]

А если у вас ext3 - попробуйте поставить атрибут immutable на этот файл?
Его не так-то просто снимать...
сhattr +i 


-----Original Message-----
From: "Peter V. Saveliev" <peet@altlinux.ru>
To: ALT Linux Sisyphus discussions <sisyphus@lists.altlinux.org>
Date: Thu, 25 Oct 2007 12:46:31 +0400
Subject: Re: [sisyphus] кто пишет в ... (was: /etc/iftab ?)

> В сообщении от Thursday 25 October 2007 11:43:33 Artem Zolochevskiy 
> написал(а):
> > hi all
> >
> > после upgrade-a что-то странно с сетью началось.
> > выяснилось, что какая-та нехорошая редиска понаписала маки в
> > /etc/iftab
> <skip >
> 
> У меня вопрос шире. Как узнать, кто пишет в файл? Inotify не позволяет 
> получить pid процесса, и, насколько я понимаю, да и по любому это анализ 
> post-mortem.
> 
> Знает ли кто-нибудь проксирующий fuse-модуль с возможностью блокировки записи 
> выбранных файлов?
> 
> ...
> 
> Вопрос не праздный. Какая-то <skip /> дважды меняла мне /etc/tcb/.../shadow 
> без моего ведома. При этом машина в инет смотрит через snat, chkrootkit 
> ничего не находит, rpm -Va не принёс открытий, в процессах подозрительного 
> нет, а логах тоже ничего, следов подчистки логов не наблюдается.
> 
> Ситуация кинетически неприятная, а потенциально же просто опасная.
> 
> -- 
> Peter V. Saveliev
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sisyphus

Re: [sisyphus] кто пишет в ... (was: /etc/iftab ?)

[Peter V. Saveliev]

В сообщении от Thursday 25 October 2007 12:50:21 Denis Medvedev написал(а):
> А если у вас ext3 - попробуйте поставить атрибут immutable на этот файл?
> Его не так-то просто снимать...
> сhattr +i
<skip />

Это-то не проблема, я могу на крайний случай этот раздел в read-only завести 
весь, ибо не так часто мне надо что-то менять в etc, а кроме etc на корне у 
меня нет ничего, требующего rw.

Но задача-то выяснить конкретную виновную софтину и повесить мегабаг.

Потому что покамест подземный стук получается.

-- 
Peter V. Saveliev

Re: [sisyphus] кто пишет в /etc/iftab ?

[Алексей Шенцев]

В сообщении от Thursday 25 October 2007 11:43:33 Artem Zolochevskiy 
написал(а):
> hi all
>
> после upgrade-a что-то странно с сетью началось.
> выяснилось, что какая-та нехорошая редиска понаписала маки в
> /etc/iftab
>
> А у меня там свои уже были прописаны -- в итоге сеть оказалась
> неработоспособной.
>
> вот что там в итоге:
> dsl mac 00:19:66:16:df:6b
> lan mac 00:e0:4c:77:16:45
> ath0    mac 00:19:5b:7a:27:39
> bluetooth   mac 00:0c:76:d4:0a:ef
> qlinux  mac 6e:be:17:f5:1c:3e
> eth2    mac 00:1a:92:d6:16:75
> eth1    mac 00:e0:4c:77:16:45
> eth0    mac 00:1a:92:d6:16:75
> wifi    mac 00:1a:92:d6:16:75
>
> как видно есть дубляжи, добавленные какой-то автоматикой.

Интересно интересно получается:
[root@oasu3 /]# ls /etc/iftab*
/etc/iftab
[root@oasu3 /]# cat /etc/iftab
eth0    mac 00:a0:d2:05:59:2c
[root@oasu3 /]# rpm -qf /etc/iftab
предупреждение: файл /etc/iftab не принадлежит ни одному из пакетов
[root@oasu3 /]#

Т.е. этот файл не принадлежит ни какому пакету. Тогда кто его создаёт? И там 
прописаны настройки сетевухи. Если не ошибусь этот файл создаёт etcnet при 
отсутствии /etc/net/iftab . И если существует /etc/net/iftab, то берутся 
данные из него, а не из /etc/iftab. Пусть меня поправят знатоки, а особенно 
разработчики etcnet, если я не прав.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [sisyphus] кто пишет в /etc/iftab ?

[Epiphanov Sergei]

В порядке бреда попробовать заглянуть в файл

/etc/net/scripts/contrib/initconf

-- 
С уважением, Епифанов Сергей

Re: [sisyphus] кто пишет в /etc/iftab ?

[Андрей Черепанов]

25 октября 2007 Artem Zolochevskiy написал:
> hi all
>
> после upgrade-a что-то странно с сетью началось.
> выяснилось, что какая-та нехорошая редиска понаписала маки в
> /etc/iftab
>
> А у меня там свои уже были прописаны -- в итоге сеть оказалась
> неработоспособной.
>
> вот что там в итоге:
> dsl mac 00:19:66:16:df:6b
> lan mac 00:e0:4c:77:16:45
> ath0    mac 00:19:5b:7a:27:39
> bluetooth   mac 00:0c:76:d4:0a:ef
> qlinux  mac 6e:be:17:f5:1c:3e
> eth2    mac 00:1a:92:d6:16:75
> eth1    mac 00:e0:4c:77:16:45
> eth0    mac 00:1a:92:d6:16:75
> wifi    mac 00:1a:92:d6:16:75
>
> как видно есть дубляжи, добавленные какой-то автоматикой.
Это злобный конфигуратор сети и старый etcnet. Буду тестировать 
https://bugzilla.altlinux.org/show_bug.cgi?id=12951

-- 
Андрей Черепанов
ALT Linux
cas@altlinux.ru

Re: [sisyphus] кто пишет в /etc/iftab ?

[Алексей Шенцев]

В сообщении от Thursday 25 October 2007 15:58:13 Epiphanov Sergei написал(а):
> В порядке бреда попробовать заглянуть в файл
> /etc/net/scripts/contrib/initconf
[root@oasu3 /]# cat /etc/net/scripts/contrib/initconf | grep iftab
IFTAB=/etc/net/iftab
[root@oasu3 /]#
[root@oasu3 /]# cat /etc/net/scripts/contrib/initconf | grep IFTAB
IFTAB=/etc/net/iftab
                                                store $IFTAB "# Generated 
by /etc/net initconf script\n$iface mac $LLADDR\n"
                                        store $IFACEDIR/$iface/options "# If 
you want to change current interface name, edit $IFTAB,\n# rename current 
directory and uncomment this line:\n#TYPE=eth\n"
                                                        store $IFTAB "# 
Generated by /etc/net initconf script\n#$iface driver $MODULE\n"
[root@oasu3 /]#

Как я вижу /etc/net/scripts/contrib/initconf использует именно /etc/net/iftab 
и ни шагу в сторону.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [sisyphus] кто пишет в ...

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 415 bytes --]

Peter V. Saveliev пишет:

<skipped/>

> У меня вопрос шире. Как узнать, кто пишет в файл? Inotify не позволяет 
> получить pid процесса, и, насколько я понимаю, да и по любому это анализ 
> post-mortem.

http://www.cyberciti.biz/tips/linux-audit-files-to-see-who-made-changes-to-a-file.html
В Сизифе есть.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@altlinux.org
JID:     vitaly.ostanin@gmail.com


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 252 bytes --]

Re: [sisyphus] кто пишет в /etc/iftab ?

[Stanislav Ievlev]

Пишет alterator-net-eth, но делает это похоже не правильно, ибо проверяет
совпадения только по имени ...

Видимо вы очень активно занимались творчеством
с именами интерфейсов, а он методично фиксировал его результаты ;)

Я попробую усовершенствовать процесс, а вы напишите мне в bugzilla письмо,
чтобы я ничего не забыл ;)

On Thu, Oct 25, 2007 at 10:43:33AM +0300, Artem Zolochevskiy wrote:
> hi all
> 
> после upgrade-a что-то странно с сетью началось.
> выяснилось, что какая-та нехорошая редиска понаписала маки в
> /etc/iftab
> 
> А у меня там свои уже были прописаны -- в итоге сеть оказалась
> неработоспособной.
> 
> вот что там в итоге:
> dsl mac 00:19:66:16:df:6b
> lan mac 00:e0:4c:77:16:45
> ath0    mac 00:19:5b:7a:27:39
> bluetooth   mac 00:0c:76:d4:0a:ef
> qlinux  mac 6e:be:17:f5:1c:3e
> eth2    mac 00:1a:92:d6:16:75
> eth1    mac 00:e0:4c:77:16:45
> eth0    mac 00:1a:92:d6:16:75
> wifi    mac 00:1a:92:d6:16:75
> 
> как видно есть дубляжи, добавленные какой-то автоматикой.
> 
> 
> -- 
> Artem Zolochevskiy
> Kaliningrad, Russia
> JID: az@jabber.org
> 
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sisyphus

Re: [sisyphus] кто пишет в /etc/iftab ?

[Pavlov Konstantin]

[-- Attachment #1: Type: text/plain, Size: 767 bytes --]

On Fri, Oct 26, 2007 at 03:28:45PM +0400, Stanislav Ievlev wrote:
> Скажу точнее ... то что на момент работы alterator-net-eth имена всё-таки
> не были такими как записано в /etc/iftab - это не знаю чья проблема.
> 
> А то что alterator не удалил эти старые имена и просто записал рядом новые
> - это проблема alterator-net-eth.
> 
> Поскольку он просто фиксирует в iftab всё по факту, то видимо ему стоит
> сначала удалить все строчки с тем же именем, а потом ещё в добавок все
> строчки с тем же mac - это будет справедливо ;)

еще и наверно с businfo, если alterator-net-eth это поддерживает.

-- 
> Если вставить в спек пустую секцию %clean, то указанная очистка будет
> происходить?
Да, только, пожалуйста, не делайте этого.
		-- ldv in devel@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] кто пишет в /etc/iftab ?

[Stanislav Ievlev]

Скажу точнее ... то что на момент работы alterator-net-eth имена всё-таки
не были такими как записано в /etc/iftab - это не знаю чья проблема.

А то что alterator не удалил эти старые имена и просто записал рядом новые
- это проблема alterator-net-eth.

Поскольку он просто фиксирует в iftab всё по факту, то видимо ему стоит
сначала удалить все строчки с тем же именем, а потом ещё в добавок все
строчки с тем же mac - это будет справедливо ;)


On Fri, Oct 26, 2007 at 03:23:53PM +0400, Stanislav Ievlev wrote:
> Пишет alterator-net-eth, но делает это похоже не правильно, ибо проверяет
> совпадения только по имени ...
> 
> Видимо вы очень активно занимались творчеством
> с именами интерфейсов, а он методично фиксировал его результаты ;)
> 
> Я попробую усовершенствовать процесс, а вы напишите мне в bugzilla письмо,
> чтобы я ничего не забыл ;)
> 
> On Thu, Oct 25, 2007 at 10:43:33AM +0300, Artem Zolochevskiy wrote:
> > hi all
> > 
> > после upgrade-a что-то странно с сетью началось.
> > выяснилось, что какая-та нехорошая редиска понаписала маки в
> > /etc/iftab
> > 
> > А у меня там свои уже были прописаны -- в итоге сеть оказалась
> > неработоспособной.
> > 
> > вот что там в итоге:
> > dsl mac 00:19:66:16:df:6b
> > lan mac 00:e0:4c:77:16:45
> > ath0    mac 00:19:5b:7a:27:39
> > bluetooth   mac 00:0c:76:d4:0a:ef
> > qlinux  mac 6e:be:17:f5:1c:3e
> > eth2    mac 00:1a:92:d6:16:75
> > eth1    mac 00:e0:4c:77:16:45
> > eth0    mac 00:1a:92:d6:16:75
> > wifi    mac 00:1a:92:d6:16:75
> > 
> > как видно есть дубляжи, добавленные какой-то автоматикой.
> > 
> > 
> > -- 
> > Artem Zolochevskiy
> > Kaliningrad, Russia
> > JID: az@jabber.org
> > 
> > _______________________________________________
> > Sisyphus mailing list
> > Sisyphus@lists.altlinux.org
> > https://lists.altlinux.org/mailman/listinfo/sisyphus
> _______________________________________________
> Sisyphus mailing list
> Sisyphus@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sisyphus

Re: [sisyphus] кто пишет в /etc/iftab ?

[Pavlov Konstantin]

[-- Attachment #1: Type: text/plain, Size: 1196 bytes --]

On Fri, Oct 26, 2007 at 03:34:08PM +0400, Stanislav Ievlev wrote:
> On Fri, Oct 26, 2007 at 03:25:46PM +0400, Pavlov Konstantin wrote:
> > On Fri, Oct 26, 2007 at 03:28:45PM +0400, Stanislav Ievlev wrote:
> > > Скажу точнее ... то что на момент работы alterator-net-eth имена всё-таки
> > > не были такими как записано в /etc/iftab - это не знаю чья проблема.
> > > 
> > > А то что alterator не удалил эти старые имена и просто записал рядом новые
> > > - это проблема alterator-net-eth.
> > > 
> > > Поскольку он просто фиксирует в iftab всё по факту, то видимо ему стоит
> > > сначала удалить все строчки с тем же именем, а потом ещё в добавок все
> > > строчки с тем же mac - это будет справедливо ;)
> > 
> > еще и наверно с businfo, если alterator-net-eth это поддерживает.
> М ... попробую ... а что это и как это выяснить?

  businfo bus information
      Matches the Bus Information of the interface with the specified bus information. The Bus Information of
      the interface can be shown using ethtool -i(8).

-- 
> Проще. Но всё лениво :)
"Не верь трудолюбивому Админу! Ибо только лень заставит его
настроить систему раз и навсегда!"
		-- wrar in community@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] кто пишет в /etc/iftab ?

[Stanislav Ievlev]

On Fri, Oct 26, 2007 at 03:25:46PM +0400, Pavlov Konstantin wrote:
> On Fri, Oct 26, 2007 at 03:28:45PM +0400, Stanislav Ievlev wrote:
> > Скажу точнее ... то что на момент работы alterator-net-eth имена всё-таки
> > не были такими как записано в /etc/iftab - это не знаю чья проблема.
> > 
> > А то что alterator не удалил эти старые имена и просто записал рядом новые
> > - это проблема alterator-net-eth.
> > 
> > Поскольку он просто фиксирует в iftab всё по факту, то видимо ему стоит
> > сначала удалить все строчки с тем же именем, а потом ещё в добавок все
> > строчки с тем же mac - это будет справедливо ;)
> 
> еще и наверно с businfo, если alterator-net-eth это поддерживает.
М ... попробую ... а что это и как это выяснить?

Re: [sisyphus] кто пишет в ... (was: /etc/iftab ?)

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 469 bytes --]

On Thu, Oct 25, 2007 at 12:46:31PM +0400, Peter V. Saveliev wrote:
> В сообщении от Thursday 25 October 2007 11:43:33 Artem Zolochevskiy 
> написал(а):
> > hi all
> >
> > после upgrade-a что-то странно с сетью началось.
> > выяснилось, что какая-та нехорошая редиска понаписала маки в
> > /etc/iftab
> <skip >
> 
> У меня вопрос шире. Как узнать, кто пишет в файл?

Интереснее узнать, кто его открывает на запись, верно?
audit тебе поможет.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] кто пишет в ... (was: /etc/iftab ?)

[Peter V. Saveliev]

В сообщении от Sunday 28 October 2007 17:32:47 Dmitry V. Levin написал(а):
> On Thu, Oct 25, 2007 at 12:46:31PM +0400, Peter V. Saveliev wrote:
> > В сообщении от Thursday 25 October 2007 11:43:33 Artem Zolochevskiy
> >
> > написал(а):
> > > hi all
> > >
> > > после upgrade-a что-то странно с сетью началось.
> > > выяснилось, что какая-та нехорошая редиска понаписала маки в
> > > /etc/iftab
> >
> > <skip >
> >
> > У меня вопрос шире. Как узнать, кто пишет в файл?
>
> Интереснее узнать, кто его открывает на запись, верно?
> audit тебе поможет.

Да, мне Vyt уже помог советом. Потрясающая штука. Уже думаю, как под её надзор 
отдать кучу всего важного.

-- 
Peter V. Saveliev

Re: [sisyphus] кто пишет в /etc/iftab ?

[Artem Zolochevskiy]

Stanislav Ievlev wrote:

> Скажу точнее ... то что на момент работы alterator-net-eth имена всё-таки
> не были такими как записано в /etc/iftab - это не знаю чья проблема.
> 
> А то что alterator не удалил эти старые имена и просто записал рядом новые
> - это проблема alterator-net-eth.
> 
> Поскольку он просто фиксирует в iftab всё по факту, то видимо ему стоит
> сначала удалить все строчки с тем же именем, а потом ещё в добавок все
> строчки с тем же mac - это будет справедливо ;)
> 
> 

Я не очень понял кто тут виноват. Скажу только, что я
использую /etc/net/iftab. /etc/iftab меня не интересовал вообще (осмеюсь
предположить, что если там что-0то и было, то всё заремарено). И то что в
этом фале что-то появляется, да ещё и в раскоментированном виде ... это
явно "что-то не то".


-- 
Artem Zolochevskiy
Kaliningrad, Russia
JID: az@jabber.org