Linux OS - info, how-to, pitanja, novosti, savjeti, problemi...

[tomek@vz]

Decki headsup!

Fresh off the presses, NVD doesn't even list this one yet (though they are overworked as hell). It's RCE as root for unauthenticated users that affects openssh in its default config for LoginGraceTime.
RedHat doesn't list it yet as 20:00 AEST/06:00 EST/10:00 GMT but debian has it on their bug tracker.
Here's Qualys' blog post about it with relevant version numbers

[medo]

Debiani i Ubuntachi su ujutro već bili auto patchirani. Redhate sam morao ručno. Jutarnja zabava do pauze za ručak.

Thx!

[yossariane]

Pozdrav
Kako pronaći proces ili program na mome linux mintu koji se pokušava spojiti na SSH moga routera? Skaniranje portova svakih 5 minuta mi izgleda sumnjivo. Evo malo loga pa ako možete pomoći bio bih zahvalan
Ovaj CRON je rsync dva foldera.

Jul  6 08:17:23 white sshd[338751]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:17:23 white sshd[338751]: Connection closed by 192.168.5.5 port 46056
Jul  6 08:22:23 white sshd[338920]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:22:23 white sshd[338920]: Connection closed by 192.168.5.5 port 46088
Jul  6 08:27:23 white sshd[339117]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:27:23 white sshd[339117]: Connection closed by 192.168.5.5 port 46122
Jul  6 08:30:01 white CRON[339129]: pam_unix(cron:session): session opened for user root(uid=0) by (uid=0)
Jul  6 08:30:01 white CRON[339129]: pam_unix(cron:session): session closed for user root
Jul  6 08:32:23 white sshd[339187]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:32:23 white sshd[339187]: Connection closed by 192.168.5.5 port 46156
Jul  6 08:37:23 white sshd[339371]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:37:23 white sshd[339371]: Connection closed by 192.168.5.5 port 46188
Jul  6 08:42:23 white sshd[339445]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:42:23 white sshd[339445]: Connection closed by 192.168.5.5 port 46222
Jul  6 08:47:23 white sshd[339615]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:47:23 white sshd[339615]: Connection closed by 192.168.5.5 port 46254
Jul  6 08:52:23 white sshd[339734]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:52:23 white sshd[339734]: Connection closed by 192.168.5.5 port 46286
Jul  6 08:57:23 white sshd[339878]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 08:57:23 white sshd[339878]: Connection closed by 192.168.5.5 port 46318
Jul  6 09:00:01 white CRON[339934]: pam_unix(cron:session): session opened for user root(uid=0) by (uid=0)
Jul  6 09:00:01 white CRON[339934]: pam_unix(cron:session): session closed for user root
Jul  6 09:02:23 white sshd[339998]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 09:02:23 white sshd[339998]: Connection closed by 192.168.5.5 port 46352
Jul  6 09:07:23 white sshd[340429]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 09:07:23 white sshd[340429]: Connection closed by 192.168.5.5 port 46386
Jul  6 09:12:23 white sshd[340534]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 09:12:23 white sshd[340534]: Connection closed by 192.168.5.5 port 46420
Jul  6 09:17:01 white CRON[340649]: pam_unix(cron:session): session opened for user root(uid=0) by (uid=0)
Jul  6 09:17:01 white CRON[340649]: pam_unix(cron:session): session closed for user root
Jul  6 09:17:23 white sshd[340660]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 09:17:23 white sshd[340660]: Connection closed by 192.168.5.5 port 46452
Jul  6 09:22:23 white sshd[340848]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 09:22:23 white sshd[340848]: Connection closed by 192.168.5.5 port 46486
Jul  6 09:27:23 white sshd[340895]: error: kex_exchange_identification: Connection closed by remote host
Jul  6 09:27:23 white sshd[340895]: Connection closed by 192.168.5.5 port 46516

[Nikky]

Možeš li ga detektirati po process id - u ?
Eventualno kao i u winsima, ubijaš process po process s tim da preskačeš ključne za sistem ??
Jeli imaš neki gui alat sa prikazom šta se sve starta sa sistemom ???

[tomek@vz]

Zasto bi se nesto sa Mint masine htjelo spajat? Kao sto Nikky kaze - moras izolirat proces. Sto si instalirao da bi se moglo spajat? Kad si prvi puta to uocio i sto je tad izmjenjeno? Pogledaj sa top/htop koji procesi su pokrenuti pa vidi jel ima kaj sumnjivog.

Van toga > kako si osigurao Linux kantu (barem SSH Hardening+Fail2Ban+Suricata)? Dali mozes ista na routeru po tom pitanju napraviti? Default SSH Port pretpostavljam da ne koristis?

[yossariane]

Autor Nikky

Možeš li ga detektirati po process id - u ?
Eventualno kao i u winsima, ubijaš process po process s tim da preskačeš ključne za sistem ??
Jeli imaš neki gui alat sa prikazom šta se sve starta sa sistemom ???

Neznam, kad bi znao ID znao bi i proces.
Previše kriptičnih imena vidim u sistem monitoru.
Imam, startup. Sad ću sve poisklučivati, pa javim.
I dalje se javlja ista greška

[yossariane]

Autor tomek@vz

Zasto bi se nesto sa Mint masine htjelo spajat? Kao sto Nikky kaze - moras izolirat proces. Sto si instalirao da bi se moglo spajat? Kad si prvi puta to uocio i sto je tad izmjenjeno? Pogledaj sa top/htop koji procesi su pokrenuti pa vidi jel ima kaj sumnjivog. Neznam kad se to pojavilo, nisam gledao log odavno.

Van toga > kako si osigurao Linux kantu (barem SSH Hardening+Fail2Ban+Suricata)? Dali mozes ista na routeru po tom pitanju napraviti? Default SSH Port pretpostavljam da ne koristis?

I meni je čudno zašto Mint hoće da sa spaja na ruter. Ako probam ssh na ruter dobijem

ssh: connect to host 192.168.5.5 port 22: Connection refused

procesi koji se vrte meni nisu sumnjivi, ali nisam stručan da znam što je sumnjivo a što ne. Ruter je Mikrotik hAp ax3 i koliko ja znam ssh 22
nije omogućen.

06.07.2024 18:07:16:953	postfix/smtpd	connect from _gateway[192.168.5.5]
06.07.2024 18:07:16:960	postfix/smtpd	lost connection after CONNECT from _gateway[192.168.5.5]
06.07.2024 18:07:16:960	postfix/smtpd	disconnect from _gateway[192.168.5.5] commands=0/0
06.07.2024 18:07:23:437	sshd	error: kex_exchange_identification: Connection closed by remote host
06.07.2024 18:07:23:437	sshd	Connection closed by 192.168.5.5 port 49976

Ima li ovo ikakve veze, otvara se malo prije greške?

[tomek@vz]

Autor yossariane

I meni je čudno zašto Mint hoće da sa spaja na ruter. Ako probam ssh na ruter dobijem

ssh: connect to host 192.168.5.5 port 22: Connection refused

procesi koji se vrte meni nisu sumnjivi, ali nisam stručan da znam što je sumnjivo a što ne. Ruter je Mikrotik hAp ax3 i koliko ja znam ssh 22
nije omogućen.

06.07.2024 18:07:16:953    postfix/smtpd    connect from _gateway[192.168.5.5]
06.07.2024 18:07:16:960    postfix/smtpd    lost connection after CONNECT from _gateway[192.168.5.5]
06.07.2024 18:07:16:960    postfix/smtpd    disconnect from _gateway[192.168.5.5] commands=0/0
06.07.2024 18:07:23:437    sshd    error: kex_exchange_identification: Connection closed by remote host
06.07.2024 18:07:23:437    sshd    Connection closed by 192.168.5.5 port 49976

Ima li ovo ikakve veze, otvara se malo prije greške?

Kaj vrtis Mail Server na toj kanti?

[yossariane]

Ne, obični Mint desktop.

[Dule]

Koliko vidim ovo uredno lupa svakih 5 minuta. Što imaš u crontabu ("crontab -l")?.

Probaj uhvatiti process id sa "netstat -plant" u trenutku dok je naredba aktivna.

[yossariane]

Autor Dule

Koliko vidim ovo uredno lupa svakih 5 minuta. Što imaš u crontabu ("crontab -l")?.
Probaj uhvatiti process id sa "netstat -plant" u trenutku dok je naredba aktivna.

Nema ništa u crontabu, samo cron u rsync. Ovo neznam kako će proći naredba je aktivna 1 sekundu, ako dobro shvaćam log.

[yossariane]

tcp6       0      0 :::22     :::*       LISTEN      1124/sshd: /usr/sbi

Ima li ovo neko značenje? Malo mi je čudno jer mi je ipv6 isključen u network manageru. I na ruteru je isti isključen?

[c-shadow]

Postfix kao MTA sigurno nije dio standardne Mint distre. To si vjerojatno nešto instalirao. Probaj npr. iz synaptica maknuti postfix paket da vidiš što će još otići s time... možda ti ga je instalirao kao dependency neki drugi paket.

[yossariane]

Autor c-shadow

Postfix kao MTA sigurno nije dio standardne Mint distre. To si vjerojatno nešto instalirao. Probaj npr. iz synaptica maknuti postfix paket da vidiš što će još otići s time... možda ti ga je instalirao kao dependency neki drugi paket.

Ne nije to. Više nema posfix info ali greška je tu i dalje.
Pitanje, što je ovaj process?
sshd -D[listener]0 of 10-100 startups

[c-shadow]

Pa valjda ssh server imaš dignut?
I di je sad mirakulozno nestao taj postfix? Nisi odgovorio jesi ga ti instalirao i koristiš ga ili ne?

[yossariane]

Autor c-shadow

Pa valjda ssh server imaš dignut?
I di je sad mirakulozno nestao taj postfix? Nisi odgovorio jesi ga ti instalirao i koristiš ga ili ne?

Deinstalirao sam ga i zato ga nema u infu. Izvini što to nisam rekao

[c-shadow]

Hm, nije baš obični Mint desktop kako si rekao: imao si mail server, imaš ssh server uključen. Više server nego desktop

Ovo će ti reći za startups, znači ssh server vjerojatno (proces sshd):

ps aux | grep startups

Da li imaš se potrebu spajati na taj komp preko ssh?
Ako ne, ugasi servis i deinstaliraj.

Sad kad si maknuo postfix, provjeri journal od ssh:

journalctl -u ssh

192.168.5.5 ti je adresa od routera i tvoj Mint se pokušava tamo spojiti?
Ili se s te adrese neki proces spaja na tvoj PC?


EDIT:
S obzirom da se to nešto kod tebe pokreće svakih 5 mini, ili je neki cron ili je systemd timer ili.... ili su u šumi kao u starom vicu
Za crontab ti je već rečeno, ali bi ga trebalo provjeriti za sve usere.

Za systemd:

 systemctl list-timers

Ako se to tvoje okida svakih 5 min onda je predvidivo, možeš s netstatom kako je kolega već rekao uloviti koji je to pid u trenutku kad se dogodi pa složiti skritpu koja će ti izvući i koji je proces.

[tomek@vz]

Pregledaj cron jobove. Mint sam po sebi to ne radi. Nesto si instalirao da se to dogada a mi nemamo carobnu kuglu da ti kazemo sto ako ti ne izjasnjavas punu istinu o tome sto radis sa tom kantom, sto je gore instalirano , da ne pricam o tome kolko je postfix tema cudna. Najprije nisi instalirao pa onda ipak jesi pa si deinstalirao...wtf??? Napisao si gore da syncas rsyncom nesto medu 2 stroja. Cronjob? Stroj na istoj mrezi ili negdje " na internetu"? Kako si to napravio i ponavljam pitanje odozgora:

1. SSH Hardening...?
2. Fail2Ban....?
3. Suricata...?

[Disco]

Nije mi jasno kako Linux iako dosta štedljivij sa resursima ne može na laptopima durat sa baterijom kao win? Imam instaliran TLP. Isti laptop sa win traje misli čak više nego duplo duže na bateriji.

I ima li kakve šanse da se BT ugasi i pali po potrebi u Mintu?
Ako ga ugasim, kod svakog restarta je ponovno upaljen.
Ako Mint ima neku varijantu device managera (GUI, ne terminal) mogu li tamo disableat BT, pa da ga enableam po potrebi?
HardInfo čini se samo pokazuje što je sve instalirano, nema nikakvog upravljanja i čini mi se da BT i WiFi tretira kao isti modul (što i je, ali win mogu trajno gasiti BT).

Ako sam ovo već pitao isprike, svako toliko me ponovno nanervira...

EDIT: Eh da, imam Mint i Ubuntu dual boot, mogu li ikako eliminirati Ubuntu bez da ubijem Mint?
Grub (da li se tako zove boot menu?) mi na prvo mjesto stavlja Mint pa mi se čini da sam njega prvog instalirao.
Htio bi ga maknut jer mi je Mint draži, a proširiti onda Mint particiju.

I da li je moguće kompletno maknut pass za usera?
EDIT: Moguće, maknuo sa sudo passwd -d username.
EDIT2: I onda instaliram Brave i on me kod prvog pokretanja pita za pass i prođe ovaj pobrisani pass..odlično

Hint: Totalni sam noob na Linuxu, pa mi treba dati mrvu jasnije korake ako je išta od ovoga moguće. Fala

[tomek@vz]

Autor Disco

Nije mi jasno kako Linux iako dosta štedljivij sa resursima ne može na laptopima durat sa baterijom kao win? Imam instaliran TLP. Isti laptop sa win traje misli čak više nego duplo duže na bateriji.

I ima li kakve šanse da se BT ugasi i pali po potrebi u Mintu?
Ako ga ugasim, kod svakog restarta je ponovno upaljen.
Ako Mint ima neku varijantu device managera mogu li tamo disableat BT, pa da ga enableam po potrebi?

Ako sam ovo već pitao isprike, svako toliko me ponovno nanervira...

Jer je Power Management na Linuxu losiji nego na Windowsu. Driveri nisu toliko optimirani. Uspio sam ga na lapu nategnut na 70% onoga sto dobivam na Windows 11 (Elitebook u sigu) ali hebaj ga. Linux tu jos debelo kaska za Windowsom. Kaj se tice BT koji je non stop upaljen - koje sucelje koristis? Ja sam to primjetio na KDE sucelju i isto me irititralo opasno no nisam se zamarao previse posto po defaultu koristim Gnome i tu nemam tih problema.

Nadalje - sto se micanja Ubuntu-a tice - jesi li radio UEFI ili klasicnu instalaciju? Ako je UEFI samo maknes Ubuntu particije i ubuntu folder unutar /boot/efi/EFI foldera (sa Minta) i puknes ovo u CLI kao root:

grub2-mkconfig -o /boot/efi/EFI/<mint folder>/grub.cfg

Mozda kod Minta moras grub-mkconfig lupit ako ti javi da gru2-mkconfig ne postoji, postoje diskrepance medu distrama a Mint vec duze nisam koristio pa nisam siguran. Ako je klasicna instalacija maknes Ubutnu particije i odrapis gore navedenu komandu ali ides na iducu putanju:

grub2-mkconfig -o /boot/grub/grub.cfg

Trece - user pass. Ne nemozes, ne zelis. Linux nije Windows. Ali ako te zanima Autologin kod boota (zavisi koje sucelje koristis, trebas dodat opciju u sddm ili gdm i vecina distri dopusta izmjene u GUI modu) i da u CLI te vise ne pita kad nesto zelis sa sudo odradit - to se da rijesit. Za ovo drugo:

<tvoj account> ALL=NOPASSWD: ALL

...u /etc/sudoers (taj fajl nikad sam ne korigiras nego editiras kroz visudo komandu kao root.

[Disco]

Pa vidiš da sam uspio maknut pass, ali izgleda da se ne miče skroz nego vj samo za lock screen. Autologin se namješta kod instalacije ako se dobro sjećam i to jesam napravio. Po terminalu ova -d komanda koju sam gore naveo kao briše pass, ali očito ne kako treba, no nebitno, riješio sam možda barem dio.

A za BT sam našao ovo na Mint forumu i stvarno radi, sada se lap starta sa ugašenim BT-om, a ja i dalje imam ikonu dole kraj sata i mogu ga paliti po želji, baš kako mi paše:

Just go into Menu and select startup Applications. At the bottom of that screen hit the "+" button and you will be asked if you wish to add a Custom or Select an application. Click custom and you will be presented with a form where you can enter your info. Enter whatever you like in Description field and rfkill block bluetooth in the command field, then click add.
This should solve your problem.... Blue tooth will be stopped at next startup and you can simply enable it by a right click on the Bluetooth icon on the panel.

Nije UEFI, mislim da me Lenovo nešto zezao pa sam išao na legacy...

A kad smo kod Lenova, lapovi su mi HW odlični (doslovno možeš tuć kamenje sa njima), ali ta idiotarija gdje ne možeš nikako napravit update BIOS-a bez win je baš loše...
Da u samom BIOSu nema update from USB, nego samo i jedino možeš flashat preko win app-a....

EDIT:
Evo maknuo Ubuntu po ovom savjetu: https://forums.linuxmint.com/viewtopic.php?t=310537
S time da uopće zapravo nisam trebao preko terminala istraživati na kojoj particiji je Ubuntu jer u grub meniju sam ispisuje da je u mom slučaju na SDA3.
Prvo sam kontrolu nad grubom prebacio na Mint za svaki slučaj, zatim sa gpartedom (preko live parted magica) izbrisao SDA3 i proširio Mintov SDA4 na puni kapacitet te ponovno u Mintu updateao grub da makne Ubuntu sa liste i to je to. easy-peasy. Sad ću baš izguglat kako ide kada je u kombinaciji sa win, pa micanje linuxa.

Fora mi je ovako mlatit praznu slamu, a usput i nešto naučiti...
Inače Ubuntu sam stavio jer ima bolji scaling od Minta, točnije, ako se poveća scaling na Mintu se iz nekog bizarnog razloga gasi vsync i onda me izluđuje ''kidanje'' slike kad pomičem prozore i slično. (u displayu treba označiti friction scaling)

Koristim Cinamon.

[tomek@vz]

Autor Disco

Pa vidiš da sam uspio maknut pass, ali izgleda da se ne miče skroz nego vj samo za lock screen. Autologin se namješta kod instalacije ako se dobro sjećam i to jesam napravio. Po terminalu ova -d komanda koju sam gore naveo kao briše pass, ali očito ne kako treba, no nebitno, riješio sam možda barem dio.

-d 
This is a quick way to delete a password for an account. It will set the named account passwordless. Available to root only.

Linux ce ti dopustiti da se upucas u nogu ako bas zelis. To ne znaci da je pametna ideja

[Disco]

Ovaj drugi dio moram priznat ne razumijem, što znači to for root only i zašto je to loše?

Iša sam malo istraživati i ovo za vsync i to je do X11 (to je nekakav desktop renderer ili koji vrag?) i ima uputa kako kao forsirati vsync na intelu, ali ne dela...a dobro, za sada sa kidanjem.

EDIT: Riješio i scaling, tj vsync vraćanjem na 100% i pojedinim podešavanjem po ovome i sada je sve bonbončić.
Navodno je taj fractional scaling vrlo bugovit i ždere baterijua pa je ovo win-win riješenje.

[yossariane]

Autor tomek@vz

Pregledaj cron jobove. Mint sam po sebi to ne radi. Nesto si instalirao da se to dogada a mi nemamo carobnu kuglu da ti kazemo sto ako ti ne izjasnjavas punu istinu o tome sto radis sa tom kantom, sto je gore instalirano , da ne pricam o tome kolko je postfix tema cudna. Najprije nisi instalirao pa onda ipak jesi pa si deinstalirao...wtf??? Napisao si gore da syncas rsyncom nesto medu 2 stroja. Cronjob? Stroj na istoj mrezi ili negdje " na internetu"? Kako si to napravio i ponavljam pitanje odozgora:

1. SSH Hardening...?
2. Fail2Ban....?
3. Suricata...?

Nešto sam instalirao ali i ja nemam čarobnu kuglu da kažem što i kad sam instalirao. Nemam pojma da sam instalirao postfix ali znam da sam probavao više "email" klijenata. Ni sad još neznam čemu služi postfix. Sa Grsync-om prebacujem 2 foldera sa diska na disk na istoj mašini. Sad kad sam išao tražiti ove programe koje spominješ, nemam ih u repozitoriju osim Fail2Ban v0.11.2.6. Instalira/ Čitajući readme nije mi se svidio/deinstalirao. Proučiti ću ova dva druga programa pa vidjeti mogu li ja to probaviti na razumljiv način.
Na kraju je riješenje bila deinstalacija SSH servera, više nema errora.
Ako se dobro sijećam to sam instalirao kad sam probavao mrežu sa drugom kantom i jednim malim serverom, davno je to bilo i ako se dobro sijećam ovakvih errora nije bilo u logu. Podsjetnik da moram shvatiti SSH i čemu služi.
Hvala svima ipak sam nešto naučio, ali što mi to vrijedi kad u sedmom desetljeću sporije pamtim a brže zaboravljam

[mkey]

Problem je kada čovjek ima tendencije tome da svašta nešto probava, znam iz iskustva
Najbolje je u takvim situacijama imati jednu installaciju OSa sa strane pa tamo vršiti eksperimente.

[Dule]

Autor tomek@vz

1. SSH Hardening...?
2. Fail2Ban....?
3. Suricata...?

Čemu sva ova skalamerija za kućni server, i to bez HTTP servera, iza NAT-a i bez lokalnog firewalla? Evo vrtim normalni SSH server na random portu bez password auth sa ssh-ed25519 certom i u zadnjih par godina mogu nabrojati na prste jedne ruke (i to ako) pokušaje logiranja botova...

[Ivo_Strojnica]

ja imam port forwarding, mene dosta pokušavaju botovi kontaktirati.

[tomek@vz]

Autor Dule

Čemu sva ova skalamerija za kućni server, i to bez HTTP servera, iza NAT-a i bez lokalnog firewalla? Evo vrtim normalni SSH server na random portu bez password auth sa ssh-ed25519 certom i u zadnjih par godina mogu nabrojati na prste jedne ruke (i to ako) pokušaje logiranja botova...

Jer neispravno prckanje po ovim stvarima moze dovesti do ovog gore.

[tomek@vz]

Autor yossariane

Nešto sam instalirao ali i ja nemam čarobnu kuglu da kažem što i kad sam instalirao. Nemam pojma da sam instalirao postfix ali znam da sam probavao više "email" klijenata. Ni sad još neznam čemu služi postfix. Sa Grsync-om prebacujem 2 foldera sa diska na disk na istoj mašini. Sad kad sam išao tražiti ove programe koje spominješ, nemam ih u repozitoriju osim Fail2Ban v0.11.2.6. Instalira/ Čitajući readme nije mi se svidio/deinstalirao. Proučiti ću ova dva druga programa pa vidjeti mogu li ja to probaviti na razumljiv način.
Na kraju je riješenje bila deinstalacija SSH servera, više nema errora.
Ako se dobro sijećam to sam instalirao kad sam probavao mrežu sa drugom kantom i jednim malim serverom, davno je to bilo i ako se dobro sijećam ovakvih errora nije bilo u logu. Podsjetnik da moram shvatiti SSH i čemu služi.
Hvala svima ipak sam nešto naučio, ali što mi to vrijedi kad u sedmom desetljeću sporije pamtim a brže zaboravljam

Pa onda onemoguci ssh daemon i Bogu mir ako mislis da taj komp nesto pokusava.

systemctl stop sshd && systemctl disable sshd

[yossariane]

Autor tomek@vz

Pa onda onemoguci ssh daemon i Bogu mir ako mislis da taj komp nesto pokusava.

systemctl stop sshd && systemctl disable sshd

Ovo mi je trebalo na početku. Sad je kasno, naime uspio sam srušiti ovu jako osjetljivu instalaciju Minta. Uništio sam "Network manager".
Idemo sad isponova, jako jako pažljivo