my own log » percobaan

Mencegah directory traversal dengan modsecurity

Yuda — Sat, 29 Jan 2011 10:40:29 +0000

Directory traversal pada sebuah website memungkinkan pengunjung dapat melihat file-file sistem operasi seperti /etc/resolv.conf. Jika /etc/resolv.conf dapat dilihat dengan mudah bukan tidak mungkin file lain seperti /etc/passwd dapat juga dilihat.

Ada beberapa cara untuk mencegah directory traversal diantaranya dengan mengaktifkan safe_mode dan menggunakan modsecurity.

Cara pertama yaitu dengan mengaktifkan safe_mode php. Caranya dengan meng-edit php.ini kemudian ganti opsi safe_mode menjadi on. Dengan cara ini fungsi-fungsi php yang menyentuh sistem operasi seperti exec() atau chmod().

Cara lainnya adalah dengan menggunakan modsecurity. Tapi setelah instalasi dan diaktifkan, modsecurity tidak langsung bisa mencegah directory traversal tapi perlu ditambahkan sebuah rule. Rulenya adalah

SecRule REQUEST_URI “\.\.” “phase:1,log,deny,msg:’Directory Traversal Attack Detected’”

rule tersebut sebetulnya bisa dimasukkan di config modsecurity mana saja karena tinggal diincludekan saja di httpd.conf namun saya memasukkan rule tersebut di modsecurity_localrules.conf. Dengan rule tersebut setiap ada tindakan yang terjaring maka akan ditampilkan halaman error 500.

Jika anda ingin mencoba apakah sebetulnya modsecurity anda sudah berjalan atau belum, bisa dilakukan sedikit percobaan seperti disini.

sumber : http://osdir.com/ml/apache.mod-security.user/2007-06/msg00206.html

Menambahkan prefix database existing drupal

Yuda — Mon, 05 Apr 2010 13:12:18 +0000

Cerita berawal ketika terdapat sebuah website yang menggunakan drupal dan dihostingkan di sebuah web hosting yang ternyata hanya membolehkan satu buah database saja. Ketika waktu bertambah, ada sebuah web juga yang akan dimasukkan ke hosting yang sama dan ternyata berbasis drupal juga. Jika langsung dipindahkan maka kemungkinan besar akan terjadi kerumitan karena nama tabelnya sama antara web yang baru dengan web yang lama.

Tercetus sebuah solusi yaitu mengubah prefix untuk tabel web drupal yang baru ini menjadi berbeda dengan web drupal yang lama dengan sebuah “mantra” bash yang lumayan sakti tanpa bantuan harry potter atau dumbledore *halah*. Buat yang mau mencoba, mantranya bisa dilihat disini.

Tapi kenapa kok ga pakai fitur multi-sitenya drupal ?? bukannya lebih mudah ?? Masalahnya, situasi dan kondisi tidak memungkinkan untuk saat itu

Huawei E1550 di ubuntu jaunty

Yuda — Fri, 30 Oct 2009 10:43:14 +0000

Sebetulnya rada basi juga kalau nulis ini, gimana nggak sekarang aja ubuntu terbaru (9.10 a.k.a karmic koala) udah keluar

Modem yang kebetulan sedang saya pakai ini adalah huawei E1550 unlock dari operator 3 dan diisi sama “sapu”. Karena percobaan pertama tidak bisa langsung jalan si modem di jaunty, maka terpaksa mengkoneksikan dahulu si modem di windows kemudian tanpa di disconnect, restart masuk ke GNU/Linux dan langsung bisa dipakai.

Supaya bisa langsung tanpa masuk windows dulu ada beberapa langkah :

Install terlebih dahulu udev-extras :
sudo apt-get update && sudo apt-get install udev-extras
Tambahkan rule udev kustom untuk modem :
echo 'SUBSYSTEM=="usb", SYSFS{idProduct}=="1446", SYSFS{idVendor}=="12d1", RUN+="/lib/udev/modem-modeswitch --vendor 0x12d1 --product 0x1446 --type option-zerocd"' | sudo tee /etc/udev/rules.d/45-huawei1550.rules

Setelah semua selesai silahkan restart dan nikmati modem huawei E1550 anda

pidgin 2.6.x di debian lenny

Yuda — Tue, 13 Oct 2009 13:38:07 +0000

Debian versi stable (sekarang lenny) memang terkenal akan versi aplikasi yang sudah tertinggal dari yang terbaru. Salah satu contohnya adalah pidgin. Beberapa bulan yang lalu Yahoo mulai menghapus support untuk yahoo messenger versi lama sehingga menyebabkan sulitnya pidgin untuk login ke jaringan yahoo. Loh pengaruhnya apa ?? ini karena pidgin memperkenalkan diri di jaringan Yahoo sebagai yahoo messenger versi lama. Cerita lengkapnya bisa ditengok disini. Memang tidak semua server Yahoo di-upgrade, tetap ada beberapa server yang masih bisa untuk login ke jaringan Yahoo. Dan saya memutuskan untuk tetap bertahan di pidgin 2.4.x yang harus menggunakan server Yahoo lain yang belum di upgrade. Sebetulnya sih karena malas upgrade aja

Beberapa hari yang lalu kejadian yang sama terulang lagi. Sebabnya kurang lebih sama. Ya sudah sekalian upgrade aja deh daripada nanti-nanti repot lagi. Eh, bukannya upgrade pidgin dari 2.4.x ke 2.6.x di lenny sama aja dengan upgrade semua sistem ?? soalnya kan pidgin 2.6.x ada di sistem testing. Betul itu, tapi untungnya ada yang berbaik hati mau menyiapkan pidgin 2.6.x untuk sistem lenny dan sudah disediakan di backports.org (atau saya lebih suka menyebut debian-backports). Terus gimana caranya ??

Pertama, tambah dulu repo backports.org, cukup dengan menambahkan baris ini di /etc/apt/sources.list anda :
deb ftp://repo.ugm.ac.id/debian-backports/ lenny-backports main contrib non-free
atau repo lain yang anda suka (seperti kambing misalnya)

Jika langsung dilakukan upgrade, maka kemungkinan tidak akan berhasil. Langkah yang saya coba adalah hapus terlebih dahulu pidgin 2.4.x (paket pidgin) kemudian install pidgin-data untuk versi 2.6.x. Baru install kembali pidgin untuk versi 2.6.x

Bagaimana cara memilih pidgin untuk versi 2.6.x karena saya cuma melihat versi 2.4.x di synaptic saya. Caranya adalah pilih paketnya (jangan di mark dulu), kemudian pilih Preferences > Force Version. Setelah itu akan ada pilihan versi mana yang akan anda install. 2.4.x atau 2.6.x (backports).

Sekarang pidgin saya sudah versi 2.6.2 di debian lenny, dan sudah bisa menyelesaikan masalah login ke jaringan Yahoo Messenger. Bagaimana dengan anda ??

Removing a lot of file with rm

Yuda — Thu, 16 Jul 2009 07:25:54 +0000

Ever trying to remove a lot of file like this ?

[root@blah]# ls -l log/ | wc -l
2041335

It wont work if you just remove it with rm because there will be an error message (i.e. /bin/rm: Argument list too long). So how to remove it ?? I use this command to remove it

[root@blah]# find ./ -name ‘msg.*’ | xargs rm -fv

I’m using msg.* becasue the filenames I want to remove begin with msg.. You can vary it depend on your need.

source of inspiration

Comparing gzip, bzip2, and lzma

Yuda — Fri, 22 May 2009 13:10:07 +0000

Most of you maybe never ever heard about lzma compression. It’s less popular than zip, gzip, or even bzip2. But how about 7-zip compression ?? yes, you may heard of it. It actually the famous implementation of lzma. After do some google, most of it says that lzma can reduce file size smaller than (even) bzip2.

Actually my will to compare lzma with gzip and bzip2 get stronger after my brother proved me that lzma can reduce file size smaller than bzip2. Well actually my brother only test it with 1 (one) pdf file, so I will prove it which can compress smaller. I will test it with text, image (png & svg), binary, movies and also mixed from all those files. And also I will use the best compression options.

The test machine is my sandbox machine. This is the spesification, and the :
debian etch 4.0 (2.6.18-6-xen-vserver-686)
2 x Intel Xeon Intel(R) Xeon(R) CPU 3040 @ 1.86GHz
1GB RAM (I have to shutdown all my domU to get 1GB back T_T )

The software version
gzip 1.3.5-15
bzip2 1.0.3-6
lzma 4.43-5

First Test (text files)

The first test is with a text file. For more dramatic I take the 2 files from my log files which has 656 MB and 60MB size. Well can you imagine how long the text will be with those size? . Ok here’s the test result :

$ du -hs text/ 716M text/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv text/ | gzip -9 > text.tar.gz real 0:25.31,user 0.00,sys 0.04,CPU 0%

$ /usr/bin/time -f "real %E, user %U, sys %S, CPU %P" tar -cv text/ | bzip2 -9 > text.tar.bz2 real 6:51.75,user 0.13,sys 0.89,CPU 0%

$ /usr/bin/time -f "real %E, user %U, sys %S, CPU %P" tar -cv text/ | lzma -kc9 > text.tar.bz2 real 24:28.16, user 0.08, sys 1.48,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 25M 2009-05-15 15:25 text.tar.bz2 -rw-r--r-- 1 yuda yuda 33M 2009-05-15 15:05 text.tar.gz -rw-r--r-- 1 yuda yuda 17M 2009-05-15 15:52 text.tar.lzma

In the result it state that the CPU usage is 0% but actually when compressing using bzip2 and lzma the CPU usage up until 100%

Second Test (image files)

Second test is with image files (i.e. PNG and SVG files). The PNG files I took from crystal project and I delete all the text files. The SVG files I took from snowish SVG and also I delete all the text files.

PNG files :
$ du -hs crystal_project/ 41M crystal_project/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv crystal_project/ | gzip -9 > crystal.tar.gz real 0:02.63,user 0.01,sys 0.04,CPU 2%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv crystal_project/ | bzip2 -9 > crystal.tar.bz2 real 0:12.47,user 0.04,sys 0.14,CPU 1%

$ /usr/bin/time -f "real %E, user %U, sys %S,CPU %P" tar -cv crystal_project/ | lzma -9 > crystal.tar.lzma real 0:26.56, user 0.04, sys 0.20,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 21M 2009-05-15 17:20 crystal.tar.bz2 -rw-r--r-- 1 yuda yuda 21M 2009-05-15 17:19 crystal.tar.gz -rw-r--r-- 1 yuda yuda 18M 2009-05-15 17:22 crystal.tar.lzma

SVG files :
$ du -hs SnowIsh-1.0/ 60M SnowIsh-1.0/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv SnowIsh-1.0/ | gzip -9 > snowish.tar.gz real 0:06.91,user 0.00,sys 0.00,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv SnowIsh-1.0/ | bzip2 -9 > snowish.tar.bz2 real 0:18.34,user 0.00,sys 0.01,CPU 0%

$ /usr/bin/time -f "real %E, user %U, sys %S,CPU %P" tar -cv SnowIsh-1.0/ | lzma -9 > snowish.tar.lzma real 1:33.06, user 0.00, sys 0.14,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 3.6M 2009-05-15 17:35 snowish.tar.bz2 -rw-r--r-- 1 yuda yuda 6.3M 2009-05-15 17:33 snowish.tar.gz -rw-r--r-- 1 yuda yuda 665K 2009-05-15 17:38 snowish.tar.lzma

Third Test (binary files)

The binary files for this test I took from the ubuntu repository. I took only feisty distribution and main component, not all as my harddisk space also limited . Luckily, it still exist in my local repository.

$ du -hs ubuntu/ 4.2G ubuntu/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv ubuntu/ | gzip -9 > ubuntu.tar.gz real 9:09.62,user 0.15,sys 3.92,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv ubuntu/ | bzip2 -9 > ubuntu.tar.bz2 real 27:51.96,user 0.38,sys 6.46,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv ubuntu/ | lzma -9 > ubuntu.tar.lzma real 1:01:11,user 0.68,sys 11.27,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 4.2G 2009-05-17 15:21 ubuntu.tar.bz2 -rw-r--r-- 1 yuda yuda 4.1G 2009-05-16 20:12 ubuntu.tar.gz -rw-r--r-- 1 yuda yuda 4.1G 2009-05-17 16:33 ubuntu.tar.lzma

Well for the binary files test shows no dramatic reduce of filesize.

Fourth Test (movie files)

$ du -hs movie/ 38M movie/

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv movie/ | gzip -9 > movie.tar.gz real 0:03.72,user 0.00,sys 0.00,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv movie/ | bzip2 -9 > movie.tar.bz real 0:14.18,user 0.00,sys 0.05,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv movie/ | lzma -9 > movie.tar.lzma real 0:07.68,user 0.00,sys 0.09,CPU 1%

The compression result : -rw-r--r-- 1 yuda yuda 38M 2009-05-16 19:38 movie.tar.bz -rw-r--r-- 1 yuda yuda 38M 2009-05-16 19:34 movie.tar.gz -rw-r--r-- 1 yuda yuda 38M 2009-05-16 19:40 movie.tar.lzma

Well, as you can see gzip, bzip2, and lzma compression have no effect on movie files. The conclusion is I can’t compress my movie collections T_T *too bad*

Last Test (mixed files)

In this last test I use mixed up files (i.e. odt, doc, png, gif, svg, psd, iso, etc) :
$ du -hs mixed 8.8G mixed

$ /usr/bin/time -f "real %E, user %U, sys %S, CPU %P" tar -cv mixed/ | gzip -9 > mixed.tar.gz real 22:38.13,user 2.60,sys 22.81,CPU 1%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv mixed/ | bzip2 -9 > mixed.tar.bz2 real 58:34.74,user 2.70,sys 22.25,CPU 0%

$ /usr/bin/time -f "real %E,user %U,sys %S,CPU %P" tar -cv mixed/ | lzma -9 > mixed.tar.lzma real 2:47:29,user 3.56,sys 34.89,CPU 0%

The compression result : -rw-r--r-- 1 yuda yuda 6.0G 2009-05-22 11:35 mixed.tar.bz2 -rw-r--r-- 1 yuda yuda 6.1G 2009-05-15 19:44 mixed.tar.gz -rw-r--r-- 1 yuda yuda 5.3G 2009-05-22 17:14 mixed.tar.lzma

With these mixed files result, you can see it’s dramatic reduction of file size. It’s match for my backup purposes because I used to backup files from an old (and used) server

Actually in the first test series I got lack of RAM because it’s only 365MB (the rest used by my domU), so I have to shutdown all domU to get my full 1GB RAM back.

I hope this little test can show which compression affect which kind of files effectively. In the result I confused by the result shown above, the CPU precentage shows 0% but actually for bzip2 and lzma the CPU usage reach until 100%.

Photo credit goes to www.cirris.com

inspirations :

http://martin.ankerl.com/2006/06/22/lzma-compression-in-linux/

http://odzangba.wordpress.com/2009/03/25/gzip-vs-bzip2-vs-lzma/

http://tukaani.org/lzma/benchmarks

Catatan palm treo 650

Yuda — Sun, 29 Mar 2009 20:33:39 +0000

Tepat 33 hari memakai palm treo 650. Posting ini sekedar catatan ngoprek palm treo 650. Beberapa aplikasi baru dan trik sempat diterapkan, ada yang bikin restart bahkan ada yang sampai ga bisa kembali ke menu launcher

Banyak sekali aplikasi palm (gratisan tentunya) bertebaran di internet. Aplikasi yang sempat saya coba dan sampai sekarang masih ada di treo antara lain emergency lamp (jaga-jaga siapa tahu ampuh klo mati lampu), gizmo, iPhone imitation, pssh, TuSSH (I recomend this one), SoundRec, vagablog, plogit, opera mini (yang sering hang), dan p-expense (catatan larinya uang ). Posting ini adalah hasil posting lewat vagablog. Ternyata tersimpan sebagai draft jadi tetap harus login dulu ke blog dan klik “Terbitkan”. Sempat kepikiran untuk mencoba running linux tapi teringat akan sebuah “kontrak”, akhirnya dibatalkan. Nanti saja kalau sudah milik pribadi

Diantara aplikasi yang saya sebut di atas salah satu yang saya suka adalah iPhone imitation yaitu semacam launcher yang mengimitasi tampilan dari iphone. Lumayan jadi berasa iPhone walaupun jelas itu palm treo :p

Ada beberapa kejadian unik ketika mencoba aplikasi, misalnya aplikasi p-expense, aplikasi ini termasuk aplikasi yang rewel karena ga mau dijalankan ketika indikator baterai sudah merah. Aneh memang tapi itu kenyataan. Kalau menjalankan aplikasi tersebut saat indikator baterai merah maka yang terjadi adalah treo-nya reboot .

Kejadian lain yang bikin deg-degan adalah pas mencoba Screen Button, sebuah aplikasi untuk kostumasi launcher seperti iPhone imitation. Kalau pada iPhone imitation untuk menjadikannya default launcher hanya tinggal kasih centang, tapi di screen button harus menggunakan aplication id. Nah berhubung saya penasaran maka id yang saya masukkan untuk home button bukanlah SrBn (id-nya screen button) tapi HsPh (id-nya phone). Hasilnya ?? Ketika mencet tombol home keluarnya hanya dial pad bukan ke menu launcher *doh* *panik mode = on*. Untungnya masih bisa dikembalikan dengan me-load aplikasi screen button di bagian favorite view, kembalikan mapping home button ke id lnch (id launcher default treo) dan back to normal again.

Ga cuma instalasi aplikasi saja tapi sempat juga nyoba nge-net pakai treo tapi sumber koneksinya adalah dari laptop dengan menggunakan bluetooth yang di route dengan koneksi kabel di linux, bukan dengan gprs-nya si treo. Bingung ?? ya nanti akan dibuatkan postingan terpisah

Keampuhannya ga sampai disitu, sekarang si treo ini sudah bisa puter film yang kayak gini. Tanpa convert dulu berkat tcpmp, jangan lupa tambahan codecnya

NB : Foto-foto diatas dicolong tanpa izin dari google

Macintosh OS X

Yuda — Wed, 18 Mar 2009 16:13:02 +0000

Akhirnya berkesempatan juga mengeksplor secara penuh sistem operasi yang membuat saya penasaran dan takjub, Mac OS X. Wah habis beli macbook dong?? ngapain beli klo bisa diinstal di pc?? Itu bukan mac namanya. Ya pokoknya 99% mac os x lah :p

Kenapa bisa takjub? Gimana enggak, OS yang berbasis UNIX (freebsd ?) tapi bisa sangat user friendly banget. Dan tampilannya buagus banget (walaupun linux juga bisa).

Mulai dari instalasi os sampai instalasi aplikasi disajikan dengan jelas dan mudah. Setelah instalasi selesai tersedia wizard untuk mengisi keterangan user yang dapat dengan mudah dipahami. Sebentar, berarti habis beli mac os x dong ?? Kalau beli mahal, soal bagaimana bisa dapat installernya ga usah dibahas dan jangan ditanya

Trus gimana dengan instalasi aplikasinya?? Nah ini yang saya suka dari mac os, instalasi aplikasinya sangat gampang banget. Tinggal dobel klik file dmg trus drag n drop ke folder application atau folder lain yang dikehendaki.

Terus susah ga nyari aplikasinya?? Nah disinilah keunggulan aplikasi free software open source. Banyak aplikasi FOSS tersedia untuk mac os x. Untuk browser ada firefox dan opera, messenger tersedia adiumx (memakai library yang sama dengan pidgin tapi lebih native untuk mac os x), vlc untuk video player, avidemux untuk video editing, bahkan openoffice juga tersedia untuk mac os x.

Salah satu fitur mac os x yang belum sempat dirambah adalah time machine, sebuah sistem backup yang gui banget. Time machine memerlukan disk atau partisi yang berbeda dari sistem yang kita pakai. Berhubung cuma sedia satu partisi doang untuk percobaan makanya ga bisa nyoba time machine

Ah… hidup begitu indah kalo pake mac :-p *nugrahadi wish having macbook alumunium unibody*

Latihan Panning

Yuda — Sun, 15 Feb 2009 08:44:49 +0000

Coba-coba latihan teknik panning, ya walaupun kurang bagus tapi lumayanlah. Lagipula practice makes perfect, berarti harus sering-sering latihan dan juga sering-sering minjem kamera orang

Sudo and audit-libs

Yuda — Mon, 12 Jan 2009 09:04:35 +0000

Today my fight with sudo is over, I finally can conquer it. Once this error come to me when I using sudo on centos :

Fatal error (bad version): sudo: symbol lookup error: sudo: undefined symbol: audit_log_user_command

After quite long searching for the solution finally got it today. It turns out a simple solution, In my case after I upgrade the audit and it libs sudo works fine. So my mistakes is I’m using the newest sudo but I didn’t upgrade the audit-libs.

Ha, a simple solution but makes me very confused