my own log » GNU/Linux

Mencegah directory traversal dengan modsecurity

Yuda — Sat, 29 Jan 2011 10:40:29 +0000

Directory traversal pada sebuah website memungkinkan pengunjung dapat melihat file-file sistem operasi seperti /etc/resolv.conf. Jika /etc/resolv.conf dapat dilihat dengan mudah bukan tidak mungkin file lain seperti /etc/passwd dapat juga dilihat.

Ada beberapa cara untuk mencegah directory traversal diantaranya dengan mengaktifkan safe_mode dan menggunakan modsecurity.

Cara pertama yaitu dengan mengaktifkan safe_mode php. Caranya dengan meng-edit php.ini kemudian ganti opsi safe_mode menjadi on. Dengan cara ini fungsi-fungsi php yang menyentuh sistem operasi seperti exec() atau chmod().

Cara lainnya adalah dengan menggunakan modsecurity. Tapi setelah instalasi dan diaktifkan, modsecurity tidak langsung bisa mencegah directory traversal tapi perlu ditambahkan sebuah rule. Rulenya adalah

SecRule REQUEST_URI “\.\.” “phase:1,log,deny,msg:’Directory Traversal Attack Detected’”

rule tersebut sebetulnya bisa dimasukkan di config modsecurity mana saja karena tinggal diincludekan saja di httpd.conf namun saya memasukkan rule tersebut di modsecurity_localrules.conf. Dengan rule tersebut setiap ada tindakan yang terjaring maka akan ditampilkan halaman error 500.

Jika anda ingin mencoba apakah sebetulnya modsecurity anda sudah berjalan atau belum, bisa dilakukan sedikit percobaan seperti disini.

sumber : http://osdir.com/ml/apache.mod-security.user/2007-06/msg00206.html

Pulang

Yuda — Fri, 06 Nov 2009 15:18:48 +0000

Minggu kemarin akhirnya dapat juga kesempatan pulang berbarengan dengan berbagai macam seminar. Ada GCOS (26-27 oktober), Richard M. Stallman speech (28/10 di BPPT & 29/10 di UI), kemudian diakhiri dengan idsecconf2009. Jadi, seminar-seminar itu cuma kedok supaya bisa pulang

Berangkat dengan gajayana new image pas dekat tengah malam. Sengaja menggunakan gajayana karena waktu tiba di Jakarta tidak terlalu pagi dan juga sekalian merasakan desain kereta terbaru hasil karya anak bangsa.

Di GCOS banyak sekali topik yang menggugah keingintahuan tapi apa daya semua itu ga mungkin diambil karena dilaksanakan dengan model parallel sesion. Salah satu topik yang saya suka adalah tentang penggunaan grid computing pada riset partikel (Large Hadron Colider salah satunya) dan juga tentang industri kreatif (animasi menggunakan blender dan game nusantara online).

Lanjut dengan speech oleh Richard M. Stallman pada 28 oktober dengan tema Free Software movement. Beberapa poin yang saya ingat adalah adanya 4 kebebasan yang harus dipenuhi oleh sebuah perangkat lunak agar dapat dikategorikan sebagai software bebas (Free Software – free as free speech not free beer) dan juga usahakan memakai kata GNU/Linux bukan Linux saja karena Linux itu hanyalah sebuah kernel.

Speech RMS di UI seharusnya membicarakan tentang masalah copyright vs community tapi yang dibicarakan adalah hal yang sama persis dengan di BPPT, walau akhirnya beliau menyadari bahwa salah topik dan menambahkan beberapa materi yang sesuai topik.

Acara terakhir adalah idsecconf 2009 yang cuma saya ikuti 1 hari saja dari total 2 hari acara. Kenapa ? karena esoknya saya sudah harus kembali ke Yogya. Topik yang diangkat seperti biasa, agak berat dan juga venue acara yang kurang mendukung, Walaupun begitu, saya lihat masih banyak peserta yang tetap antusias.

Hari minggu saatnya kembali ke Yogya, tapi kali ini saya harus memutar lewat Bandung. Loh ?? kehabisa tiket kah ?? Tidak, memang maunya begitu. Alasan mendasar sih karena saya penasaran dengan medan di lintas Jakarta – Bandung via Cikampek, selain itu ingin juga merasakan turangga, kereta new image pertama. Jadi untuk kembali ke Yogya, naik parahyangan dahulu ke bandung kemudian ganti turangga. Sialnya karena takut kebablasan (turangga : Bandung – Surabaya) jadinya setelah jam 12 malam malah jadi ga bisa tidur . Padahal estimasi sampai di Yogya adalah jam 03.00.

Dari perjalanan kemarin, lumayan juga mengalami yang namanya ngantor di jakarta dan bergelut dengan transportasi umum. Pagi-pagi sudah naik KRL, diteruskan pakai busway, bahkan kejebak macet di Margonda. Tidak cuma itu saja, ada sedikit temu kangen dengan teman SD dahulu, rencananya memang banyak orang tapi apa daya situasi dan kondisi tidak mendukung.

O ya, ini sedikit oleh-oleh dari perjalanan kemarin

Huawei E1550 di ubuntu jaunty

Yuda — Fri, 30 Oct 2009 10:43:14 +0000

Sebetulnya rada basi juga kalau nulis ini, gimana nggak sekarang aja ubuntu terbaru (9.10 a.k.a karmic koala) udah keluar

Modem yang kebetulan sedang saya pakai ini adalah huawei E1550 unlock dari operator 3 dan diisi sama “sapu”. Karena percobaan pertama tidak bisa langsung jalan si modem di jaunty, maka terpaksa mengkoneksikan dahulu si modem di windows kemudian tanpa di disconnect, restart masuk ke GNU/Linux dan langsung bisa dipakai.

Supaya bisa langsung tanpa masuk windows dulu ada beberapa langkah :

Install terlebih dahulu udev-extras :
sudo apt-get update && sudo apt-get install udev-extras
Tambahkan rule udev kustom untuk modem :
echo 'SUBSYSTEM=="usb", SYSFS{idProduct}=="1446", SYSFS{idVendor}=="12d1", RUN+="/lib/udev/modem-modeswitch --vendor 0x12d1 --product 0x1446 --type option-zerocd"' | sudo tee /etc/udev/rules.d/45-huawei1550.rules

Setelah semua selesai silahkan restart dan nikmati modem huawei E1550 anda

pidgin 2.6.x di debian lenny

Yuda — Tue, 13 Oct 2009 13:38:07 +0000

Debian versi stable (sekarang lenny) memang terkenal akan versi aplikasi yang sudah tertinggal dari yang terbaru. Salah satu contohnya adalah pidgin. Beberapa bulan yang lalu Yahoo mulai menghapus support untuk yahoo messenger versi lama sehingga menyebabkan sulitnya pidgin untuk login ke jaringan yahoo. Loh pengaruhnya apa ?? ini karena pidgin memperkenalkan diri di jaringan Yahoo sebagai yahoo messenger versi lama. Cerita lengkapnya bisa ditengok disini. Memang tidak semua server Yahoo di-upgrade, tetap ada beberapa server yang masih bisa untuk login ke jaringan Yahoo. Dan saya memutuskan untuk tetap bertahan di pidgin 2.4.x yang harus menggunakan server Yahoo lain yang belum di upgrade. Sebetulnya sih karena malas upgrade aja

Beberapa hari yang lalu kejadian yang sama terulang lagi. Sebabnya kurang lebih sama. Ya sudah sekalian upgrade aja deh daripada nanti-nanti repot lagi. Eh, bukannya upgrade pidgin dari 2.4.x ke 2.6.x di lenny sama aja dengan upgrade semua sistem ?? soalnya kan pidgin 2.6.x ada di sistem testing. Betul itu, tapi untungnya ada yang berbaik hati mau menyiapkan pidgin 2.6.x untuk sistem lenny dan sudah disediakan di backports.org (atau saya lebih suka menyebut debian-backports). Terus gimana caranya ??

Pertama, tambah dulu repo backports.org, cukup dengan menambahkan baris ini di /etc/apt/sources.list anda :
deb ftp://repo.ugm.ac.id/debian-backports/ lenny-backports main contrib non-free
atau repo lain yang anda suka (seperti kambing misalnya)

Jika langsung dilakukan upgrade, maka kemungkinan tidak akan berhasil. Langkah yang saya coba adalah hapus terlebih dahulu pidgin 2.4.x (paket pidgin) kemudian install pidgin-data untuk versi 2.6.x. Baru install kembali pidgin untuk versi 2.6.x

Bagaimana cara memilih pidgin untuk versi 2.6.x karena saya cuma melihat versi 2.4.x di synaptic saya. Caranya adalah pilih paketnya (jangan di mark dulu), kemudian pilih Preferences > Force Version. Setelah itu akan ada pilihan versi mana yang akan anda install. 2.4.x atau 2.6.x (backports).

Sekarang pidgin saya sudah versi 2.6.2 di debian lenny, dan sudah bisa menyelesaikan masalah login ke jaringan Yahoo Messenger. Bagaimana dengan anda ??

Comparing gzip, bzip2, and lzma

Yuda — Fri, 22 May 2009 13:10:07 +0000

Most of you maybe never ever heard about lzma compression. It’s less popular than zip, gzip, or even bzip2. But how about 7-zip compression ?? yes, you may heard of it. It actually the famous implementation of lzma. After do some google, most of it says that lzma can reduce file size smaller than (even) bzip2.

Actually my will to compare lzma with gzip and bzip2 get stronger after my brother proved me that lzma can reduce file size smaller than bzip2. Well actually my brother only test it with 1 (one) pdf file, so I will prove it which can compress smaller. I will test it with text, image (png & svg), binary, movies and also mixed from all those files. And also I will use the best compression options.

The test machine is my sandbox machine. This is the spesification, and the :
debian etch 4.0 (2.6.18-6-xen-vserver-686)
2 x Intel Xeon Intel(R) Xeon(R) CPU 3040 @ 1.86GHz
1GB RAM (I have to shutdown all my domU to get 1GB back T_T )

The software version
gzip 1.3.5-15
bzip2 1.0.3-6
lzma 4.43-5

First Test (text files)

The first test is with a text file. For more dramatic I take the 2 files from my log files which has 656 MB and 60MB size. Well can you imagine how long the text will be with those size? . Ok here’s the test result :

$ du -hs text/ 716M text/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv text/ | gzip -9 > text.tar.gz real 0:25.31,user 0.00,sys 0.04,CPU 0%

$ /usr/bin/time -f "real %E, user %U, sys %S, CPU %P" tar -cv text/ | bzip2 -9 > text.tar.bz2 real 6:51.75,user 0.13,sys 0.89,CPU 0%

$ /usr/bin/time -f "real %E, user %U, sys %S, CPU %P" tar -cv text/ | lzma -kc9 > text.tar.bz2 real 24:28.16, user 0.08, sys 1.48,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 25M 2009-05-15 15:25 text.tar.bz2 -rw-r--r-- 1 yuda yuda 33M 2009-05-15 15:05 text.tar.gz -rw-r--r-- 1 yuda yuda 17M 2009-05-15 15:52 text.tar.lzma

In the result it state that the CPU usage is 0% but actually when compressing using bzip2 and lzma the CPU usage up until 100%

Second Test (image files)

Second test is with image files (i.e. PNG and SVG files). The PNG files I took from crystal project and I delete all the text files. The SVG files I took from snowish SVG and also I delete all the text files.

PNG files :
$ du -hs crystal_project/ 41M crystal_project/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv crystal_project/ | gzip -9 > crystal.tar.gz real 0:02.63,user 0.01,sys 0.04,CPU 2%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv crystal_project/ | bzip2 -9 > crystal.tar.bz2 real 0:12.47,user 0.04,sys 0.14,CPU 1%

$ /usr/bin/time -f "real %E, user %U, sys %S,CPU %P" tar -cv crystal_project/ | lzma -9 > crystal.tar.lzma real 0:26.56, user 0.04, sys 0.20,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 21M 2009-05-15 17:20 crystal.tar.bz2 -rw-r--r-- 1 yuda yuda 21M 2009-05-15 17:19 crystal.tar.gz -rw-r--r-- 1 yuda yuda 18M 2009-05-15 17:22 crystal.tar.lzma

SVG files :
$ du -hs SnowIsh-1.0/ 60M SnowIsh-1.0/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv SnowIsh-1.0/ | gzip -9 > snowish.tar.gz real 0:06.91,user 0.00,sys 0.00,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv SnowIsh-1.0/ | bzip2 -9 > snowish.tar.bz2 real 0:18.34,user 0.00,sys 0.01,CPU 0%

$ /usr/bin/time -f "real %E, user %U, sys %S,CPU %P" tar -cv SnowIsh-1.0/ | lzma -9 > snowish.tar.lzma real 1:33.06, user 0.00, sys 0.14,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 3.6M 2009-05-15 17:35 snowish.tar.bz2 -rw-r--r-- 1 yuda yuda 6.3M 2009-05-15 17:33 snowish.tar.gz -rw-r--r-- 1 yuda yuda 665K 2009-05-15 17:38 snowish.tar.lzma

Third Test (binary files)

The binary files for this test I took from the ubuntu repository. I took only feisty distribution and main component, not all as my harddisk space also limited . Luckily, it still exist in my local repository.

$ du -hs ubuntu/ 4.2G ubuntu/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv ubuntu/ | gzip -9 > ubuntu.tar.gz real 9:09.62,user 0.15,sys 3.92,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv ubuntu/ | bzip2 -9 > ubuntu.tar.bz2 real 27:51.96,user 0.38,sys 6.46,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv ubuntu/ | lzma -9 > ubuntu.tar.lzma real 1:01:11,user 0.68,sys 11.27,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 4.2G 2009-05-17 15:21 ubuntu.tar.bz2 -rw-r--r-- 1 yuda yuda 4.1G 2009-05-16 20:12 ubuntu.tar.gz -rw-r--r-- 1 yuda yuda 4.1G 2009-05-17 16:33 ubuntu.tar.lzma

Well for the binary files test shows no dramatic reduce of filesize.

Fourth Test (movie files)

$ du -hs movie/ 38M movie/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv movie/ | gzip -9 > movie.tar.gz real 0:03.72,user 0.00,sys 0.00,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv movie/ | bzip2 -9 > movie.tar.bz real 0:14.18,user 0.00,sys 0.05,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv movie/ | lzma -9 > movie.tar.lzma real 0:07.68,user 0.00,sys 0.09,CPU 1%

The compression result : -rw-r--r-- 1 yuda yuda 38M 2009-05-16 19:38 movie.tar.bz -rw-r--r-- 1 yuda yuda 38M 2009-05-16 19:34 movie.tar.gz -rw-r--r-- 1 yuda yuda 38M 2009-05-16 19:40 movie.tar.lzma

Well, as you can see gzip, bzip2, and lzma compression have no effect on movie files. The conclusion is I can’t compress my movie collections T_T *too bad*

Last Test (mixed files)

In this last test I use mixed up files (i.e. odt, doc, png, gif, svg, psd, iso, etc) :
$ du -hs mixed 8.8G mixed

$ /usr/bin/time -f "real %E, user %U, sys %S, CPU %P" tar -cv mixed/ | gzip -9 > mixed.tar.gz real 22:38.13,user 2.60,sys 22.81,CPU 1%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv mixed/ | bzip2 -9 > mixed.tar.bz2 real 58:34.74,user 2.70,sys 22.25,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv mixed/ | lzma -9 > mixed.tar.lzma real 2:47:29,user 3.56,sys 34.89,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 6.0G 2009-05-22 11:35 mixed.tar.bz2 -rw-r--r-- 1 yuda yuda 6.1G 2009-05-15 19:44 mixed.tar.gz -rw-r--r-- 1 yuda yuda 5.3G 2009-05-22 17:14 mixed.tar.lzma

With these mixed files result, you can see it’s dramatic reduction of file size. It’s match for my backup purposes because I used to backup files from an old (and used) server

Actually in the first test series I got lack of RAM because it’s only 365MB (the rest used by my domU), so I have to shutdown all domU to get my full 1GB RAM back.

I hope this little test can show which compression affect which kind of files effectively. In the result I confused by the result shown above, the CPU precentage shows 0% but actually for bzip2 and lzma the CPU usage reach until 100%.

Photo credit goes to www.cirris.com

inspirations :

http://martin.ankerl.com/2006/06/22/lzma-compression-in-linux/

http://odzangba.wordpress.com/2009/03/25/gzip-vs-bzip2-vs-lzma/

http://tukaani.org/lzma/benchmarks

End of gutsy gibbon life

Yuda — Fri, 24 Apr 2009 06:59:58 +0000

Yes, the Gutsy Gibbon (a.k.a ubuntu 7.10) has reached end of his life on April 18, 2009. Anyway most of the users still use this gutsy version for it’s old computer. So in this case upgrading to the newer version could torture these old computers. For that reason I choose to preserve the old ubuntu repository such as feisty and gutsy in my campus repository. For you that still using feisy and gutsy you can still use feisty and gutsy repository in repo.ugm.ac.id/ubuntu-unsupported. Other method is using repository dvd that still exist in here or here.

Btw, the jackalope has been out of it’s cage

Saatnya unjuk gigi dengan aplikasi open source

Yuda — Tue, 17 Feb 2009 03:13:46 +0000

Bagaimana cara anda mengajak orang lain untuk menggunakan aplikasi (katakanlah) open source ?? Kebanyakan pasti mengajak dengan alasan bahwa aplikasi ini gratis lho, atau bebas dari bajakan, dsb. Mungkin sudah saatnya mengajak pengguna untuk menggunakan perangkat lunak open source dengan cara menunjukkan “gigi”nya. Ga usah malu buat anda yang giginya

Sebetulnya ini pengalaman saya, kalau mengajak menggunakan sebuah aplikasi open source dengan alasan gratis dan membebaskan diri dari bajakan sepertinya kurang ampuh. Tapi ketika diperlihatkan kemampuannya banyak orang langsung tertarik. Dulu sewaktu menyusun Tugas Akhir, saya menggunakan openoffice. Sudah jelas styling di OpenOffice itu memang sangat powerfull dan juga bisa membuat sendiri daftar isi secara otomatis, sebuah fitur yang belum banyak orang tahu. Dengan menggunakan OpenOffice jelas saya sangat diuntungkan, hanya membutuhkan satu buah file saja untuk menyimpan dokumen dengan berbagai macam format halaman, penomoran halaman, dan styling. Bahkan untuk menjadikannya PDF tidak perlu mencari aplikasi lainnya. Berbeda dengan rekan-rekan saya yang masih memisahkan file yang berisi format halaman yang berbeda-beda. Implikasinya ketika mereka melakukan revisi ribetnya bukan main karena harus mengedit tidak hanya satu file. Bayangkan saja kalau satu bab adalah satu file. Ketika harus menambahkan halaman baru di bab 2 misalnya maka file untuk bab 3 dst harus diedit juga. Namanya menyiksa diri sendiri

Dengan saya berikan sebuah contoh nyata keunggulan menggunakan OpenOffice mereka jelas tertarik, bukan karena faktor “free”nya tetapi karena “gigi”nya itu. Kalau masih mengandalkan faktor “free” (bebas dan gratis) maka aplikasi Microsoft Word pun mereka dapatkan dengan bebas dan gratis karena mereka (yang notabene mahasiswa teknik) tidak mengindahkan UU HaKI.

Jadi sekarang saatnya mengajak migrasi dengan mengedepankan kemampuan bukan karena faktor “free”

Sudo and audit-libs

Yuda — Mon, 12 Jan 2009 09:04:35 +0000

Today my fight with sudo is over, I finally can conquer it. Once this error come to me when I using sudo on centos :

Fatal error (bad version): sudo: symbol lookup error: sudo: undefined symbol: audit_log_user_command

After quite long searching for the solution finally got it today. It turns out a simple solution, In my case after I upgrade the audit and it libs sudo works fine. So my mistakes is I’m using the newest sudo but I didn’t upgrade the audit-libs.

Ha, a simple solution but makes me very confused

clock tick timed out

Yuda — Thu, 08 Jan 2009 06:40:33 +0000

pernah mengalami pesan seperti ini ketika anda ketik hwclock di terminal ??

select() to /dev/rtc to wait for clock tick timed out

Solusinya adalah dengan menambahkan opsi --directisa ketika mengeksekusi hwclock.

Sepertinya kejadian ini berkait erat dengan hardware yang dipakai karena saya sendiri mencoba dengan installer yang sama di mesin berbeda menghasilkan pesan error tersebut.

Sumber :

Debian OpenSSL Vulnerability and The Patch

Yuda — Fri, 26 Dec 2008 06:57:11 +0000

Just another information about debian OpenSSL vulnerability and also the patch