🥇Linux Quest. Grattis till vinnarna och vi berättar om lösningarna på uppgifterna

25 mars öppnade vi anmälan till Linux Quest, ett spel för entusiaster och experter inom operativsystemet Linux. Lite statistik: 1117 personer registrerade sig för spelet, av dem hittade 317 minst en nyckel, 241 klarade uppgift ett, 123 klarade det andra steget och 70 gick vidare till den tredje nivån. Idag avslutades vårt spel, och vi gratulerar våra vinnare!

Första plats togs av Alexander Teldikov.
Alexander sade om sig själv att han är den mest typiska systemadministratören. Han bor i Volgograd och har administrerat olika Unix-liknande system i nästan tjugo år. Han har arbetat för internetleverantörer, en bank och en systemintegratör. Just nu arbetar han på distans för ett litet företag, där han hanterar molninfrastruktur för en stor utländsk kund. Han gillar att läsa, lyssna på musik. Angående spelet sa Alexander att han överlag gillade det och att han älskar sådana uppgifter. På en intervju hos ett företag fick han göra något liknande Hackerrank, vilket var intressant.
Andra platsen – Roman Suslov.
Roman är från Moskva. Han är 37 år gammal. Han arbetar som Linux/Unix-engineer på företaget "Infosystemy Jet". I sitt arbete sysslar han med administration och felsökning av Linux/Unix-system + SAN. Hans intressen är mycket varierade: Linux-system, programmering, reverse engineering, informationssäkerhet, Arduino. Angående spelet noterade Roman att han överlag gillade det. "Jag fick lite motion för hjärnan och avledde mig från den grå vardagen. 🙂 Jag skulle vilja ha fler uppgifter, för när jag väl kom i gång var spelet redan slut."
Tredje plats – alex3d.
Alex bor i Moskva och arbetar med mjukvaruutveckling. "Tack för tävlingen, det var intressant att testa min google-fu-färdighet."

Även bland de tio bästa spelarna finns:

Yevgeniy Saldayev
Markel Moxnachevsky
Konstantin Konosov
Pavel Sergeev
Vladimir Bovaev
Ivan Bubnov
Pavlo Klets

Vi förstår att det finns många sätt att lösa våra uppgifter, nedan beskrivs några av möjliga lösningar.

1. Första steget

Vi kallade det "Är du verkligen admin?", eftersom uppgiften var ganska enkel – att fixa en gammal tjänst.

1.1. Intressanta fakta:

Två spelare hittade den första nyckeln inom de första 15 minuterna av spelet, och inom den första timmen hade vi tre ledare som klarade uppgiften.

1.2. Uppgift

Du har börjat arbeta på ett företag där det under lång tid inte har funnits en skicklig IT-specialist. Innan du börjar organisera kan du behöva lösa det brådskande problemet som blockerar kontorets arbete.

Städaren råkade trampa på strömkabeln till serverrummet. Strömmen har återställts, men en mycket viktig webbplats fungerar fortfarande inte. Webbplatsen är viktig eftersom företaget inte är särskilt bekymrat över informationssäkerhet, och på hemsidan kan man öppet hitta administratörens lösenord till vd:ns dator.

Nyligen byttes lösenordet, men det nya har glömts bort, och direktören kan inte arbeta. Det går rykten om att det på denna maskin fanns nycklar som kan hjälpa oss att dekryptera säkerhetskopiorna av bokföringsdokumenten.

Alla väntar på en snabb lösning på problemet!

1.3. Lösning

1. Först och främst måste vi ändra root-lösenordet på den virtuella maskinen för att få åtkomst till den. När vi startar ser vi att det är Ubuntu 16.04 Server.

För att återställa root-lösenordet startar vi om maskinen, vid uppstarten, under visningen av grub-menyn, går vi in i redigeringsläge för Ubuntu genom att trycka på «e». Vi redigerar raden linux och lägger till i slutet init=/bin/bash. Vi bootar genom Ctrl+x och kommer till bash. Vi remountar root med rw, och ändrar lösenordet:

$ mount -o remount,rw /dev/mapper/ubuntu--vg-root
$ passwd

Glöm inte sync, vi startar om.

2. Enligt villkoren fungerar inte webbservern, vi kollar:

$ curl localhost
Not Found
Den begärda URL:en / hittades inte på denna server.
Apache/2.4.18

Det betyder att Apache faktiskt är igång men svarar med kod 404. Vi tittar på konfigurationen:

$ vim /etc/apache2/sites-enabled/000-default.conf

Här finns nyckeln — StevenPaulSteveJobs.

Vi kontrollerar sökvägen /usr/share/WordPress — den finns inte, men det finns /usr/share/wordpress. Vi rättar till konfigurationen och startar om Apache.

$ systemctl restart apache2

3. Vi testar igen och får ett felmeddelande:

Warning: mysqli_real_connect(): (HY000/2002): Anslutningen vägrades i /usr/share/wordpress/wp-includes/wp-db.php på rad 1488

Är databasen inte igång?

$ systemctl status mysql
Aktiv: aktiv (kör)

Vad kan felet vara? Vi behöver undersöka detta. För att göra det måste vi få åtkomst till MySQL, hur man gör det beskrivs i dokumentationen. En punkt i dokumentationen rekommenderar oss att ange alternativet skip-grant-tables på /etc/mysql/mysql.conf.d/mysqld.cnf. Här hittar vi också nyckeln — AugustaAdaKingByron.

Vi justerar rättigheterna för användaren 'wp'@'localhost'. Vi startar MySQL och gör den tillgänglig över nätverket genom att kommentera i konfigurationen alternativet skip-networking.

4. Efter dessa åtgärder startar webbservern, men webbplatsen fungerar fortfarande inte, eftersom

Varning: require_once(\/usr\/share\/wordpress\/wp-content\/themes\/twentysixteen\/footer.php): gick inte att öppna strömmen: Åtkomst nekad i \/usr\/share\/wordpress\/wp-includes\/template.php på rad 562

Vi ändrar rättigheterna för filen.

$ chmod 644 \/usr\/share\/wordpress\/wp-content\/themes\/twentysixteen\/footer.php

Vi uppdaterar sidan, går in på webbplatsen och finner nyckeln — BjarneStroustrup! Vi har funnit alla tre nycklar, vår chef kan arbeta, vi har dekrypterat bokföringsfilerna. Alla är glada, men du har mycket arbete framför dig med att fixa infrastrukturen, backuper och säkerhet i företaget.

2. Andra steget

Det behövdes en lösning för att samla in analys. Alla älskar analys — vem och varifrån och hur många som kommer. Vi kom på ett scenario som alla ingenjörer kan stöta på i livet i viss grad.

2.1. Intressanta fakta

En av våra spelare angav rätt nyckel inom de första 10 minuterna av spelet, och inom den första timmen hade vi en ledare som klarade uppgiften.

2.2. Uppgift

Du började arbeta på företaget, cheferna kom till dig och bad om att hitta till vem e-postmeddelanden skickades från Afrika. Du behöver bygga en topp-21 lista över mottagaradresser. De första bokstäverna i mottagaradresserna är nyckeln. Men det finns en hake: e-postservern via vilken meddelandena skickades, svarar inte. Alla väntar på en snabb lösning på problemet!

2.3. Lösning

1. Servern laddas inte på grund av en icke-existerande swap-partition i fstab, när systemet startas försöker det montera den och kraschar. Hur laddar man?

Vi laddar ner en bild, vi har laddat ner CentOS 7, vi startar från Live CD\/DVD (Troubleshooting -> Rescue), monterar systemet, ändrar /etc/fstab. Här hittar vi den första nyckeln — GottfriedWilhelm11646Leibniz!

Vi skapar en swap:

$ lvcreate -n swap centos -L 256M
$ sync && reboot

2. Som alltid finns det inget lösenord, vi behöver ändra root-lösenordet på den virtuella maskinen. Det har vi redan gjort i den första uppgiften. Vi ändrar och går framgångsrikt in på servern, men den går genast i omstart. Servern startar om så snabbt att man knappt hinner se alla loggar noggrant. Hur förstår man vad som händer?

Vi laddar igen från livecd, studerar systemets loggar noggrant och kollar av säkerhetsskäl i cron, eftersom det finns en sådan periodicitet. Där hittar vi problemet och den andra nyckeln — Alan1912MathisonTuring!

Vi behöver /etc/crontab ta bort eller kommentera raden echo b > \/proc\/sysrq-trigger.

3. Efter att servern har startat kan vi utföra chefernas uppdrag: "Vilka adresser finns i Afrika?" Denna information är övergripande offentligt tillgänglig. Den kan hittas på nätet med fraser som "ip address africa", "geoip database". För att lösa uppgiften kan vi använda fritt tillgängliga databaser för adressdistribution (geoip). Vi använde en databas som standard. MaxMind GeoLite2, tillgänglig under Creative Commons Attribution-ShareAlike 4.0-licensen.

Låt oss försöka lösa vår uppgift med hjälp av endast systemverktyg i Linux, men det finns egentligen många olika sätt att göra det: med hjälp av textfilterverktyg och skript på olika programmeringsspråk.

Först får vi bara par av "avsändar-IP – mottagare" från e-postloggen. /var/log/maillog (vi bygger en tabell över e-postmottagare – avsändar-IP). Detta kan göras med följande kommando:

$ cat /var/log/maillog | fgrep -e ' connect from' -e 'status=sent' | sed 's/[][]/ /g' | awk '/connect from/ {ip=$11} /status=sent/ {print $10" "ip}' > log1.txt

Innan vi fortsätter med att skapa databasen med adresser i Afrika, låt oss ta en titt på de topp IP-adresserna för avsändarna.

$ cat log1.txt | cut -d' ' -f1 | sort | uniq -c | sort -r | head -n 40
5206 L2JhbjAbM67GA99jg@mail.ru
4165 iHKTBkegOQa6fIALq@mail.ru
3739 nHkcBl7BdgXxijSYD7@mail.ru
3405 SMAzPJAzbl9vp4hAXo@mail.ru
3346 xILz6d7P@mail.ru

Bland alla sticker de tre första mottagarna i topp fram som de med flest e-postmeddelanden. Om vi grep-ar IP-adresserna för de avsändare som skickade till adresser från denna topp-3, kan vi märka en tydlig dominans av vissa nätverk:

$ cat log1.txt | fgrep 'L2JhbjAbM67GA99jg@mail.ru' | cut -d' ' -f2 | sort | cut -d'.' -f1 | uniq -c | sort -r | head
831 105
806 41
782 197
664 196
542 154
503 102
266 156
165 45
150 160
108 165

Största delen av nätverken 105/8, 41/8, 196/8, 197/8 tilldelas av AFRINIC — en av de fem regionala internetregistratorerna som ansvarar för distributionen av internetresurser. AFRINIC tilldelar adressutrymmet på det afrikanska territoriet. Och 41/8 tillhör AFRINIC helt.

https://www.nic.ru/whois/?searchWord=105.0.0.0
https://www.nic.ru/whois/?searchWord=41.0.0.0

Således finns svaret på uppgiften faktiskt i själva loggen.

$ cat log1.txt | fgrep -e '105.' -e '41.' -e '196.' -e '197.' -e '154.' -e '102.' | awk '{print $1}' | sort | uniq -c | sort -r | head -n 21
4209 L2JhbjAbM67GA99jg@mail.ru
3313 iHKTBkegOQa6fIALq@mail.ru
2704 nHkcBl7BdgXxijSYD7@mail.ru
2215 uvRbp1O@mail.ru
1774 sPmMsmmFiV@mail.ru
1448 BtG3aHgQgCKuze2AKuRH@mail.ru
1233 eQpuuQ2uQdbwRL3@mail.ru
958 nJT5dpaBZ@mail.ru
862 ef4WbQiB@mail.ru
762 dQCqKL6eVminFfH7wLA@mail.ru
632 ifq6Rd1HxuCQOdO9@mail.ru
539 cFwm2ssypMmx1sA7@mail.ru
531 twtTnr4G@mail.ru
431 TSrczgYASrR11Hs3qCi@mail.ru
380 o3r3exc3OL@mail.ru
357 rzmjr2VAHK@mail.ru
348 vnPr6YjJ3ndw@mail.ru
312 anOjFXrwOtLP2Rl1Vcz6@mail.ru
289 dvny5zHmRW8fiT@mail.ru
282 sgg9jPxFDYvzw8Kr@mail.ru
274 tKSevzA7GntJ@mail.ru

I det här skedet får vi strängen „LinuxBenedictTorvadst“.

Korrekt nyckel: „LinusBenedictTorvalds“.

Den erhållna strängen innehåller ett stavfel i förhållande till den korrekta nyckeln i de 3 sista tecknen. Detta beror på att de nätverk vi har valt inte helt täcker länderna i Afrika och på hur e-post är fördelad över IP-adresserna i vår logg.

Vid tillräcklig specificering av de största nätverken som tilldelats länderna i Afrika kan man få ett exakt svar:

$ cat log1.txt | fgrep -e '105.{30..255}. -e '41. -e '196.{64..47}. -e '196.{248..132}. -e '197.{160..31}. -e '154.{127..255}. -e '102.{70..255}. -e '156.{155..255}. | awk '{print $1}' | sort | uniq -c | sort -r | head -n 21
3350 L2JhbjAbM67GA99jg@mail.ru
2662 iHKTBkegOQa6fIALq@mail.ru
2105 nHkcBl7BdgXxijSYD7@mail.ru
1724 uvRbp1O@mail.ru
1376 sPmMsmmFiV@mail.ru
1092 BtG3aHgQgCKuze2AKuRH@mail.ru
849 eQpuuQ2uQdbwRL3@mail.ru
712 nJT5dpaBZ@mail.ru
584 ef4WbQiB@mail.ru
463 dQCqKL6eVminFfH7wLA@mail.ru
365 ifq6Rd1HxuCQOdO9@mail.ru
269 cFwm2ssypMmx1sA7@mail.ru
225 twtTnr4G@mail.ru
168 TSrczgYASrR11Hs3qCi@mail.ru
142 o3r3exc3OL@mail.ru
111 rzmjr2VAHK@mail.ru
 96 vnPr6YjJ3ndw@mail.ru
 78 anOjFXrwOtLP2Rl1Vcz6@mail.ru
 56 lHzWiB7ExvRtSbAcU9@mail.ru
 56 dvny5zHmRW8fiT@mail.ru
 40 sgg9jPxFDYvzw8Kr@mail.ru

Uppgiften kan också lösas på ett annat sätt.
Vi laddar ner MaxMind, packar upp den och följande tre kommandon löser också vårt problem.

$ cat GeoLite2-Country-Locations-ru.csv | grep "Afrika" | cut -d',' -f1 > africaIds.txt
$ grep -Ff africaIds.txt GeoLite2-Country-Blocks-IPv4.csv | cut -d',' -f1 > africaNetworks.txt
$ grepcidr -f africaNetworks.txt log1.txt | cut -d' ' -f1 | sort | uniq -c | sort -r | head -n21

På ett eller annat sätt har vi slutligen räknat statistiken och cheferna har fått den information de behöver för sitt arbete!

3. Tredje steget

Det tredje steget är på ett sätt likt det första — det krävs också att den varma lampservice repareras, men det är svårare än i den första uppgiften.

3.1. Intressanta fakta

Under de första 15 minuterna hittade tre spelare den första nyckeln, efter 2 timmar och 20 minuter efter att steget började klarade vår vinnare uppgiften.

3.2. Uppgift

Du började arbeta för ett företag där alla företagets dokument lagras på den interna Wiki-servern. Förra året beställde en ingenjör 3 nya diskar till servern utöver en befintlig, motiverat av att för att uppnå systemets redundans måste man sätta diskar i vissa matriser. Tyvärr, några veckor efter att de installerades, åkte ingenjören på semester till Indien och återvände inte.

Flera år fungerade servern utan problem, men för några dagar sedan blev företagets nätverk hackat. Enligt instruktionerna tog säkerhetspersonalen ut diskarna från servern och skickade dem till dig. Under transporten förlorades en disk för alltid.

Det är nödvändigt att återställa Wiki-funktionaliteten, framförallt intresserar vi oss för innehållet på wiki-sidorna. En viss bit text som fanns på en av sidorna i denna wiki är ett lösenord till servern 1C och behövs akut för dess upplåsning.

Dessutom fanns det någonstans på wiki-sidorna eller på något annat ställe lösenord till loggservern och övervakningsservern, som också helst bör återställas, utan dem är det omöjligt att undersöka incidenten. Som vanligt förväntar man sig en snabb lösning på frågan!

3.3. Lösning

1. Vi försöker starta från de diskar vi har i tur och ordning och får samma meddelande överallt:

No bootable medium found! System halted

Vi måste starta från något. Återigen räddas vi av att starta från Live CD/DVD (Felsökning -> Återställning). Vid uppstart försöker vi hitta startpartitionen, men hittar ingen och hamnar i shell. Vi försöker studera vad som finns på diskarna. Det är känt att det finns tre. Verktygen för detta är fler i version 7 av CentOS, där det finns kommandon blkid eller lsblk, som visar oss all information om diskarna.

Vad vi gör:

$ ls /dev/sd*

Det är tydligt att

/dev/sdb1 - ext4
/dev/sdb2 - часть lvm
/dev/sda1 и /dev/sdc1 - части рейда
/dev/sda2 и /dev/sdc2 - про них ничего не известно на текущий момент

Vi monterar sdb1, och det är tydligt att detta är startpartitionen för CentOS 6.

$ mkdir /mnt/sdb1 && mount /dev/sdb1 /mnt/sdb1

Det är uppenbart att vi går till grub-partitionen och hittar där den första nyckeln — James191955Gosling i en ovanlig fil.

2. Vi studerar pvs och lvs, eftersom vi arbetar med LVM. Vi ser att det borde finnas 2 fysiska volymer, en hittas inte och klagar på förlorat uid. Vi ser att det borde finnas 2 logiska volymer: root och swap, och root är delvis förlorad (attributet P för volymen). Det går inte att montera, vilket är synd! Vi behöver den verkligen.

Det finns ytterligare 2 diskar, vi kollar på dem, samlar ihop och monterar:

$ mdadm --examine --verbose --scan
$ mdadm --assemble --verbose --scan
$ mkdir /mnt/md127 && mount /dev/md127 /mnt/md127

Vi kollar, det är tydligt att detta är startpartitionen för CentOS 6 och en kopia av det som redan finns på /dev/sdb1, och där igen den samma nyckeln — DennisBMacAlistairCRitchie!
Vi ser hur den är sammansatt /dev/md127.

$ mdadm --detail /dev/md127

Vi ser att den skulle ha samlats från 4 diskar, men har samlats från två /dev/sda1 och /dev/sdc1, de borde ha varit nummer 2 och 4 i systemet. Vi förmodar att /dev/sda2 och /dev/sdc2 man också kan samla ett arrangemang. Det är oklart varför det inte finns någon metadata på dem, men det ligger på samordnaren som någonstans i Goa. Vi förmodar att det bör vara RAID10 här, även om det finns alternativ. Vi samlar ihop:

$ mdadm --create --verbose /dev/md0 --assume-clean --level=10 --raid-devices=4 missing /dev/sda2 missing /dev/sdc2

Vi kollar blkid, pvs, lvs. Vi upptäcker att vi har samlat en fysisk volym som vi tidigare saknade.

Nu fungerar lvroot, vi monterar det, men först aktiverar vi VG:

$ vgchange -a y
$ mkdir /mnt/lvroot && mount /dev/mapper/vg_c6m1-lv_root /mnt/lvroot

Och allt finns där, inklusive nyckeln i hemkatalogen för root — /root/sweet.

3. Vi försöker fortfarande få igång vår server så att den startar normalt. Alla logiska volymer från vår /dev/md0 (där vi hittade allt) flyttas till /dev/sdb2, där hela servern ursprungligen arbetade.

$ pvmove /dev/md0 /dev/sdb2
$ vgreduce vg_c6m1 /dev/md0

Vi stänger av servern, tar bort den första och tredje disken, lämnar den andra, och startar upp med Live CD/DVD i Rescue. Vi hittar startpartitionen och återställer bootloadern i grub:

root (hd0,0)
setup (hd0)

Vi tar bort startskivan och startar framgångsrikt, men webbplatsen fungerar inte.

4. Det finns två sätt att starta webbplatsen: konfigurera Apache från grunden eller använda en redan förkonfigurerad nginx med php-fpm:

$ /etc/init.d/nginx start
$ /etc/init.d/php-fpm start

Till slut behöver vi starta MySQL:

$ /etc/init.d/mysqld start

Det startar inte, och ledtråden ligger i /var/log/mysql. Så snart du löser problemet med MySQL, kommer webbplatsen att fungera, och på startsidan kommer det att finnas en nyckel — RichardGCCMatthewGNUStallman! Nu har vi tillgång till 1C, och anställda kan få sin lön. Och du har som vanligt mycket arbete framför dig med att stabilisera infrastrukturen och säkerheten inom företaget.

Vi kan också dela med oss av listan med böcker som hjälpte oss och våra deltagare att förbereda sig för spelet: linux.mail.ru/books.

Tack för att ni var med oss! Håll utkik efter annonsering av nästa spel!

Källa: habr.com