mindsellers

Как спасти сервер от коллеги и про тайну личной переписки

За долгие годы админства я уже разучился удивляться тому, что иногда выясняешь, что не знаешь базовых, примитивных вещей. Сегодня, на одиннадцатом году работы с Linux, я с удивлением для себя узнал о крайне полезной, как минимум в двух ситуациях, команде.

Представьте: ваш коллега потопал ножками в серверную, чтобы внести некие изменения на Linux-сервере с консоли. Ну допустим, айпишник сменить, чтобы в случае падения быстренько все на месте исправить. Или ядро обновить. Или просто он не доверяет ssh. Телефон этот раздолбай, как обычно, оставил в кабинете. И тут до вас внезапно доходит осознание того, что если он осуществит задуманное, сервер ляжет и не встанет. Как его остановить? Бежать за ним уже поздно, кричать бесполезно...

Или вот другая ситуация: вы, используя команду who видите, что на сервере есть подключенные по ssh клиенты, а сервер надобно перезагрузить. Как узнать - реально ли кто-то там что-то там делает, или просто забыл закрыть консольку? Как предупредить всех о своем намерении перезагрузить сервер?

Оказывается, в любом современном дистрибутиве есть волшебная команда wall, которая будучи вызванной с некой строкой в качестве аргумента принудительно выплюнет оную во все активные терминалы!!!

wall Hello World!

На всех консолях, даже если там что-то запущено, появится что-то вроде

Broadcast message from root@mindserllers (pts/2) (Fri Mar 23 15:28:21 2018):   
                                                                               
Hello World!

Вот такая полезная софтина, на которую я почему-то никогда не натыкался.

Но тут я вспомнил еще об одной давней мечте - иметь возможность обмена информацией по максимально защищенному каналу, но с людьми, для которых настройка VPN - уже целое дело. Догадываетесь, да? Просто ставим putty, даем друзьям дико кастрированный shell до какой-нибудь своей виртуалки в Цюрихе(ну, у всех ж есть виртуалка в Цюрихе, да?), - и готово, переписочка внутри ssh и не надо ничего писать самому. Да, пусть не самая удобная, но зато мы ТОЧНО знаем, что никакой Паша Дуров никакую нашу переписку никуда не сливает.

Но давайте пофантазируем дальше и решим, как все-таки кастрировать shell тем друзьям, которым удастся "продать" нашу безопасность. Да все просто: мы напишем свой shell!

Создадим файл /usr/bin/chat_shell.py с правами 755 и запишем в него

#!/usr/bin/python

import os
from getpass import getuser
user=getuser()
print 'Hello, '+user +'\n'
print 'To quit type "/exit"' + '\n\n'
try:
  while True:
    string=raw_input(user+'>')
    if string == '/exit':
      exit()
    elif string == '':
      pass
    else:
      os.system('wall'+' ' +string)
except:
  pass

Это и будет наш шелл. Теперь добавим его в список командных оболочек:

echo '/usr/bin/chat_shell.py' >> /etc/shells

и еще добавим возможность вызывать его от "нормального" пользователя попроще:

echo alias chat='/usr/bin/chat_shell.py' >> /etc/bash.bashrc

Ну и создаем ограниченного юзера:

adduser username --shell /usr/bin/chat_shell.py

Вот, собственно, и все на сегодня.

P.S. Как вы понимаете, аналогичным образом можно написать свой "ограниченный" shell практически под любые задачи.

Всем хороших выходных!

#onestringscript #python #linux

114 viewsedited 12:26