101 filmów czyli VOD i promocja Żywca

W sklepie zobaczyłem na opakowaniu Żywca 1 piwo = 1 film, co przesądziło o zakupie. Może nie miałem wielkiej ochoty na Żywca, ale uchodzi, a stwierdziłem, że dawno nie zaglądałem na portale VOD. Ostatnio jak patrzyłem, to dominowała chała i nie działało pod Linuksem. Stwierdziłem, że w najgorszym wypadku dam kody znajomym, ale pewnie i tak znajdą się jakieś filmy, które można zobaczyć, najwyżej nie na podstawowym kompie.

Zatem kupiłem czteropak. Wizyta na portalu 101filmow.pl, żeby zobaczyć co dają i upewnić się, że na Linuksie nie zadziała. Jeśli chodzi o pierwszą część, to miło się rozczarowałem oferowanym repertuarem. Filmy zdecydowanie do obejrzenia – i trochę w miarę nowych, i trochę klasyki, i parę ambitniejszych. Jeśli chodzi o część drugą, to przeczytałem wymagania, nic o Linuksie nie znalazłem (ani o wymogu Windows), ale gdzieś mignęło mi, że część filmów nie działa na platformach mobilnych. Czyli jakieś ciężkie DRM, czyli zapomnij o Linuksie. Potem doczytałem na vod.pl, że wymagany jest Windows. Oczywiście planowałem zgłosić błąd (skoro na 101filmow.pl nic nie piszą, że na Linuksie nie działa), ale później okazało się, że część filmów (bez zabezpieczeń) działa.

Jednak nie uprzedzajmy faktów. Zarejestrowałem konto (na jakiś tymczasowy adres), wklepałem kody. Nawet fajnie rozwiązane. Jedyny zgrzyt, który się pojawił to termin ważności kodów do 28. lutego. No c’mon… Drugi zgrzyt to 48h na obejrzenie. Niby dużo i pewnie chodzi o to, by nie dzielić się kodami zanadto, ale… inne mam wymagania już. Na jeden wieczór może film się nie zmieścić, drugiego coś może wypaść… 72h to IMHO minimum, no dobra, 50h. 😉

Na pierwszy rzut poleciał Jak zostać królem, który kiedyś widziałem (a młoda nie). Po włączeniu pierwsze rozczarowanie: nie można wybrać wersji innej, niż z lektorem dostarczonej przez wydawcę. Znaczy: nic nie można wybrać; jak jest lektor, to jest lektor i kropka, jak napisy (rzadkość), to napisy. Ejże, to już nawet chyba na wszystkich(?) kanałach jest, przynajmniej z satki… Druga sprawa: jakość. Pomiarów jeszcze nie robiłem, ale wygląda to na ekranie komputera, jak… kiedyś na telewizorze kineskopowym, czyli okolice PAL. Okolice 480p na YouTube. Jak na dzisiejsze czasy – trochę słabo. Tym bardziej, że net przyzwoity (realnie ~15-20 Mbps do kompa), więc spokojnie weszłoby w znacznie lepszej rozdzielczości.

Najgorsze jednak okazał się zaciachy. Pierwszy w piątej, minucie, kolejny w ósmej. Wkurzyłem się, zrestartowałem przeglądarkę i… pomogło, a raczej, prawie pomogło, bo jeszcze jedna ścinka pod koniec była. Następnego dnia sprawdziłem pod Linuksem i… film też działał. Nie trzeba mieć Silverlighta, wystarczy Flash… Na dodatek się nie ciął. Z innymi filmami było podobnie. Nie wiem czy kwestia serwisu, czy systemu, czy np. ilości wolnego miejsca na dysku (jest mało, rzędu 2 GB). Jeśli nawet to ostatnie, to oczekiwałbym informacji o niewystarczających zasobach od odtwarzacza… Uznam jednak (brzytwa Ockhama), że to wina systemu.

Ogólnie mam mieszane uczucia. Z jednej strony darowanemu koniowi w zęby się nie zagląda, z drugiej bardzo średni produkt dają, jak na dzisiejsze czasy. Najbardziej chyba obowiązkowy lektor mnie rozczarował. Ogólnie: 4/10.

UPDATE: Włoski dla początkujących już nie działa pod Linuksem, czyli na 101filmow.pl nie wszystkie są „przyjazne” – Flash nie starczy, trzeba mieć Silverlight. Za to zaciachów na nim nie stwierdzono (póki co, bo to połowa).

UPDATE2: Niektóre filmy jakby lepiej wyglądają, więc może opinia o jakości była pochopna. Niektóre płatne filmy są poprzedzone reklamą. Spotkałem raz, krótka i nienachalna reklama filmu Hiszpanka w kinie, ale jednak. Last but not least – część filmów na vod.pl jest dostępna za darmo, bez żadnych kodów.

Iptables TARPIT, czyli spowolnij boty

Jak wiadomo, nie jestem fanem malware i raczej staram się uprzykrzać życie botom i spamerom. Nic wielkiego: a to zrobię miejsce, gdzie boty mogą znaleźć wiele adresów email, a to zwykły spam do SpamCopa wyślę, a to boty próbujące zgadnąć hasła SSH metodą bruteforce zgłoszę do blocklist.de. No i właśnie o botach atakujących SSH tym razem będzie.

Poprzedni wpis był o dziwnych wpisach w auth.log i choć już prawdopodobnie sama konfiguracja serwera powodowała zaangażowanie botów, z którego nie miały pożytku, to, jak zapowiedziałem w komentarzach,  postanowiłem pójść o krok dalej.

Otóż iptables pozwala nie tylko na odrzucenie połączenia (DROP, REJECT), ale – co prawda nie w podstawowej wersji – także na udawanie nawiązania połączenia przy pomocy TARPIT. Jeśli chodzi o szczegóły, to odsyłam do tego artykułu, a w skrócie: połączenie przychodzące do serwera jest nawiązane, dane nie są przesyłane, nie jest honorowane zakończenie połączenia, musi dojść do timeoutu po stronie klienta (bota). Czyli bot traci zasoby na komunikację, która się nie odbywa. Zużywa ich więcej, niż gdyby po stronie serwera był w iptables REJECT czy DROP.

Aby zainstalować TARPIT w Debianie, potrzebujemy źródeł kernela oraz pakietu xtables-addons-dkms. Pierwsze możemy zainstalować przez:

apt-get install linux-headers-`uname -r`

Przy okazji powinny doinstalować gadżety typu GCC, które za moment będą potrzebne. Natomiast właściwy pakiet instalujemy oczywiście przez:

apt-get install xtables-addons-dkms

Jeśli wszystko poszło OK, to zostaną zbudowane stosowne moduły dla aktualnie uruchomionego kernela i można korzystać w iptables z -j TARPIT.

Oczywiście to nie wszystko, co można zrobić z TARPIT. Inne, związane z utrudnieniem skanowania itp. można znaleźć na stronie projektu LaBrea. Polecam lekturę.

Proste rozwiązanie dla tych, którzy przenieśli SSH na inny port, niż standardowy, to utworzenie reguły:

iptables -A INPUT -p tcp -m tcp --dport 22 -j TARPIT

Wszystkie boty próbujące bruteforce na standardowym porcie 22 ugrzęzną tu na chwilkę. 😉

Linki:

  1. Slow Down Internet Worms With Tarpits
  2. LaBrea: „Sticky” Honeypot and IDS
  3. Debian TARPIT iptables How To

Dziwne wpisy w auth.log, czyli coś nowego na SSH

Jedną z maszynek mam wystawioną do netu z SSH na standardowym, 22 porcie[1]. Głównie w celu zbierania śmieci (i zgłaszania ich do blocklist.de). Zerknąłem na /var/log/auth.log i zobaczyłem masę nietypowych wpisów typu:

Jan  8 19:41:28 xxx sshd[32002]: Connection closed by 195.130.253.159 [preauth]Jan  8 19:46:52 xxx sshd[32298]: Connection closed by 195.130.253.159 [preauth]Jan  8 19:52:16 xxx sshd[32645]: Connection closed by 195.130.253.159 [preauth]

Są to jedyne wpisy w logach dotyczące tych IP. IP jest stosunkowo niewiele, połączenia zwykle co kilka minut. Brak śladów po próbie logowania. Wydaje mi się, że wcześniej tego nie było, przynajmniej nie aż tyle. Logi mam od 7 grudnia, wygląda, że zjawisko zaczęło się w okolicy 11 grudnia, a apogeum miało miejsce na przełomie roku:

zegrep -h "Connection closed by .*preauth" /var/log/auth.log* | awk '{print $1" "$2}' | sort | uniq -c | sort -n      1 Dec 11      1 Dec 12      1 Dec 21      1 Dec 8      2 Dec 18      4 Dec 17     10 Dec 26     19 Dec 16     43 Dec 14     75 Dec 22    150 Jan 4    155 Jan 8    159 Dec 24    209 Dec 15    214 Dec 27    267 Jan 5    303 Jan 7    360 Dec 28    381 Jan 3    445 Dec 29    446 Jan 6    717 Dec 30    905 Jan 2   1041 Jan 1   1132 Dec 31

Jeśli chodzi o rozkład IP, to na moim serwerze wygląda to następująco (tylko ponad 100 wystąpień prezentuję):

zegrep -h "Connection closed by .*preauth" /var/log/auth.log* | awk '{print $9}' | sort | uniq -c | sort -n | egrep "[0-9][0-9][0-9]    113 128.199.252.25    147 121.78.147.217    159 195.154.226.100    358 195.130.253.159    416 118.98.43.33    684 37.187.119.89   1378 76.74.157.51   1416 112.216.92.44   1883 112.107.2.154

Kolejnych 13 IP ma powyżej 10 wystąpień.

Jeśli chodzi o kraje, to raczej malware’owy standard (dla >10 wystąpień):

zegrep -h "Connection closed by .*preauth" /var/log/auth.log* | awk '{print $9}' | sort | uniq -c | sort -n | egrep "[0-9][0-9] " | awk '{print $2}' | xargs -L1 geoiplookup | sort | uniq -c | sort -n      1 GeoIP Country Edition: AR, Argentina      1 GeoIP Country Edition: AT, Austria      1 GeoIP Country Edition: GB, United Kingdom      1 GeoIP Country Edition: ID, Indonesia      1 GeoIP Country Edition: IT, Italy      1 GeoIP Country Edition: NL, Netherlands      1 GeoIP Country Edition: RU, Russian Federation      2 GeoIP Country Edition: FR, France      2 GeoIP Country Edition: IP Address not found      3 GeoIP Country Edition: CN, China      3 GeoIP Country Edition: KR, Korea, Republic of      5 GeoIP Country Edition: US, United States

Ktoś się orientuje o co chodzi? Jakiś nowy atak? Błąd w skryptach od bruteforce w którymś botnecie?

UPDATE Dzięki pomocy ludzi z #z3s udało się ustalić, że tego typu wpisy w logach pojawią się, jeśli nawiąże się połączenie tylko w celu pobrania obsługiwanych sposobów szyfrowania (i rozłączy się po ich otrzymaniu). Nie tłumaczy to oczywiście, czemu połączenia się powtarzają. Padła sugestia, że może jakiś głupi bot wykłada się na nietypowej konfiguracji – host nie ma domyślnego konfiga SSH, tylko wdrożone zalecenia z bettercrypto.org (polecam, swoją drogą).

[1] Ponieważ było to pierwsze pytanie, jakie dostałem, to dopiszę: tak, celowo, tak nie mam tu innego portu/fail2ban/knockd, choć każda z tych metod pewnie eliminuje 99% skanów. Jestem świadomy możliwości nie oglądania tego typu rzeczy, ale tu chcę je widzieć.