Veni, Vidi, VISA - Software

Mutt: Mails aus einem Script heraus versenden

blog@strcat.de (Christian Schneider) — Wed, 24 Feb 2010 15:16:36 +0100

Eigentlich keine grosse Sache: echo foo | mutt user@name.invalid und der Fall hat sich. Lustig wird es nur wenn man eine Datei anhängen will. Ein echo foo | mutt -a /tmp/jehova.txt user@name.invalid funktioniert normalerweise .. oder auch nicht. Weil wenn sich Mutt dann mit Can't stat user@name.invalid: No such file or directory verabschiedet, dann hat man (wie ich. Haha!) den Fehler gemacht und Mutt 1.5.20 installiert. Da muss das nämlich eine andere Reihenfolge verwendet werden. Nämlich echo foo | mutt -a /tmp/jehova.txt -- user@name.invalid und The -a option must be last in the option list..
Wenn mir das jemand gesagt hätte, dann hätte ich keine Panikattacken bekommen, weil ich seit fast 'ner Woche keine Backups mehr gemacht hab.

"Meine Bash ist kaputt!"

blog@strcat.de (Christian Schneider) — Wed, 10 Feb 2010 22:24:01 +0100

Wenn ein rm !(*.o|*.bak) mit einem event not found quittiert wird, dann ist die nicht kaputt, sondern will nur ein shopt -s extglob haben *meinjanur*

Steuerdaten-CD interessant für Forensiker?

blog@strcat.de (Christian Schneider) — Fri, 05 Feb 2010 16:07:26 +0100

Die umstrittene Steuersünder-CD könnte sich möglicherweise als Bumerang erweisen. Durch datenforensische Methoden können Rückschlüsse auf die Herkunft des Datenträgers, und damit womöglich den Verkäufer, gezogen werden, warnen Experten.
Die deutsche Regierung erwägt, von einer anonymen Schweizer Quelle eine Daten-CD mit den Namen von Steuerhinterziehern zu kaufen. Nicht nur bei gulli:News sorgte dies für kontroverse Diskussionen. Auch die Schweizer sind über das deutsche Verhalten erbost; sie befürchten eine Aushebelung ihres stets hochgehaltenen Bankgeheimnisses. Neben den ethischen und politischen Aspekten sind aber auch technische Besonderheiten zu beachten. Mittels spezieller Verfahren aus der Datenrettung und Forensik ist auch die Herkunft der CD bestimmbar. So können digitale Spuren bis hin zu ihrem Ursprung zurückverfolgt werden, geben die Spezialisten von Kroll Ontrack zu bedenken.

"Es gibt verschiedene Wege, um die Identität des Inhabers der Steuersünder-CD zu ermitteln", erläutert Reinhold Kern, Abteilungsleiter Forensik bei Kroll Ontrack. Beim Brennen einer CD werden dem Fachmann zufolge etwa die Brenn-Software, die Marke des Geräts sowie die Seriennummer des Brenners gespeichert. Anhand dieser Informationen ist beispielsweise ein Arbeitsplatz schnell auffindbar. Somit ließen sich nicht nur Hinweise auf die Echtheit der Daten finden, sondern auch auf denjenigen, der sich mit dem Verkauf dieser Identitäten einige (Millionen) Euro hinzuverdienen will.

Exakte Informationen über die Herkunft der Steuersünder-CD dürften besonders für die betroffenen Banken von Interesse sein. Zwar verfügt der Inhaber über die Möglichkeit, die Daten per Software in einem "relativ einfachen Verfahren" zu verschlüsseln und mit einem 20-Stellen-Passwort zu versehen, das schwer zu knacken sei, wie Kern gegenüber pressetext betont. Spätestens im Fall des Verkaufs müssten die Daten jedoch freigegeben werden. Allerdings weist Kroll Ontrack darauf hin, dass die gerichtliche Verwertbarkeit der forensisch erforschten Informationen von Fachjuristen beurteilt werden müsse.

(via gulli.com

Man beachte den von mir unterstrichenen Satz. In welcher Welt leben diese technischen Vollpfeifen eigentlich? Es gibt etliche OpenSource-Brennprogramme und noch mehr Möglichkeiten anonym zu brennen. Ich kenne einige Internetcafes die das Brennen einer CD anbieten. Wird dann das Internetcafe verklagt? Hoffentlich ist der Verkäufer nicht auf die Idee gekommen die CD im Ausland zu brennen (Tschechien, Polen oder - mein Gott.. - im Urlaub in den USA). Wie kommen die eigentlich auf so wahnwitzige Irrglauben das sowas auch nur annähernd realisierbar ist? Wenn ich mir im Hertie eine Brennsoftware für 5 kaufe, dann muss ich weder beim Kauf, noch bei der Installation irgendwelche persönlichen Daten eingeben.
Ich seh jetzt schon unseren rollstuhlfahrenden Grundgesetzvergewaltiger das SEK und die GSG9 reaktivieren damit sie sämtliche Nachbarländer Haus für Haus durchsuchen und den Vorschlag bringen, dass man sich beim Kauf irgendeiner CD mit Personalausweis und Fingerabdruck identifizieren muss.

Ich glaube ich bin verliebt

blog@strcat.de (Christian Schneider) — Thu, 28 Jan 2010 16:56:40 +0100

$Sekretärin kommt mit einem USB-Stick zu uns in den Serverraum und fragt den Admin ob er (man halte sich fest!) "schnell ein LaTeX-Paket auf ihrer Workstation installieren kann, damit sie schönere und ausführlichere Diagramme erstellen kann.
Auf meine Nachfrage als er wieder da war, hat er mir erklärt das den Sekretärinnen die Wahl des Betriebssystems selbst überlassen bleibt, solange es keine Nachteile bringt und sie schon seit einigen Jahren nur mit LaTeX arbeitet. Zwar auf Debian, aber aber wayne.. dafür hat sie einen durchaus knackigen Hintern und das gleicht es wieder aus :>

Serendipity 1.5.2 released

blog@strcat.de (Christian Schneider) — Mon, 25 Jan 2010 13:30:01 +0100

Serendipity 1.5.2 has been released to address the outstanding issue of SQLite installations with Serendipity. Upgrading an earlier version of Serendipity prior to 1.5.1 to this version should work without any problems, fixing the database upgrades that were faulty in Serendipity 1.5.1. This is the same patch that has been advertised in the old blog posting

Users who had upgraded to Serendipity 1.5 already can fix problems by checking the database table 'serendipity' and make sure to insert a md5 hashed password, with hashtype=0.

SQLite users should backup their database file (a random file name ending in .db) before updating. For users of other database systems, the Serendipity 1.5.2 update does not contain any changes and can be left out.

(via blog.s9y.org)

Die wirklichen Vorteile von Windows 7

blog@strcat.de (Christian Schneider) — Wed, 13 Jan 2010 01:21:20 +0100

Ich mag sie ja irgendwie meine MCSEs, weil sie bei einem Vortrag immer wieder für Kurzweil sorgen.. auch wenns mir jedesmal schwerfällt sie nicht mit meinem Zippo zu bewerfen. Diesen Montag war es mal wieder soweit. Ich war bei einer mittelständischen Firma (~500 Mitarbeiter), weil die eine Lösung für einen Datenbank- und einen Backupserver incl. Netzwerkanbindung gesucht haben (ging nur um die beiden Server, weil die Workstations mit XP liefen und sich das auch nicht ändern sollte).
Die beiden MCSEs halten ihren Vortrag vor mir und labern letztendlich nur das Zeug runter, das auf der Homepage von Windows 7 steht und überlassen mir dann die Bühne mit den Worten "Wir sind gespannt ob Linux mit dieser Vielzahl der Features von Windows 7 mithalten kann"... und jetzt muss ich dazu sagen das die beiden mich noch nicht kannten und deshalb doch etwas aus dem Takt gekommen sind als mein erster Satz "80% der eben genannten Features benötigt ein Server nicht und die anderen 20% sind ohne Probleme mit Linux realisierbar. Der einzige Unterschied ist das unter Linux keine Lizenzkosten anfallen und das den Preis um weit über die Hälfte nach unten drückt!" war.
Das I-Tüpfelchen waren allerdings die Blicke der Vorstandsschaft zu den MCSEs als ich wissen wollte wieso man eine besondere Version von Windows braucht bzw. kostenpflichtig Upgraden muss, nur damit man zwischen mehreren Sprachen umstellen kann (die Frage blieb aber leider unbeantwortet).

Ich muss mir endlich mal eine Liste mit Totschlagargumenten gegen Windows XP/Vista/7 machen und die auswendig lernen. Nächste Woche hab ich ja Zeit, weil ich da 'n Datenbank- und Backupserver installieren :>

Update von S9Y

blog@strcat.de (Christian Schneider) — Fri, 25 Dec 2009 22:26:49 +0100

Danke für die Hinweise das es eine neue Version von S9Y gibt (*sigh*), aber ich werde nicht aktualisieren. Nicht weil mir das Update zu kompliziert ist, sondern weil ich keine Lust habe 23 bzw 25M über ftp(1) auf den Webspace zu schaufeln. Abgesehen würde auch nach einem Update von S9Y noch immer der gleiche Schmarrn hier stehen. Danke. Ich habe fertig.

Serendipity 1.5 released

blog@strcat.de (Christian Schneider) — Mon, 21 Dec 2009 13:13:40 +0100

http://blog.s9y.org/archives/211-Serendipity-1.5-released.html

The Serendipity Team is proud to present the final release of Serendipity 1.5. While the earlier beta versions are proven to work fine for many people, it was finally time to package up a real release.

This version mainly addresses login security by changing our method how passwords are stored to use salted SHA1 checksums instead of plain MD5 checksums. This makes password retrieval (rainbow attacks, see special blog posting) through the database virtually impossible. Another thing is improved PHP 5.3 compatibility.

For users of our Bundled WYSIWYG-Editor Xinha users now have the ability to easily customize the appearance of this panel through a "my_custom.js" file inside the template directory (a draft of such a file can be found as fallback default in the htmlarea/ subdirectory).

One cool new feature for developers is that now also templates can register themselves inside the plugin API hooks to execute specific things, that don't require installation of an event plugin.

Other news include:

new event API hooks
fixed PDF thumbnail generation
ability to auto-scroll on borders when Drag/Dropping plugins
UTC server time zone support
improvements in the Smarty functions to easier use Serendipity as a CMS for individual entry output.
quicksearch improvements for doing a wildcard-search when too few searchresults were found on a fixed searchterm
support for Typepad anti-spam server-checks, additionally to Akismet

Minor improvements since the 1.5-beta1 release:

more PHP 5.3.0 compatibility improvements
Disallow uploading any files that contain ".php." in the filename for extra security with Apache MimeMagic-Modules
expermiental PDO:SQlite support
usability improvements for the comment moderation panel (bottom-navigation, removed border increase)

The current release can be easily installed on any previous Serendipity installation. Just unpack, upload and visit your admin panel to perform possible database upgrades. Upon first login with an old password, Serendipity will store your old password in the new format - please be sure to make a backup of your Database prior to upgrading, and read the upgrade pointers on Upgrading Serendipity.

Have fun using Serendipity, and let us know on the Forums if you have any issues!

Ich werde demnächst das neue Release einspiele, aber wie man das ja von mir erwartet und auch gewohnt ist, gibts wieder 'n DATABASE_ERROR *sigh*

Wie man sich mit sudo(8) gezielt in den Fuß schiessen kann

blog@strcat.de (Christian Schneider) — Tue, 24 Nov 2009 14:50:12 +0100

Das man es kann sollte ja bekannt sein; und das man es kann weil $ADMIN ein gutgläubiger Mensch ist (was in dem Job absolut fehl am Platz ist) oder null Ahnung hat (was noch schlimmer ist) ist ja auch noch irgendwie im Bereich des Möglichen, aber das man es kann weil beides auf einmal zutrifft, war sogar mir neu.
$FIRMA hat mehrere Programmierer angestellt, welche u. a. Client-/Server-Applikationen erstellen. Dazu hat jeder seinen eigenen Useraccount incl. SSH, VNC, FTP, SVN und wasweißichnochalles. Außerdem stehen den Programmierern noch einige Kisten im Netzwerk zur Verfügung, auf denen sie ebenfalls einen Account haben um dort ihre Clients/Server abzulegen um sie zu testen. Die Programmierer sind alle Mitglied der extra angelegten Gruppe "developer" (was ja auch durchaus sinnvoll sein kann). Ab und zu wird $ADMIN gebeten einem Developer mal schnell einen Auszug aus einem Logfile zu schicken. Das war ihm auf Dauer anscheinend zuviel Arbeit, so dass er der Gruppe "developer" mittels einem Eintrag in der /etc/sudoers tcpdump(8) erlaubt hat (mit NOPASSWD versteht sich). Einige werden jetzt wahrscheinlich schon die Hände über dem Kopf zusammenschlagen, aber Ruhe bewahren.. der Admin ist zwar ein Idiot, aber die User absolut unverantwortlich (was daran liegt das der Admin ein Idiot ist).
Kein User hatte unterschiedliche Passwörter für SSH, VNC, FTP, SVN und bei jedem User war das Passwort auf dieser Kiste, das gleiche wie auf allen anderen Kisten auf denen $User einen Account hatte. Ergo %user: sudo tcpdump -A -X -n port 21 eingeben, nach USER. und PASS. suchen (All hail ftp!!!111!) und sich dann mit dem gleichen Passwort via SSH oder VNC einloggen. Nachdem ich mich in Anwesenheit des Chefs und des Admins mit verschiedenen Logins authentifiziert habe, kam die Erklärung seitens des Admins überhaupt. Sinngemäß (ich hab den genauen Wortlaut nicht mehr im Kopf) "Die User sind vertrauenswürdig und wenn ich sie überall ein anderes Passwort verwenden müssen, können sie es sich nicht merken oder schreiben es auf und legen es unter die Tastatur".
Und ich werde doch tatsächlich immer wieder gefragt wieso ich alle Menschen prinzipiell hasse und für Idioten halte.

Mal wieder Zeit für ein paar Rants

blog@strcat.de (Christian Schneider) — Sun, 08 Nov 2009 06:50:41 +0100

Gibts eigentlich ein ungeschriebenes Gesetz das einige Addons beim Update von Firefox nicht mehr kompatibel sind oder wird das per random() entschieden? Tab Mix Plus ist da mein absoluter Top-Favorit! Und weil wir grad beim WWW sind.. wer ist eigentlich auf die abgefuckte Idee gekommen, Produktkataloge im Flash-Format anzubieten? Oder noch besser.. der Hersteller von hochwertigen Kunstködern mit eigenem Shop bietet z. B. den Katalog mit als PDF zum freien herunterladen an. Auf RapidShare.. sieht dann in etwa so aus:

Diese Datei ist weder einem Premiumaccount, noch einem Collector's Account zugeordnet und kann deshalb insgesamt nur 10 mal heruntergeladen werden.

Dieses Limit ist erreicht.

Um diese Datei herunterladen zu können, muss der Anbieter entweder die Datei in seinen Collector's Account verschieben, oder die Datei erneut raufladen. Die Datei kann nachträglich in ein Collector's Account verschoben werden. Der Anbieter muss nur auf den Löschlink der Datei klicken, um mehr Informationen zu erhalten.

Wieso kriegt es sogar M$ auf die Reihe Patche für Sicherheitslücken online zu stellen und zu dokumentieren, während die Linuxkreaturen kein Wort über gefundene und ggf. behobene Sicherheitslücken verlieren und die Patche klammheimlich einbauen? Wieso fangen einige Mac-User an zu schmollen wenn man ihnen erklärt das die Hardware von Apple veralteter und überteuerter Schrott ist? Was ist so schwer daran, einen halbwegs brauchbaren und ausführlichen Changelog zu erstellen? Mutt ist da auch so ein Fall; ständig kommen neue Features hinzu die irgendwo dokumentiert sind, aber die man erst mit so ekligen Einzeilern wie

grep DT_SYN, init.h | sed -e 's/.*"\(.*\)",.*/\1/'

grep DT_ init.h | grep -v define | sort

raus'grep(1)'en und diff(1)'en muss? Mutt ist da nicht alleine; Slrn, Vim (Ja. :h version-7.2 ist mir bekannt, aber da steht nicht drin welche Settings neu sind) und sämtliche GNU-utilities sind da ebenfalls gemeint.

Manchmal fühl ich mich einfach nur noch müde.. *sigh*

So.. nu aber hier..

blog@strcat.de (Christian Schneider) — Wed, 30 Sep 2009 12:41:37 +0200

Knapp 15000 Mails sind abgearbeitet und zum Teil beantwortet, ein neuer Daulog wurde hinzugefügt (Thx an Dominik!) und ein Tippfehler in der vsftpd.html wurde ausgebessert (Thx an Matthias!). Dann habe ich auch noch eine Möglichkeit gefunden sich richtig elegant ins Knie zu schiessen. Dazu braucht man lediglich eine Tastatur bei der die Taste 6 hängt; dann wird aus einem chmod 600 $FILE ganz schnell ein chmod 00 $FILE und man hat letztendlich nicht 0600/-rw-------, sondern 0000/--------- *sigh*.
Ach ja.. die Anfragen zu Werbegeschenken werden immer origineller.

Date: Sun, 27 Sep 2009 11:01:26 +0200
From: Vorname Nachname <foo@invalid>
To: marlboro@strcat.de
Subject: Zeitung
X-Mailer: Microsoft Windows Mail 6.0.6001.18000

(komplette Adresse)

Sehr geehrte Damen und Herren,

für die Hochzeit meiner Nichte

Frau A mit Herrn B

am 10.10.2009

möchte ich eine Hochzeitszeitung erstellen.

Zu diesem Zweck wäre es nett, wenn Sie einen Glückwunsch Ihrer Firma per Email an mich senden könnten.

Diesen Glückwunsch werde ich dann in der Hochzeitszeitung der Brautleute abdrucken.

Diese Zeitung wird an alle Gäste verteilt.

Falls die Möglichkeit besteht, würde ich mich auch über ein kleines Werbegeschenk oder einen Gutschein freuen, welche ich dann als besonderes Hochzeitsgeschenk weitergeben werde.

Vorab bedanke ich mich schon einmal für Ihre Bemühungen und freue mich auf Ihre Email.

Mit freundlichen Grüßen

Vorname Nachname

Wieso sich die Spammer eigentlich immer so reinstressen um an Adressen zu kommen?! Ich krieg die obwohl ich sie nicht will.

Nachtrag zu "Gekonnt Scheisse bauen"

blog@strcat.de (Christian Schneider) — Tue, 14 Jul 2009 14:17:01 +0200

In Bezug auf den vorherigen Eintrag hab ich dem Oberadmin kurz Bescheid gesagt und der Typ ist ja wirklich.. also von dem kann ich noch einiges lernen.
Er guckt sich das an, cloned die Repos auf einer anderen Kiste, biegt die Logins via Portforwarding im Router auf die neue Adresse um, löscht dann fast alle Repos auf der alten Kiste und erstellt eine motd(5) in der U GOT HACKED&OWNED! steht, ruft den zuständigen Admin an und als der ankommt, erzählt er ihm schon fast hysterisch das die Kiste gecrackt wurde und macht Typen richtig Stress von wegen "Schon etliche User haben sich beschwert weil ihre Arbeiten weg sind" usw.
Er stand dann vor den Ruinen des vermeintlich gecrackten Servers und wusste überhaupt nicht was er machen soll und war sichtlich verzweifelt. Der Oberadmin hat ihn dann mit den Worten "Mach Du mal wieder bei Dir weiter; ich versuch das irgendwie zu reparieren." zur Seite geschoben und man konnte ihm seine Dankbarkeit richtig ansehen. Nach dem "Beim nächsten Mal machst Du nicht einfach, sondern läßt es erst von jemandem prüfen wenn Du Dir nicht sicher bist!" sah er aus.. naja.. schonmal 'n geprügelten Hund gesehen? So in etwa. Ich glaub der hätte sich mit dem anderem BOfH glänzend verstanden.

Wie heisst es doch so schön: Man lernt nie aus!

Gekonnt Scheisse bauen

blog@strcat.de (Christian Schneider) — Tue, 14 Jul 2009 03:39:59 +0200

Es gibt drei Sorten von Admins: Die einen wissen was sie machen, die anderen wissen es nicht und lassen es von den Admins machen, die wissen was sie tun und dann gibts da noch die, die meinen sie wissen was sie machen und das auch tun obwohl sie keine Ahnung haben. Letztere legen dann auf einer Linux-Kiste ein SVN-Repo an, dessen Root unter / im Dateisystem zu finden, alle User read+write besitzen und eine gültige Loginshell via SSH zur Verfügung haben.
Der Witz an der Sache ist ja eigentlich das ich das grad durch Zufall entdeckt hab und gar nicht dafür bezahlt werde mich darum zu kümmern. Ich glaub ich sag dem Oberadmin später mal Bescheid.

Kosten für eine einmalige Installation von S9Y

blog@strcat.de (Christian Schneider) — Wed, 01 Jul 2009 14:31:50 +0200

$Kunde hatte bereits einen Hosting-Paket (incl. PHP, MySQL und dem ganzen Zeug) und wollte anstelle der statischen Seiten dort was haben, wo registrierte Autoren Beiträge erstellen können. Dadurch das niemand wirklich Plan davon hatte, wurde entschieden einen freiberuflichen Webmaster zu bezahlen, der Vorschläge macht und die notwendige Software beschafft/installiert/konfiguriert. Der Webmaster hat dann eine (wirklich gute Zusammenfassung) verschiedener Möglichkeiten (verschiedene CMS, Wikis, Blogs, ..) erstellt und diese dem Kunden unterbreitet. Nach Absprache wurde dann S9Y vom Webmaster heruntergeladen, installiert, konfiguriert und eine kurze Einweisung gegeben. Für die Beratung, Installation, Konfiguration und die anschließende kurze Einweisung wurden dann 2500 fällig.
Das sind grob geschätzt ~300 in der Stunde dafür, das er S9Y installiert (ist ja auch so verdammt kompliziert), mehrere Autoren und Kategorien anlegt und kurz erklärt welche Bedeutung die Buttons - Vorschau - und - Speichern - haben. Scheisse.. ich bin eindeutig unterbezahlt!

Zur kurzen Erklärung: $Kunde war ein ortsansässiger Verein deren Mitglieder mir bekannt sind und denen ich neulich kurz bei einem kleinerem Problem geholfen hab. Allerdings bezweifle ich das der Webmaster hier im Umkreis noch irgendeinen Auftrag bekommt; zumindest nicht nachdem ich gesagt hab das ich das für eine Brotzeit und eine Schachtel Kippen gemacht hätte.

Ursula von der Leyen dreht jetzt komplett am Rad

blog@strcat.de (Christian Schneider) — Sun, 28 Jun 2009 20:25:49 +0200

Man muss sich das Interview Netzsperren - "Ihnen ist egal, was wir denken" mal in Ruhe durchlesen.

np: Bob Sinclair - World, hold on