Debian or not to be ? 2.0 » http

Serveur HTTP Python en une ligne..

Crashdump — Fri, 24 Apr 2009 22:21:29 +0000

Un « irc friend » – fo0 en l’occurrence – m’as demandé récemment comment comment créer un petit serveur web en python, rapidement pour pouvoir partager ponctuellement des fichiers & tester du dev. Et bien c’est faisable en une courte ligne:

1	python -c 'import SimpleHTTPServer;SimpleHTTPServer.test()'

Ca lance un petit serveur http sur le port 8000, partageant les fichiers du répertoire courant. Pointez vôtre navigateur sur http://127.0.0.1:8000/ et vous servira le fichier index.html si il existe, sinon il listera le répertoire courant. Et il bavera toutes les infos sur le stdout, exemple:

1
2
3
4
5

$ python -c 'import SimpleHTTPServer;SimpleHTTPServer.test()'
Serving HTTP on 0.0.0.0 port 8000 ...
localhost - - [25/Apr/2009 00:01:27] "GET / HTTP/1.1" 200 -
localhost - - [25/Apr/2009 00:01:38] "GET /Documents/ HTTP/1.1" 200 -
localhost - - [25/Apr/2009 00:01:44] "GET /Documents/test.txt HTTP/1.1" 200 -

De plus il est « chrooté » au répertoire dans lequel vous l’aurez lancé – essayer d’accéder a http://127.0.0.1:8000/../ vous laissera dans le répertoire courant.

Voilà pour la petite astuce du soir..

Maj du 29 Avril 2009: Vu sur http://www.tux-planet.fr, une version encore plus simple:

1	python -m SimpleHTTPServer

Maj du 04 Mai 2009: Voici une version multithreadé et pas beaucoup plus compliquée:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

#!/usr/bin/env python
# -*- coding: utf-8 -*-
import SocketServer
import BaseHTTPServer
import sys, os
import CGIHTTPServer
port = 8000
class ThreadingCGIServer(SocketServer.ThreadingMixIn, BaseHTTPServer.HTTPServer):
pass
server = ThreadingCGIServer(('', port), CGIHTTPServer.CGIHTTPRequestHandler)
print "Serveur demarre sur le port %s." % port
try:
while 1:
sys.stdout.flush()
server.handle_request()
except KeyboardInterrupt:
print "Fini !"

Remplacer le firmware de la fonera avec dd-wrt (sous Mac)

Crashdump — Mon, 08 Sep 2008 14:28:05 +0000

Attention, ce tutoriel ne concerne que les versions de firmware 0.7.1r2 ou plus récent.

Dans ce tutoriel je vais ~~essayer~~ vous expliquer comment flasher sa Fonera avec le firmware DD-WRT avec votre Mac préféré. DD-WRT, C’est quoi ? Tout simplement firmware alternatif qui vous apporte pleins de fonctions: un mode client en wifi, système de hotspot (Chilli) et encore pleins d’autres choses.. en plus il est gratuit. Pourquoi s’en priver ?

Ce dont vous aurez besoin

Un câble ethernet (RJ45, Droit): pour connecter la Fonera à votre machine,

Final version

Release Candidate

openwrt-ar531x-2.4-vmlinux-CAMICIA.lzma

out.hex

~~Un serveur http~~

~~Un serveur tftp~~

~~Un client SSH, Telnet~~

Attention, il est important de télécharger ces fichiers avant de commencer ce tutoriel car vous n’aurez plus de connexion a internet pendant la procédure… Sauf si vous avez plusieurs machines.. ;)

Vérifier la version de la fonera

1. Procédure de reset:
- Maintenez le bouton reset 30s,
- Débranchez/retranchez l’alimentation tout en maintenant le reset,
- Continuez a appuyer dessus jusqu’à ce que la led wifi s’allume puis s’éteigne (2-3 minutes),
- Relâchez (enfin) le reset puis attendez (encore) 2-3 minutes que la led wifi s’allume de nouveau.

2. Connecter: Pour cela on va brancher la Fonera directement à l’ordinateur en RJ45 puis configurer l’adresse Ip de la carte Ethernet en: 169.254.255.2/255.255.0.0 (la fonera ayant l’adresse: 169.254.255.1).
3. Récupérer la version: Ouvrez votre navigateur et tapez dans la barre d’adresse « http://169.254.255.1″
4. Si un login/mdp vous est demandé entrez:
- login: root
- pass: admin

Exploiter RADIUS pour obtenir un accès SSH

A chaque démarrage de la fonera elle se connecte a un serveur RADIUS (/usr/sbin/chilli_radconfig) pour télécharger la configuration la plus récente (/etc/chilli.conf).
FON a pris des précautions pour sécuriser l’utilisation du serveur SSH mais n’a pas fait de même pour leur serveur RADIUS, nous allons exploiter cette faille en se connectant à un serveur spoofé qui va nous permettre d’avoir la main sur cette petite bête..
Pour cela nous allons devoir faire pointer la Fonera sur un serveur DNS qui redirigera l’adresse « radius01.fon.com » vers un serveur RADIUS « Non-officiel » sur lequel elle récupérera un fichier config a notre sauce.

En résumé. Donc tout ce que l’on a à faire c’est configurer la Fonera pour qu’elle pointe sur le DNS: « 88.198.165.155″ ce qui redirigera « radius01.fon.com » sur « kolofonium.datenbruch.de » (qui est un serveur Radius « pirate »).

1. Ouvrez votre navigateur et tapez dans la barre d’adresse « http://169.254.255.1″
2. Allez dans « advanced » et entrez les paramètres réseau avec:
- Ip: une Ip valide derrière votre Box internet (ex: 192.168.3.20, chez moi)
- Network Mask: 255.255.255.0
- Gateway: L’Ip de votre Box Internet. (ex: 192.168.3.242, chez moi)
- DNS: 88.198.165.155

3. Connectez la Fonera directement a un des ports ethernet de votre box internet,
4. Redémarrez enfin la Fonera puis attendez quelques minutes pour la redémarrer à nouveau.

La modification touche le fichier « /etc/raddb/users », le nouveau contient:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

chillispot Auth-Type = External
Exec-Program-Wait = "/etc/raddb/fonera.sh",
CHILLICONF = "radiusserver1 radius01.fon.com",
CHILLICONF = "radiusserver2 radius02.fon.com",
CHILLICONF = "radiussecret garrafon",
CHILLICONF = "dhcpif eth1",
CHILLICONF = "uamsecret garrafon",
CHILLICONF = "uamanydns",
CHILLICONF = "uamallowed www.martinvarsavsky.net,www.google.com,www.flickr.com,static.flickr.com,video.google.com,216.239.51.0/24,66.249.81.0/24",
CHILLICONF = "uamallowed www.fon.com,www.paypal.com,www.paypalobjects.com,www.skype.com,66.249.93.0/24,72.14.207.0/24,72.14.209.0/24,84.96.67.0/24,213.91.9.0/24,80.118.99.0/24",
CHILLICONF = "uamallowed shop.fon.co.kr,secure.nuguya.com,inilite.inicis.com,fon-en.custhelp.com,maps.fon.com,c20.statcounter.com",
CHILLICONF = "uamserver https://login.fon.com/cp/index.php",
CHILLICONF = "# Greetings from Michael and Stefan",
CHILLICONF = "# http://mrmuh.blogspot.com/ & http://stefans.datenbruch.de/lafonera/",
CHILLICONF = "uamallowed stefans.datenbruch.de",
CHILLICONF = "ipup /etc/init.d/dropbear",
Fall-Through = 0

On notera la ligne « ipup /etc/init.d/dropbear »: C’est elle qui lance le serveur SSH des que l’interface « publique » est démarrée.

Se connecter a notre joli serveur SSH

1. Reconnectez la Fonera a votre machine par l’interface Ethernet (rappel ip: 169.254.255.1)

2. Ouvrez un Terminal (Applications > Terminal) et tapez:

1	# ssh root@169.254.255.1

3. On accepte la clé et on entre le mot de passe « admin »

4. Yeepee, on est dedans :)

5. Activer le SSH en permanence:

1	# mv /etc/init.d/dropbear /etc/init.d/S50dropbear

Configurer notre serveur HTTP

1. Rendez-vous dans vos « Préférences systèmes » puis dans « Partage », Activez le « Partage web ». Notez l’url du bas, (ici: http://mac.local/~rzo ou http://169.254.5.199/~rzo) Vous trouverez votre Ip dans les préférences réseau de OSX, la mienne est « 169.254.5.199″

2. Puis mettez les 2 fichiers téléchargé plus tôt dans le répertoire de partage web de votre utilisateur (/Users/’nomUtilisateur’/Sites/)
- openwrt-ar531x-2.4-vmlinux-CAMICIA.lzma
- out.hex

Accès à la mtd

1. On récupère nos fichiers sur la Fonera:

1 2	# cd /tmp # wget http://169.254.5.199/~username/openwrt-ar531x-2.4-vmlinux-CAMICIA.lzma

2. On flashe avec le firmware modifié, ce qui nous permet un accès à la mtd:

1 2	# mtd -e vmlinux.bin.l7 write openwrt-ar531x-2.4-vmlinux-CAMICIA.lzma vmlinux.bin.l7 # reboot

Soyez patients, cela peut prendre du temps…

3. on se reconnecte en SSH et on lui applique le out.hex (fichier config redboot)

1
2
3
4

# cd /tmp
# wget http://169.254.5.199/~username/out.hex
# mtd -e "RedBoot config" write out.hex "RedBoot config"
# reboot

Attention, si vous avez l’erreur: « Could not open mtd device » assurez vous d’avoir tapé la commande en respectant les majuscules, c’est case sensitive.

Configurer le serveur tftp

1. Entrez dans un Terminal: (dans mon cas il existait déjà.. vérifiez quand même..)

1	sudo mkdir /private/tftpboot

2. Copiez le firmware de dd-wrt à la racine du serveur tftp (linux.bin):
- Déplacez le fichier sur le bureau.
- Tapez:

1	sudo cp ~/Desktop/linux.bin /private/tftpboot/

3. On démarre le serveur tfp, tapez:

1	sudo /sbin/service tftp start

Quand on touche au but..

NOTA: A ce stade la Fonera ne peux pas démarrer correctement, c’est normal – et indispensable – le répertoire FIS est complètement effacé. Par contre nous pouvons toujours nous connecter au RedBoot, pour cela:

1. Configurez votre carte Ethernet pour avoir l’Ip: 192.168.1.10

2. Préparez un Terminal avec la ligne suivante: Ne tapez pas entrée tout de suite !

1	$ telnet 192.168.1.254 9000

3. Débranchez et rebranchez l’alimentation de la Fonera, puis validez la commande ci-dessus dans les 10 secondes qui suivent le branchement.
NOTE: Le pre-boot de la Fonera peut prendre du temps, n’hésitez pas à retaper la commande plusieurs fois.. (Tips: Flèche haut).

4. On a le shell, on configure le réseau. qui va pointer sur notre serveur tftp:

1	> ip_address -l 192.168.1.254/24 -h 192.168.1.10

5. Puis on flashe ! Répondez « y » quand on vous pose des questions.

1
2
3

> fis init
> load -r -b 0x80041000 linux.bin
> fis create linux

Ces commandes sont très longues a exécuter, ne vous affolez pas ! (« fis create linux » a pris 30 minutes chez moi…).
Ne pas rebooter ensuite, il va falloir modifier le script de démarrage !

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

RedBoot> fconfig
Run script at boot: true
Boot script:
.. fis load -l vmlinux.bin.l7
.. exec
Enter script, terminate with empty line
>> fis load -l linux
>> exec
>>
Boot script timeout (1000ms resolution): 10
Use BOOTP for network configuration: false
Gateway IP address:
Local IP address: 192.168.1.254
Local IP address mask: 255.255.255.0
Default server IP address:
Console baud rate: 9600
GDB connection port: 9000
Force console for special debug messages: false
Network debug at boot time: false
Update RedBoot non-volatile configuration - continue (y/n)? y
... Erase from 0xa87e0000-0xa87f0000: .
... Program from 0x80ff0000-0x81000000 at 0xa87e0000: .
RedBoot>reset

Voilà, vous y êtes, redémarrez la Fonera, configurez votre réseau ethernet (ou wifi) en DHCP puis lancez un navigateur sur l’url: http://192.168.1.1. Félicitation.

NOTE: l’utilisateur/mot de passe est le même. login: root, mdp: admin

Installer Fail2Ban 0.8.x sur une Deb’

Crashdump — Sun, 17 Jun 2007 11:23:26 +0000

Voici un moyen d’installer fail2ban (0.8.0-2) sur une Debian Etch. Ca intéressera les gens qui comme moi en ont marre des logs auth.log au kilomètre et aussi par souci de sécurité, évidemment.

On peux installer fail2ban après avoir maj les listes de packages

1 2	# apt-get update # apt-get install fail2ban

Passons à la config fail2ban. Depuis je ne sais plus quelle version elle ne se fait plusdans le fichier jail.conf (j’ai d »ailleurs galéré car tous les tutos sur le net parlent de ce fichier). Elle se fera dans un fichier jail.local qui supplante les instructions de jail.conf, Ce dernier pouvant être modifié par une Maj…
Voici donc mon fichier jail.conf, qui est – je le rapelle car c’est très important – le seul a modifier !

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39

# Fail2Ban conf for aemeth.org
# par Adrien Pujol
#----- CONFIGURATION GENERALE ------------------------------------------#
[DEFAULT]
# Adresse mail ou envoyer les informations
destemail = thepolux@gmail.com
# White list
ignoreip = 127.0.0.1
# Reglages par défaut !
bantime = 3600
maxretry = 3
findtime = 300
# Backend
backend = polling
# Ban action ..
banaction = iptables-multiport
# Action par défaut !
action = %(action_mwl)s
#----- SERVICES A SURVEILLER -----------------------------------#
[ssh]
enabled = true
[apache]
enabled = true
maxretry = 5
[apache-noscript]
enabled = true
port = http
filter = apache-noscript
logpath = /var/log/apache*/*error.log
maxretry = 6
[proftpd]
enabled = true
logpath = /var/log/auth.log
[postfix]
enabled = true
[courierauth]
enabled = true
[sasl]
enabled = true

C’est ici mon fichier de config, ajusté en fonction de mes besoins… ce n’est pas forcément ce qu’il vous faut ! Ajustez en conséquence !
Tout est suffisament commenté pour que je n’ai pas besoin d’en dire plus ;)

On redémarre fail2ban-client :

1
2
3

# fail2ban-client stop
Shutdown successful
# fail2ban-client start

On vérifie comme ceci :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24

# fail2ban-client -d
['set', 'loglevel', 3]
['set', 'logtarget', '/var/log/fail2ban.log']
['add', 'apache-noscript', 'polling']
['set', 'apache-noscript', 'addlogpath', '/var/log/apache2/error.log']
['set', 'apache-noscript', 'addlogpath', '/var/log/apache2/files_error.log']
['set', 'apache-noscript', 'maxretry', 6]
['set', 'apache-noscript', 'addignoreip', '127.0.0.1']
['set', 'apache-noscript', 'findtime', 300]
['set', 'apache-noscript', 'bantime', 3600]
...
[Fail2Ban] : started" ']
['set', 'courierauth', 'actionunban', 'mail-whois-lines', '']
['set', 'courierauth', 'actioncheck', 'mail-whois-lines', '']
['set', 'courierauth', 'setcinfo', 'mail-whois-lines', 'dest', 'thepolux@gmail.com']
['set', 'courierauth', 'setcinfo', 'mail-whois-lines', 'logpath', '/var/log/mail.log']
['set', 'courierauth', 'setcinfo', 'mail-whois-lines', 'name', 'courierauth']
['start', 'apache-noscript']
['start', 'postfix']
['start', 'proftpd']
['start', 'ssh']
['start', 'sasl']
['start', 'apache']
['start', 'courierauth']

Et encore comme ça:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

# iptables -L | grep fail2ban
fail2ban-courierauth tcp -- anywhere anywhere multiport dports smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s
fail2ban-apache tcp -- anywhere anywhere multiport dports www,https
fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh,sftp
fail2ban-proftpd tcp -- anywhere anywhere multiport dports ftp,ftp-data,ftps,ftps-data
fail2ban-postfix tcp -- anywhere anywhere multiport dports smtp,ssmtp
fail2ban-courierauth tcp -- anywhere anywhere multiport dports smtp,ssmtp,imap2,imap3,imaps,pop3,pop3s
fail2ban-apache tcp -- anywhere anywhere multiport dports www,https
fail2ban-ssh tcp -- anywhere anywhere multiport dports ssh,sftp
fail2ban-couriersmtp tcp -- anywhere anywhere multiport dports smtp,ssmtp
fail2ban-ssh-ddos tcp -- anywhere anywhere multiport dports ssh,sftp
fail2ban-proftpd tcp -- anywhere anywhere multiport dports ftp,ftp-data,ftps,ftps-data
fail2ban-postfix tcp -- anywhere anywhere multiport dports smtp,ssmtp
fail2ban-apache-noscript tcp -- anywhere anywhere multiport dports www,https
Chain fail2ban-apache (2 references)
Chain fail2ban-apache-noscript (1 references)
Chain fail2ban-courierauth (2 references)
Chain fail2ban-couriersmtp (1 references)
Chain fail2ban-postfix (2 references)
Chain fail2ban-proftpd (2 references)
Chain fail2ban-ssh (2 references)
Chain fail2ban-ssh-ddos (1 references)

Ok, ça roule ! :]