🚀 go-pugleaf

Wojciech Malek <wmalek@cst.tpsa.pl> pisze:

> Wydawalo mi sie, ze zablokowanie portu jest nieco latwiejsze
> ale sie przeliczylem :)
> To co podpowiadal Krzysztof nie sprawdza sie (juz to probowalem)
> wyciecie fingera nie uniemozliwia telnet na port 79
> i uzyskanie tej samej informacji.

Skoro już zostałem wezwany do odpowiedzi, chciałbym doprowadzić
sprawę do końca i być może rozwiązać problem Wojciecha.

Z tego co rozumiem, chciałbyś aby użytkownicy innych komputerów nie
mogli zasięgnąć informacji o użytkowniach Twojego host'a za pomocą
programu finger.  (Użytkowicy lokalni i tak mogą zdobyć te informacje
w inny sposób.)  Zablokowałeś więc w jakiś sposób komendę finger,
ale okazało się, że da się obejść to zabezpieczenie wykonując telnet
na port 79.

Chyba zdajesz sobie sprawę, że pomijając już opisane powyżej
obejście, zastosowane przez Ciebie rozwiązanie po prostu nie
ma sensu.  Poprosisz administratorów wszystkich komputerów w
Internet'cie, żeby i oni zablokowali polecenie finger?

Rozwiązanie wygląda inaczej.  Ale na początek trochę teorii...
(Wiadomo, że nie ma nic bardziej praktycznego od dobrej teorii. :-)
).  Usługa finger oparta jest na architekturze klient - server.
Klient to w UNIX'ie polecenie finger, serwer zaś to w Solaris'ie
daemon in.fingerd.  Daemon ten uruchamiany jest przez innego daemon'a
- inetd.  Zauważyłeś już, że standardowego klienta można zastąpić
czym innym, byle tylko stosować rozumiany przez serwer protokół.
A nie jest on za bardzo skomplikowany...

Tak więc jedynym sposobem jest wyłączenie serwera.
Dokładnie wystarczy spowodować, żeby daemon in.fingerd nie był
uruchamiany przez inetd.  inetd konfiguruje się w pliku tekstowym
'/etc/inet/inetd.conf'.  W pliku tym odszukaj linię zaczynającą się
od słowa 'finger' i okomentuj ją (to znaczy wstaw na jej początku
znak '#').  Aby poinformować inetd o dokonanych w tym pliku zmianach,
musisz mu posłać sygnał 'HUP'.  Możesz to zrobić wykonując jako
root taką oto dosyć skomplikowaną komendę:

kill -HUP `ps efa|grep inetd|grep -v grep|awk '{print $2}'`

Zwróć uwagę na wygląd apostrfów!  Ewentualnie po prostu z'reboot'uj
komputer.

Teraz już możesz finger'ować czy telnet'ować się na port 79.  Zamiast
spodziewanych informacji dostaniesz komunikat: "Connection refused".

Gdybyś w przyszłości chciał umożliwić pewnym komputerom finger'owanie
Twojego, a pewnym nie, rozejrzyj się za popularnym programem TCP
wrapper.

Powodzenia!

-Kszychu
--
Krzysztof Góźdź  System Engineer  E-mail: krzysztof.gozdz@altar.com.pl
WWW: http://www.altar.com.pl/~kszychu
Przedsiębiorstwo Informatyczno - Konsultingowe "Altar" Sp. z o. o.
E-mail: info@altar.com.pl  WWW: http://www.altar.com.pl