[gelöst] Feisty: mod_security ?

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

1

11.06.2007, 00:39

Seit Feisty ist mod_security ja aus den "offiziellen Repositories" verschwunden. Eine Installation der Pakete aus Edgy würde zwar theoretisch klappen - wäre da nicht die Abhängigkeit von apache2-common. Letztere lässt sich auch nicht durch ein gleichnamiges Dummy-Paket (aka Meta-Paket) umgehen, da sich das dann mit apache2.2-common beißen würde (wo es explizit auf der Unverträglichkeits-Liste steht).

Was macht nun jemand, der mod_security dringend braucht? Hat da schon wer ein Paket gebastelt? Und, bevor jemand fragt: Die andersnamige abgespeckte Version ist keine Option, da sie sich nicht einmal sauber installieren lässt (Apache kommt dann nämlich nicht mehr hoch).

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Izzy« (06.07.2007, 08:28)

Zum Seitenanfang

fremdkoerperfalle

Account auf eigenen Wunsch gelöscht

Beiträge: 18 492

2

11.06.2007, 01:07

RE: Feisty: mod_security ?

Du kannst Dir ja das einzelne Debian Paket aus den Edgy Quellen per "wget" saugen und dann installieren mit:

	Quellcode
1	sudo dpkg -i --ignore-depends=Paket

Somit werden die Abhängigkeiten nicht aufgelöst.

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »fremdkoerperfalle« (11.06.2007, 01:09)

Zum Seitenanfang

imase

User

Beiträge: 618

Registrierungsdatum: 08.12.2005

Derivat: Ubuntu

Architektur: 64-Bit PC

Andere Betriebssysteme: CentOS, RedHat

3

11.06.2007, 01:26

Hi Izzy,

wenn das Problem mit dem Tipp der fremdkoerperfall gelöst wäre, dann setze das Thema des Threads auf [Gelöst]...!

Danke!

MFG

imase

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

4

11.06.2007, 09:16

@imase: Nein, ist es leider nicht.
@fremdkoerperfalle: Habe ich bereits probiert. Damit lässt es sich zwar installieren - anschließend kann ich aber alle Arten von apt (also apt-get, synaptics, etc.pp.) vergessen: Egal, was ich auch machen will - exakt diese beiden Pakete (libapache2_mod_security und das mod_security_common) werden aufgrund der fehlenden Abhängigkeit als "defekt" gelistet und deinstalliert. Lässt sich auch nicht auf Dauer ignorieren - bei jedem Paket, welches ich dann (de-) installieren wollte, müsste ich anschließend manuell wieder diese beiden Pakete nachinstallieren. Das kann's ja nicht sein.

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

fremdkoerperfalle

Account auf eigenen Wunsch gelöscht

Beiträge: 18 492

5

11.06.2007, 10:20

Wie schauts denn aus, wenn Du Dir aus den edgy respos nicht die .debs saugst, sondern die Quellen nimmst und "manuell" installierst?

PS:
Es gibt eine Möglichkeit apt beizubringen, bestimmte Pakete beim update auszulassen. Diese werden dann quasi ignoriert. Da ich dass noch nie benutzt habe, müsstest Du nach der Lösung, wie das funktioniert etwas googeln, bzw. die "Suche" benutzen, falls dass hier schon mal besprochen wurde.
Ich sitze auch gerade an einem MAC und kann nicht selbst nachschauen.

Edit:
Hab ich gerade gefunden, eventuell hilfts Dir:

Schau Dir mal den Punkt 4.10 dieser apt-how-to an.

Dieser Beitrag wurde bereits 2 mal editiert, zuletzt von »fremdkoerperfalle« (11.06.2007, 10:33)

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

6

11.06.2007, 11:09

Zitat

Original von fremdkoerperfalle
Wie schauts denn aus, wenn Du Dir aus den edgy respos nicht die .debs saugst, sondern die Quellen nimmst und "manuell" installierst?

Das ändert nichts an den Abhängigkeiten (und damit dem eigentlichen Problem). Die mod_security Pakete von Edgy verlangen explizit apache2-common - welches bei Feisty apache2.2-common heißt und explizit sagt, ich will nicht zusammen mit apache2-common.

Was hier helfen würde (und da fehlen mir die nötigen Kenntnisse) wäre ein "Neubau" der Pakete mit geänderten Dependencies (statt "requires apache2-common" ein "requires apache2-common OR apache2.2-common"), wobei alles andere (Inhalte, Beschreibung, etc.) beibehalten werden kann (und sollte).

Zitat

Original von fremdkoerperfalle
Es gibt eine Möglichkeit apt beizubringen, bestimmte Pakete beim update auszulassen.

Pinnen, ich weiß. Hilft aber hier nicht. Das würde helfen, wenn Du z.B. "paket_v0815" sauber installiert hast und vermeiden möchtest, dass ein Update z.B. auf "paket_v4711" erfolgt. Pinnen kannst Du nur Versionen, und auch nur diese werden dann ignoriert - nicht jedoch ganze Pakete, die irgendwelche "Schäden" aufweisen. Anders ausgedrückt: Du ignorierst nur neuere Versionen, nicht jedoch Fehler.

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

imase

User

Beiträge: 618

Registrierungsdatum: 08.12.2005

Derivat: Ubuntu

Architektur: 64-Bit PC

Andere Betriebssysteme: CentOS, RedHat

7

11.06.2007, 11:25

Hi,

ich würde vielleicht woanders ansetzen. Wofür brauchst du denn den Apache? Wenn es nur einbisschen rumproggen ist, dann nimm dir doch VMWare oder ähnliches und installier dir dort einen ubuntu-server edgy/dapper ohne irgendwelche Oberflächen. Damit hättest du eine fast abgeschottete Entwicklungsumgebung und könntest auch von dieser bequem Backups ziehen usw. Es ist auch nicht wirklich als Ressourcenfressend zu bezeichnen, weil du ja die VM nicht immer laufen lassen musst.

Das hatte ich mal für eine PHP/MySQL Entwicklungsumgebung gemacht, klappte auch super. Eine Überlegung wäre es wert, denk ich.

MFG

imase

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

8

11.06.2007, 11:36

Imase, da muss ich Dich leider enttäuschen. Es laufen 4 Domains auf dem Rechner, und zwar immer. Zwar als Testserver (die Produktiv-Version läuft nach wie vor unter Dapper), aber dennoch. Hinzu kommt mein MediaServer (SwissCenter) sowie ein paar Webbasierte Datenbankapplikationen. Mit VMWare isses nix - ich will nicht immer erst die VM hochfahren, um "mal eben" was nachzuschauen. Außerdem brauche ich das, um von Remote auf meine Kiste zuzugreifen - und da kann ich auch nicht erst Remote die VMWare hochfahren

Die Erfahrung der Vergangenheit besagt jedoch - und die Logfiles der Gegenwart bestätigen dies, das da ständig jemand eine Schwachstelle sucht, um seinen EggDrop oder was auch immer loszuwerden. Das hatte ich bislang (Dapper) mit mod_security gut im Griff, und so sollte es auch weiterhin sein.

Zur Not packe ich die *.deb Dateien einfach aus (mit dem Midnight-Commander kein Problem) und kopiere alles Nötige manuell an Ort und Stelle. Zum einen ist das jedoch "unsauber", und zum zweiten bin ich ja nicht der einzige Betroffene (schau mal bei Google nach "mod_security Feisty"). Daher wäre es schön, eine (halbwegs) saubere Lösung zu haben, die dann auch etwas für die anderen Betroffenen ist.

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

imase

User

Beiträge: 618

Registrierungsdatum: 08.12.2005

Derivat: Ubuntu

Architektur: 64-Bit PC

Andere Betriebssysteme: CentOS, RedHat

9

11.06.2007, 11:41

Das kann ich verstehen. Aber warum willst du überhaupt wechseln? Die Dapper 6.06.1 Version ist die mit dem LTS-Support bis 2011. Das heißt du kannst dir Zeeeiiiit lassen, vielleicht wird die mod_security im nächsten Release beigepackt. Außerdem würde ich für solche Server generell lieber die stabilere, sichere Version nehmen, als eine die mehr auf Desktop zielt.

Musst du etwa unbedingt apache 2.2 haben?

Es ist deine Entscheidung!

MFG

imase

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

10

11.06.2007, 11:55

Bitte nicht falsch verstehen - auf dem Server bleibt nach wie vor Dapper drauf, und da rühre ich auch so schnell nicht dran. Hatte ich ja extra wegen LTS draufgebracht.

Der Rechner, um den es hier jetzt geht, ist mein Desktop PC. Auf dem läuft halt auch die Test- und Entwicklungsumgebung. Den habe ich gerade neu hochgezogen (neue Hardware), und daher auch gleich Feisty draufgesetzt. Bei Dapper gibt es offensichtlich ja nur noch Security-Updates - es kommen keine neuen Pakete bzw. Programmupdates mehr. Und die brauchte ich halt in einigen Bereichen - auf dem Desktop PC.

Wie dem auch sei: Es geht mir hier wirklich um mod_security und Feisty. Nicht "oder", nicht VMWare. Es ist schon richtig, dass ich nicht unbedingt Apache 2.2 brauche - aber das ist nunmal der, der mit Feisty ausgeliefert wird. Und mit Ausnahme des mod_security läuft das ja auch. Ich möchte nicht alles andere umstellen, nur um dieses eine Paket installieren zu können - sondern dieses eine Paket so anpassen, dass ich es installiert bekomme

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

imase

User

Beiträge: 618

Registrierungsdatum: 08.12.2005

Derivat: Ubuntu

Architektur: 64-Bit PC

Andere Betriebssysteme: CentOS, RedHat

11

11.06.2007, 11:59

Zitat

Original von Izzy
Bitte nicht falsch verstehen - auf dem Server bleibt nach wie vor Dapper drauf, und da rühre ich auch so schnell nicht dran. Hatte ich ja extra wegen LTS draufgebracht.

Der Rechner, um den es hier jetzt geht, ist mein Desktop PC. Auf dem läuft halt auch die Test- und Entwicklungsumgebung. Den habe ich gerade neu hochgezogen (neue Hardware), und daher auch gleich Feisty draufgesetzt. Bei Dapper gibt es offensichtlich ja nur noch Security-Updates - es kommen keine neuen Pakete bzw. Programmupdates mehr. Und die brauchte ich halt in einigen Bereichen - auf dem Desktop PC.

Wie dem auch sei: Es geht mir hier wirklich um mod_security und Feisty. Nicht "oder", nicht VMWare. Es ist schon richtig, dass ich nicht unbedingt Apache 2.2 brauche - aber das ist nunmal der, der mit Feisty ausgeliefert wird. Und mit Ausnahme des mod_security läuft das ja auch. Ich möchte nicht alles andere umstellen, nur um dieses eine Paket installieren zu können - sondern dieses eine Paket so anpassen, dass ich es installiert bekomme

Na gut, bin ja schon still...

Dann viel Glück dabei!

MFG

imase

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

12

11.06.2007, 12:58

Hehe

Ganz so war das nicht gemeint. Wollte halt nur mitteilen, welche Art von Lösung in anstrebe.

Gibt es denn hier niemanden, der z.B. einen Tipp bzgl. "re-packaging" geben kann? Bin halt mit dem Builden nicht ganz so vertraut. Und für das komplette Neu-Übersetzen aus den Sourcen habe ich halt nicht alles installiert - und möchte das auch nicht unbedingt (alle *devel* Pakete nur für diese eine Sache ist mir ein wenig Overhead).

Daher also mal ein wenig konkretisiert, was mir vorschwebt:

Möglichkeit 1 - "Quick'n'Dirty": <deb-rebuild> <Edgy-Paket> <Feisty-Paket> <NewDeps>
Ich weiß nicht, ob es ein Progrämmchen gibt, das dieses tut. Und auch nicht, wie eine "alternative Abhängigkeit" (hier: "apache2-common OR apache2.2-common") formuliert werden müsste.

Möglichkeit 2 - Sauber: <deb-build> <source-pkg> <bin-pkg> <NewDeps>
Vielleicht könnte das jemand machen, der alle nötigen Voraussetzungen dafür hat, und uns bedürftigen dann die binary packages bereitstellen? Wenn sie schon nicht in die "offiziellen Repositories" kommen, zumindest zum Download (oder in eines der schönen alternativen Repositories, und hier einen Hinweis zum Einbinden desselbigen in die sources.list)?

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

13

06.07.2007, 08:28

So, und jetzt für alle Leidensgenossen ein kleines Shell-Skript:

Quellcode

#!/bin/bash
# Install mod_security in Ubuntu Feisty

# mod_security depends on unique_id, so make sure this module is enabled
# (since this is part of apache2.2-common, it has to be installed already)
[ ! -f /etc/apache2/mods-enabled/unique_id.load ] &&
ln -s /etc/apache2/mods-available/unique_id.load /etc/apache2/mods-enabled/

# we need the devel packages to build the module. Due to dependencies, this may
# install quite a few packages - you can remove them later
[ ! -f /usr/bin/apxs2 ] && apt-get install apache2-dev

# download, compile and install mod_security
wget http://www.modsecurity.org/download/modsecurity-apache_1.9.4.tar.gz
tar zvxf modsecurity-apache_1.9.4.tar.gz
cd modsecurity-apache_1.9.4/apache2
apxs2 -cia mod_security.c

# prepare the module to be loaded by apache2
echo "LoadModule security_module /usr/lib/apache2/modules/mod_security.so">/etc/apache2/mods-available/mod_security.load

# prepare a basic configuration for mod_security - you may want to edit this
cat>/etc/apache2/mods_available/mod_security.conf<<ENDQUOTE
<IfModule mod_security.c>
  # dynamic request only.
  #SecFilterEngine DynamicOnly

  SecFilterEngine On

  SecFilterDefaultAction "deny,log,status:500"

  # basic rules.
  SecFilterScanPOST On
  SecFilterCheckURLEncoding On
  SecFilterCheckCookieFormat On
  SecFilterCheckUnicodeEncoding Off
  SecFilterNormalizeCookies On
  # Active la version 1 (RFC 2965) cookies
  SecFilterCookieFormat 1

  SecServerResponseToken Off

  SecFilterForceByteRange 1 255

  #fake server banner - NOYB used - no one needs to know what we are using
  #SecServerSignature "NOYB"

  #SecUploadDir /tmp
  #SecUploadKeepFiles Off

  # Only record the interesting stuff
  SecAuditEngine RelevantOnly
  SecAuditLog /var/log/apache2/audit_log

  #mode debug conf.
  SecFilterDebugLevel 0
  SecFilterDebugLog /var/log/apache2/modsec_debug_log

</IfModule>
ENDQUOTE

# enable mod_security
ln -s /etc/apache2/mods-available/mod_security.load /etc/apache2/mods-enabled/
ln -s /etc/apache2/mods-available/mod_security.conf /etc/apache2/mods-enabled/

# restart apache (reload maybe not enough)
/etc/init.d/apache stop
/etc/init.d/apache start

Ist zwar nicht das gleiche wie ein Paket - aber es funktioniert. Anschließend kann man bei Bedarf noch die ganzen installierten Devel-Pakete wieder runterschmeißen. Habe alles auf Englisch kommentiert - ist so eine dumme Angewohnheit von mir

Nach vollendeter Installation kann man sich auch noch einen Satz fertige Rules herunterladen (z.B. hier, oder ein wenig googeln - es gibt einige nette Sammlungen), um die oben erstellte Basis zu ergänzen.

So, hoffe das hilft noch jemandem weiter - für mich ist das Problem damit [gelöst].

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

14

08.07.2007, 18:38

Wem ein .deb lieber ist, der kann einmal folgendes probieren (keine Garantie!):

In der /etc/apt/sources.list hinzufügen:

	Quellcode
1	deb http://apt.izzysoft.de/ubuntu feisty universe

Einschub von Buba:

Quellcode

1

sudo apt-get update

nicht vergessen!

und dann ein

	Quellcode
1	apt-get install libapache2.2-mod-security

Damit sollte alles nötige installiert werden, ohne dass die ganzen devel Pakete benötigt werden. Allerdings wird mod_security nicht automatisch aktiviert - hierzu braucht es dann noch folgendes:

Quellcode

# aktiviere das unique Modul, sofern es noch nicht aktiv ist
[ ! -f /etc/apache2/mods-enabled/unique_id.load ] &&
ln -s /etc/apache2/mods-available/unique_id.load /etc/apache2/mods-enabled/

# aktiviere mod_security
ln -s /etc/apache2/mods-available/mod_security.load /etc/apache2/mods-enabled/
ln -s /etc/apache2/mods-available/mod_security.conf /etc/apache2/mods-enabled/

# restart apache (reload maybe not enough)
/etc/init.d/apache stop
/etc/init.d/apache start

Feedback erbeten

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Izzy« (13.07.2007, 10:19)

Zum Seitenanfang

mavs

User

Beiträge: 6

Registrierungsdatum: 13.07.2007

15

13.07.2007, 09:06

Hi Izzy,

habe versucht, dein Paket zu nutzen...

Leider meldet mir apt-get update weiterhin Fehler:

Failed to fetch http://www.izzysoft.de/ftp/repo/ubuntu/dists/feisty/Release Unable to find expected entry universe/binary-i386/Packages in Meta-index file (malformed Release file?)
Reading package lists... Done
W: Conflicting distribution: http://www.izzysoft.de feisty Release (expected feisty but got )
W: You may want to run apt-get update to correct these problems
E: Some index files failed to download, they have been ignored, or old ones used instead.

Kannst du den Pfad entsprechend der obigen Meldung anpassen? Falls nicht, werde ich das obige Skript mal ausprobieren...

Danke und Gruß,

Nico

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

16

13.07.2007, 10:52

Hallo mavs,

tricky Sache das. Sorry, ist halt mein erstes Repository, das ich baue

Habe den/die Fehler jetzt hoffentlich alle beseitigt. Bitte beachte die geänderte URL - zur besseren Fehleranalyse etc.pp. habe ich für das Repository einen eigenen virtuellen Host aufgesetzt (mit eigenen Logfiles):

	Quellcode
1	deb http://apt.izzysoft.de/ubuntu feisty universe

Habe das in meinem vorigen Post auch gleich angepasst, damit die alte URL möglichst schnell in Vergessenheit gerät

Probier doch bitte jetzt nochmal. Und lass mich dann bitte auf jeden Fall das Ergebnis wissen (auch nach erfolgreicher Paketinstallation: Klappt alles, fehlt was?). Damit die nächsten Pakete besser werden können

Und wenn es jetzt hier noch einen Repository-Profi gibt, der mir sagen kann, was apt-get in dists/feisty/universe/i18n sucht (klar, irgendwelche Übersetzungen), und wie ich das ggf. bereitstellen kann (sonst müllt mir das error.log zu), habe ich große offene Ohren auch dafür

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

mavs

User

Beiträge: 6

Registrierungsdatum: 13.07.2007

17

13.07.2007, 11:13

Hi Izzy,

Danke vorab für die schnelle Umsetzung.

Sitze gerade in der Uni, werde es aber später ausprobieren und dir dann das Ergebnis mitteilen...

Gruß,

Nico

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

18

13.07.2007, 12:04

Super. Dann bis später.

Btw: Wenn alles steht, plane ich hier (soweit möglich) sämtliche von mir geschriebene (und noch aktuell gepflegte) Software als Package für Ubuntu bereitzustellen. Und vielleicht noch das eine oder andere mehr

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Zum Seitenanfang

mavs

User

Beiträge: 6

Registrierungsdatum: 13.07.2007

19

13.07.2007, 13:47

OK,

hab jetzt gerade folgendes ausprobiert:

1. Sources-List angepasst --> apt-get update läuft einwandfrei durch

2. apt-get install libapache2.2-mod-security schmeißt folgende Fehler:

Reading package lists... Done
Building dependency tree
Reading state information... Done
The following NEW packages will be installed:
libapache2.2-mod-security
0 upgraded, 1 newly installed, 0 to remove and 2 not upgraded.
Need to get 385kB of archives.
After unpacking 0B of additional disk space will be used.
Err http://apt.izzysoft.de feisty/universe libapache2.2-mod-security 1.9.4-1izzy1
404 Not Found
Failed to fetch http://apt.izzysoft.de/ubuntu/binary-i38…1izzy1_i386.deb 404 Not Found
E: Unable to fetch some archives, maybe run apt-get update or try with --fix-missing?

Hat sich bei dir auch der Name oder das Verzeichnis geändert? Ich kann nämlich auch nicht mehr auf das Repository zugreifen...

Gruß,

Nico

Zum Seitenanfang

Izzy

User

Beiträge: 104

Registrierungsdatum: 15.08.2005

Derivat: Kubuntu

Architektur: 32-Bit PC

20

13.07.2007, 17:02

Mach bitte nochmal ein apt-get update und versuch es erneut. Irgendwie ist es noch mehr tricky als gedacht... Habe die Indexes nochmal neu gebaut, diesmal vom DIRECTORY_ROOT ausgehend.

Edit: Habe es gerade einmal selbst probiert (mit einem "unverfänglichen" Paket). Sollte jetzt klappen - ich habe keinen Fehler angezeigt bekommen, Paket wurde anstandslos installiert.

Gruß,
Izzy.

-= We have joy, we have fun, we boot Linux on a SUN... =-

Dieser Beitrag wurde bereits 1 mal editiert, zuletzt von »Izzy« (13.07.2007, 17:07)

Zum Seitenanfang

Ubuntu-Forum & Kubuntu-Forum | www.Ubuntu-Forum.de