Informatevi:
http://www.lucanicotra.org/saremo-lesperimento-pi%C3%B9-avanzato-di-censura-del-nu
Indignatevi:
http://www.agoradigitale.org/nocensura
Partecipate:
http://sitononraggiungibile.e-policy.it/
Archivio per la categoria Varie (ed eventuali)
Web application aggiornatissima, plugin ridotti al minimo, hardening generale, e chi più ne ha.
Ma quando devono, devono.
Stamattina il sito era giù, il motivo è facile da indovinare: ho dovuto metterlo in manutenzione di corsa: stanotte, intorno alle 3.40 ora italiana lo hanno infarcito con un bel segmento di codice PHP in testa ad ogni singolo file PHP presente nello spazio di hosting. Risultato: chi visitava il sito riceveva un Javascript che ne scaricava un altro dall’URL http://js .ribblestone .com/jazz/listen.php che a sua volta ne prendeva un’altro da http://panelscansecurity .org/? affid=320&subid=landing.
Il risultato era la solita scansione finta con proposta di scaricare il malware vero di turno, camuffato da fantastico super-anti-tutto.
Alla seconda visita non succede nulla, perché alla prima viene impostato un cookie con nome pwr_set_number_coalition_2, che, se presente, disattiva il redirect verso la finta scansione. C’è anche un altro elemento pericoloso: il codice Javascript iniettato controlla se il visitatore è lo spider di Google o di Yahoo, e si disattiva. Questo impedisce a Google di riconoscerlo come codice dannoso, quindi il sito non viene incluso fra quelli potenzialmente dannosi. Meno danno per il proprietario del sito, più danno per tutti, visto che la protezione dai siti trappola operata da Google non funziona più.
Il danno sul sito era totale, ogni singolo file PHP conteneva il codice iniettato. Indagando un po’, ho trovato che altri siti ospitati sullo stesso hosting hanno lo stesso problema, quindi, molto verosimilmente, si tratta di un problema dell’intero hosting.
Ho recuperato, per ora, scaricando l’intero contenuto del sito e ripulendo con uno script tutti i file PHP dai frammenti di codice iniettato. Ho poi controllato che non ci fossero “ospiti non invitati”, sia sotto forma di file che sotto altre forme. Poi ho riportato indietro i file PHP ripuliti.
Ho fatto qualche altra modifica, ma non sono molto fiducioso che possa impedire il ripetersi del problema. Se il server è compromesso, c’è poco da fare.
Precisazione
Il sito è ospitato su Register, Nobug srl offre la parte economica.
Che vorrà dire?
Scherzi a parte, so di essere poco presente qui. Nei ritagli di tempo sto portando avanti qualcosina che vale la pena di pubblicare, niente di rivoluzionario, ecco. Sto riesumando un vecchio server, sto partecipando alla “Forensic challenge 2″ del progetto Honeynet, più altre bazzecole.
Non cancellatemi (per ora) dal lettore di feed.
Andamento a rilento
Feb 8
Ho rimesso il tema precedente, quello nuovo non è compatibile con la versione PHP dell’hosting, per cui dopo una settimana sia il pannello di amministrazione che il blog ad ogni visita rispondevano “Cucù, 404 e nulla più”.
Poi, ho attivato la funzione di WordPress che chiude automaticamente i commenti sui post più vecchi di 30 giorni, dato che statisticamente sono costituiti al 99,999% di spam e per il restante 0,001% di messaggi diretti ad un forum: il fatto che il titolo sia “Il non-blog” non significa che sia un helpdesk..
Sto preparando qualcosa, ma il recente cambio dirigenziale nel posto dove lavoro mi sta rendendo la vita difficile: son tutti pieni di idee nuovissime, spesso completamente scollate dalla realtà aziendale, ma non si può dire, o immediatamente vieni sostituito con qualcuno degli innumerevoli “wannabe” ansiosi di mostrare il loro valore, impegnandosi appunto in progetti privi di collegamenti col mondo reale.
Abbiate pazienza, non rimarrete delusi.
Dopo quattro anni di onorato servizio, acceso 24 ore al giorno ininterrottamente (o quasi), il mio modem router ha mostrato segni di cedimento. Dopo averci lavorato sopra per un po’, facendo ricorso alla passata esperienza di “vecchio tecnico”, sono riuscito a rimetterlo in sesto. Qui le istruzioni e qualche foto delle operazioni.
I sintomi
Il modem router è dotato sia di funzioni di access point wireless che di switch Ethernet a quattro porte 10/100Mbit con autorilevamento e selezione automatica del tipo di cavo (se dritto o “cross”). Tutto sembra funzionare perfettamente, ma con l’arrivo della stagione calda tutto quello che è collegato via Ethernet inizia a comportarsi capricciosamente: connessioni e disconnessioni casuali, errori durante i trasferimenti di file grandi, lentezza nella navigazione Internet.
In realtà il problema può essere diagnosticato in modo specifico se si osservano due segnali:
- un caratteristico spegnimento prolungato dei LED ambra di segnalazione link delle porte Ethernet: invece di lampeggiare rapidamente in presenza di attività, e solo le porte relative ai computer che effettivamente stanno comunicando, iniziano in un primo tempo a lampeggiare tutte quelle con un qualcosa collegato, indipendentemente dal traffico effettivo, per poi iniziare una seconda fase in cui iniziano a spegnersi per lunghi periodi, come se il cavo fosse scollegato o il computer connesso fosse spento. Il tempo in cui rimangono spente si allunga progressivamente da pochi secondi fino a parecchi minuti, per poi mostrare un rapido lampeggio e subito spegnersi di nuovo, condizione in cui le porte Ethernet sono del tutto inutilizzabili.
- qualche tempo prima (settimane) del lampeggiamento, e molto prima dello spegnimento, il tasso di errore dei pacchetti ricevuti e trasmessi, rilevabile dalle statistiche della scheda Ethernet di qualsiasi computer connesso, aumenta sensibilmente fino a sfiorare il 5% dei pacchetti, condizione in cui anche solo navigare in Internet è una sofferenza.
Entrambi i problemi iniziano a verificarsi se la temperatura ambiente è piuttosto alta, sopra i 25°. Per non parlare di quando l’apparecchio è piazzato dentro un mobile o sopra un computer, per cui la sua temperatura interna supera facilmente i 50°.
Questi sono i sintomi del mio esemplare, ma, a seconda del componente “invecchiato”, i comportamenti anomali possono cambiare e andare da malfunzionamenti della parte wireless, a reboot improvvisi e senza motivo, a veri e propri blocchi, tali da richiedere lo spegnimento. In Rete si trovano parecchi messaggi in forum e mailing list in cui vengono lamentati problemi simili, o comunque facenti capo a modem router di varie marche, con problemi di vecchiaia.
La causa
La causa è l’invecchiamento e la conseguente “asciugatura” dei condensatori elettrolitici presenti sulla scheda elettronica che costituisce l’apparato. Nella foto sotto sono indicati con un punto rosso. In tutto sono 14 di varie capacità.
L'interno del modem router Zyxel Prestige 660
I condensatori impiegati nel mio esemplare sono di ottima qualità, ma l’essere acceso 24 ore al giorno e la non sufficiente aerazione a cui l’ho sottoposto hanno accelerato l’invecchiamento di cui sopra.
L’intervento
La sostituzione è relativamente banale, per chi ha dimestichezza con l’elettronica, ma c’è un problema di fondo: reperire i ricambi. I condensatori montati all’interno del modem, oltre ad essere di ottima qualità, hanno due caratteristiche particolari:
- Il campo di temperatura di impiego esteso: -40° ÷ +105° invece del normale -40° ÷ +85°
- Bassa ESR (Equivalent Series Resistence, resistenza serie equivalente)
Il campo di temperatura esteso non è, come può sembrare a prima vista, una esagerazione, ma va considerato che l’interno del modem router è piuttosto caldo, e la scheda del circuito stampato è progettata per funzionare da dissipatore di calore, distribuendolo per tutta la sua superficie. Non è difficile che la temperatura di tutti i componenti interni del router, dopo alcune ore di funzionamento, possa essere stabile sui 50°. I condensatori elettrolitici sono notoriamente molto vulnerabili a condizioni ambientali quali la temperatura ambiente elevata e la scarsa aerazione, per cui l’uso di modelli con campo di temperatura di impiego esteso significa allungarne la vita, e non di poco. Senza contare che l’effetto dell’invecchiamento è la diminuzione di capacità, l’aumento della corrente di perdita e l’aumento della ESR, queste ultime responsabili di un ulteriore effetto di riscaldamento del condensatore che innesca un processo di accelerazione del deterioramento. Un condensatore caldo è un condensatore rotto, o quasi.
Il discorso della bassa ESR è importante per via del tipo di circuito in cui sono impiegati. Nelle due figure che seguono notare che vicino ai gruppi di condensatori vi sono delle bobine, una delle quali piuttosto grande.
A destra dei condensatori si vede la bobina più grande
Segnate in rosso, le quattro bobine più piccole
E’ estremamente probabile che questi due gruppi di bobine facciano parte, insieme ai condensatori e ad una manciata di componenti attivi, di una serie di regolatori di tensione per far funzionare tutti i circuiti. Tenendo presente che l’alimentatore è a 12V, servono sicuramente i 3,3V ed i 5V, e non è escluso che servano tensioni negative, per cui i circuiti con bobine e condensatori non sono altro che convertitori/regolatori di tensione. Dato che questi circuiti funzionano a frequenze piuttosto elevate (da un minimo di 10kHz a 100kHz ed oltre) è importante che i condensatori abbiano una bassa resistenza interna equivalente (ESR), per impedire sia il cattivo funzionamento dei convertitori stessi che il riscaldamento dei condensatori per le perdite dovute appunto ad un valore di ESR non adeguato.
I condensatori che si trovano in commercio presso i rivenditori di componenti elettronici sono spesso con campo di temperature -40° ÷ +85° e certamente non a basso ESR. Ecco in figura sotto un campionario di esemplari presi dalla mia “collezione”.
Alcuni esemplari di condensatori
Quello col punto rosso è dissaldato dallo Zyxel. Quello piccolo in alto è con campo di temperatura fino a +105°, ma non a basso ESR, oltre ad essere “recuperato” da un differente apparato, quindi usato e non affidabile.
In tabella l’elenco dei condensatori da sostituire con i valori.
| ID | Capacità | Tensione di lavoro | Note |
|---|---|---|---|
| C50 C51 | 2.200µF | 25V | Low ESR – Range di temperatura esteso a 105°C |
| C55 C57 | 22µF | 16V | Low ESR – Range di temperatura esteso a 105°C |
| C62 | 1000µF | 16V | Low ESR – Range di temperatura esteso a 105°C |
| C160 C162 | 220µF | 10V | Low ESR – Range di temperatura esteso a 105°C |
| C83 C87 C89 C90 | 470µF | 6,3V | Low ESR – Range di temperatura esteso a 105°C |
| C96 C101 | 47µF | 35V | Low ESR – Range di temperatura esteso a 105°C |
| C115 | 1µF | 50V | Low ESR – Range di temperatura esteso a 105°C |
Sul circuito stampato, presso ogni condensatore c’è l’identificativo, la lettera “c” maiuscola seguita da un numero, ed è quello elencato in prima colonna per individuare di quale si tratta. L’unico valore che può variare, rispetto a quanto indicato, è la tensione di lavoro, che può essere però più alta, mai minore di quella indicata.
Nel mio caso mi sono servito di Distrelec, una società che commercia in componenti, attrezzature e accessori per l’elettronica civile e industriale. Ha un sito di e-commerce, spedisce via corriere la merce e si può pagare in vari modi. I prezzi non sono economici, ma data la presenza di un magazzino immenso e la possibilità di ordinare anche soltanto una singola resistenza (costo pochi centesimi di euro), il costo è ampiamente giustificato.
Ordinati i condensatori lunedì alle 14, sono stati consegnati dal corriere il giorno successivo intorno alle 17. Il problema maggiore sono le dimensioni, alcuni condensatori sono parecchio più grandi di quelli originali, ma installandoli in orizzontale e bloccandoli con un pezzetto di nastro biadesivo si ottiene comunque un buon risultato.
Ci sono volute 5-6 ore per organizzare il lavoro, dissaldare i condensatori vecchi, saldare i nuovi. Poi ho fatto un test di tre ore con temperatura ambiente sopra i 30° e tutto pare funzionare egregiamente. La temperatura dei componenti e del circuito stampato è salita ben oltre i 45 gradi, a conferma che il circuito stesso è progettato per funzionare da dissipatore di calore, intelligente soluzione. Peccato che questo significhi trasmettere calore a tutti i componenti, anche quelli che non dovrebbero scaldarsi durante il funzionamento.
Tre ore con temperatura ambiente sopra i 30°. Povero eeePC...
Visto che c’ero, ho ragionato un po’, trovando “a dito” i chip che si scaldavano di più, e con del profilato di alluminio ho costruito dei dissipatori, e li ho incollati con la colla cianoacrilica sui due chip più “calorosi”.
I due dissipatori in alluminio
Naturalmente ho fatto attenzione a non far toccare i dissipatori con altri componenti, ma è stato facile perché nei dintorni dei due chip in questione c’è spazio.
L'interno dello Zyxel con i dissipatori incollati sui chip più 'hot'
Risultati
Dopo qualche giorno di “cottura”, visto che le temperature massime in questo periodo sono costanti sui 36°, con le notturne che non scendono mai sotto i 23°, senza un alito di vento, il modem router non presenta problemi di sorta, soprattutto quello delle porte Ethernet che presentava prima dell’intervento.
Il puro costo materiale dell’operazione è di circa 15 euro, comprendendo gli 8 euro delle spese di spedizione di Distrelec. Il mio tempo non lo considero, altrimenti sarebbe stato molto più conveniente buttare il tutto e acquistare un Cisco 867W. Sì, non sono a buon mercato.
Riferimenti
- La pagina ufficiale del modem/router Zyxel Prestige 660HW
- Una raccolta di informazioni utili sullo Zyxel Prestige 660HW
- Un firmware non ufficiale che risolve il problema con DynDNS, ossia se si spegne e riaccende il router vengono perse le impostazioni relative al servizio DynDNS
- Il sito di Distrelec
- Un interessante articolo sui condensatori elettrolitici e su un problema che nel periodo 2000-2006 fece parecchi danni, conosciuta come “capacitor plague“. Qualcuno ci ha anche fatto affari, sull’incompetenza di altri.
Era da un po’ che lasciavo andare in pezzi il blog, ed oggi mi sono deciso a fare un po’ di pulizie di primavera, in ritardo. Aggiornamenti, nuovo tema, rimossa vecchia roba inutile.
Fra questi, ho eliminato il test per i blog WordPress “0wn3d”, per vari motivi:
- Non è più efficace. L’ondata di spam, nascosto e mostrato agli spider dei motori di ricerca, è stata resa inefficace dalla reazione forte dei motori di ricerca stessi. I blog con ancora installate le vecchie versioni, o che erano colpiti dalla pestilenza, sono ora colpiti da varianti meno complesse ma infinitamente più subdole: iniezioni di Javascript colpiscono i visitatori tentando di rifilare malware estremamente dannosi; link singoli vengono nascosti in punti insospettabili; backdoor vengono insediate in punti poco evidenti. Insomma, il test è del tutto inefficace per queste varianti, ma chi ha un blog violato, anche se ha aggiornato all’ultima versione di WordPress potrebbe avere gravi problemi di sicurezza, non rilevabili facilmente dall’esterno.
- Nelle ultime settimane ha lavorato pochissimo, segno che l’interesse non è più così alto. Naturalmente, blog colpiti ve ne sono ancora tanti, ma i sintomi sono differenti.
- Il codice è stato scritto senza preoccuparsi troppo della correttezza formale e dei canoni della programmazione. Non è da escludere che contenga errori gravi abbastanza da compromettere l’intero sito. E non mi va di rischiare, senza nessun vantaggio.
Per questo motivo, la pagina del test è sostituita con un redirect a questo post. Se a qualcuno interessa, lo script PHP dell’ultima versione è disponibile per il download, senza nessun vincolo, a parte la licenza GPLv2.
WordPress Autotest v1.11 (zip)
Questo capitolo si chiude, ma il mentecatto è là fuori che trama. Il suo problema non è trovare siti vulnerabili da conquistare, no. Questo è semplicissimo. Il suo problema è trovare il modo di guadagnarci sopra, ma non dovrebbe essere troppo difficile inventarsi qualche birbonata.
Cedendo al narcisismo, avevo deciso di partecipare al “contest” del Miglior Blog Tecnico. Poi le cose sono cambiate, ed il destino ci ha messo del suo. Come avete notato, la mia presenza qui è diventata occasionale, ed il tempo a mia disposizione è sempre meno.
E’ un periodo denso di novità, impegni, progetti, ed il tempo (poco) che mi rimane lo reclama il pargolo, come è suo diritto, e sono ben felice di dedicarglielo, anche se non è sempre facile.
Di conseguenza ho scelto di ritirarmi dalla competizione di cui sopra. L’alternativa era di mettermi a scrivere articoli “riempitivo”, ma con voi che mi seguite c’è un patto, che fino ad ora ha sempre dato i suoi frutti: niente articoli “forzati”, scritti per fare massa.
Quindi, se non trovate materiale nuovo è perché sto tenendo fede al patto.
Son periodi. Passeranno. Speriamo.
Dopo mesi passati a languire abbandonato a sé stesso, l’altro blog ospitato su questo server si chiude. Niente bilanci, non è il caso.
L’entusiasmo iniziale che aveva prima fatto nascere il sito, poi il blog a partecipazione multipla, si è gradualmente attenuato, ed ha preso un’altra strada.
Il gruppo c’è ancora, ma ha un differente orientamento. Lo scambio è diventato meno frequente, ma quando avviene è intenso. Alcuni del gruppo hanno anche avuto il piacere di lavorare insieme in qualche progetto. E fra poco è tempo della periodica cena sociale a base di bistecche di brontosauro (o come dice Max “bistecche da un Terabyte”).
Gli articoli che avevo scritto nell’altro blog li trasferirò man mano su questo, ovviamente solo quelli di interesse ed ancora attuali.
Beh, di positivo c’è che sono rimasto “padrone del campo”…
A breve toglierò il feed degli articoli tramite FeedBurner. E’ poco seguito e pesa inutilmente sul tempo di caricamento della pagina.
Per chi vuole continuare a seguirmi, sulla barra qui a destra c’è il link per i feed diretti, senza intermediari.
Grazie e scusate per l’inconveniente.
Aggiornamento del sito
Apr 29
Visto il recente cancan di exploits, attacchi, iniezioni di codice ed altre amenità della stessa pasta, ho deciso di aggiornare WordPress all’ultima versione. Alcuni plugin non funzionano con l’attuale versione, per cui ho dovuto rinunciarvi.
Se notate stranezze e omissioni, vi prego di segnalarmelo.
Grazie e buona lettura.
