tjun memo面白いこと探してます。

debian(ubuntu)で弱いパスワードの人を見つける(LDAP編)

とあるサーバでユーザアカウントが乗っ取られて攻撃の踏み台に使われるという被害にあったので、対策のためパスワードの強度のチェックを行いました。

LDAPで複数サーバのアカウントを管理するシステムだったので、作業はLDAPのmasterで行いました。


まず、パスワードチェックに用いるのはjohnというソフト
aptで入ります。

$sudo apt-get install john

LDAPを使っていないならば、あとは

• John the Ripper でパスワードをチェックする – いますぐ実践! Linuxシステム管理 / Vol.168

を参考にするとできると思います。


で、LDAP使ってる場合、パスワードファイルを引いてこなければならないので、まずはLDAPの情報を
/etc/ldap/ldap.conf　か　/etc/ldap/slapd.conf　と　/etc/ldap.secret
あたりを参照して、baseDNとadminDNとldappasswdを取得します。

base: dc=test,dc=example,dc=com
admin: dn=ldapadmin,dc=test,dc=example,dc=com
passwd: *******

のような感じです。

次に（もしかしたら必要ないかもしれませんが）

$sudo apt-get install libnet-ldap-perl 

をやって、perlからldapを扱うライブラリを入れます。


そして、

• Getting John the ripper to run with LDAP SSHA passwords – Hanne’s Blog – Bastard Operator in Heaven

からスクリプトをコピーして、先ほどメモしたbaseやpasswdを埋め、適当な名前で保存します。

（同じ動作をすると思われるプログラムが/usr/share/doc/john/examples/ldap-extractにもありますが、引数でパスワードを渡すのは嫌なので、使いませんでした。）

そのプログラムを使って

$ ./ldap-extract.pl > ldap_passwd

のようにしてやると、うまくいけばldap_passwdの中に

user1:{crypt}abcdefghi...:
user2:{crypt}123456778...:

のような感じの文字列が並びます。


こうしてできたファイルをjohnで解析します。

• シンプルなチェック
これで引っかかる人はかなり弱いパスワードだと思われます。


$ john -single ldap_passwd



• 辞書を用いたチェック
辞書はデフォルトのやつがたぶん /usr/share/john/password.lst　にあると思うのですが、日本用の辞書もどこからか入手できます（どこから持ってきたのか忘れてしまいました）


$ john -wordfile=/usr/share/john/password.lst ldap_passwd



• 徹底的に調べる
どうしても知りたいなら、時間をかけてこれをやるのがいいらしいですが、時間がかかるのでユーザ名を指定した方がよさそうです。


$ john -incremental -users=[user1] ldap_passwd

解析にてパスワードが分かると、

john -show ldap_passwd

で見ることができるようです。


悪用しないように。

Tags: linux, security

apt-get で保留されるパッケージのアップグレード

ubuntuサーバを使っていて

$ sudo apt-get update
$ sudo apt-get upgrade

をやると，
「以下のパッケージは保留されます」
と出ていくつかインストールできないことがあります．

これは，再起動が必要であったり依存関係で削除されるファイルや設定があったり，ということで保留されるようです。
でもサーバ再起動する前などにインストールしちゃいたい時は，

$ sudo apt-get -s dist-upgrade

で確認できて

$ sudo apt-get dist-upgrade

でインストールできます．

Tags: linux, server, ubuntu

プログラムの行数をかぞえる

忘れていたのでメモ。

たとえばc言語で，ディレクトリに**.hだとか**.cだとかを複数おいているときに，

ターミナルで

$ wc -l *.[hc]

とやると複数のプログラムの行数をまとめて数えることができる。．

c言語じゃなければ，

$ wc -l *.java

とか．

wcはワードカウント． -l（小文字のエル）オプションは行数だけ，という意味だと思う．今度からたまに使ってみる．

Tags: linux, programming

duとdfは違う

管理してるサーバのログのディレクトリが一杯で、

df -h

やると95%くらい。

apacheのログを別の場所に移動して、duで見るとサイズが減ってるんだけど、df で見るとサイズが変わらない。

どうもプロセス(apache)に使用中と判断されているためにdfには反映されないらしい。apacheを再起動したら大丈夫でした。

Tags: linux

各サブディレクトリのサイズを見る

Linuxで，どのディレクトリが大きいのかを見たいときのコマンド．

忘れそうなのでメモ．

du -sh *

-h はサイズを読みやすい形式（MとかGとか）に変換してくれるオプション．
-s はサマリー．これをやらないと全ての子ディレクトリが表示されちゃう．




パーティション毎のサイズを見るのは

df -h

です．

Tags: linux