error: FreeBSD with vulnerable chroot (FreeBSD-SA-11:07.chroot)
chroot to ‘/home/someuser’ failed for user ‘some user’: Operation not permitted
error: unable to set default root directory

dan yang berikut ini error yg terjadi dari sisi client

ftp someserver.com
Connected to someserver.com.
220 ProFTPD 1.3.3g Server (ProFTPD Default Installation) [::ffff:234.123.45.234]
Name (someserver.com:giest):giest
331 Password required for giest
Password:
530 Login incorrect.
ftp: Login failed
ftp> exit
221 Goodbye.

Pertama melihat error tersebut sudah langsung ber prasangka buruk bahwa chroot bermasalah.

Kemudian setelah sedikit googling dengan keyword FreeBSD-SA-11:07.chroot ketemu juga solusi nya disini.

http://security.freebsd.org/advisories/FreeBSD-SA-11:07.chroot.asc

Berhubung server yg mengalami masalah menggunakan FreeBSD 8.2-Stable maka opsi melakukan update lewat binary patch tidak bisa dilakukan.

Berikut ini langkah-langkah yang saya lakukan berdasarkan informasi dari security advisories diatas, semua proses dilakukan oleh root.

download file patch

fetch http://security.FreeBSD.org/patches/SA-11:07/chroot8.patch

fetch http://security.FreeBSD.org/patches/SA-11:07/chroot8.patch.asc

patch

cd /usr/src

patch < /root/chroot8.patch

Recompile OS

make buildworld

make buildkernel KERNCONF=GIEST

make installkernel KERNCONF=GIEST

Restart dan Apply

shutdown -r now

mergemaster -p

cd /usr/src

make installworld

mergemaster

shutdown -r now

dan Beres..

Menampilkan seluruh file didalam satu folder (rekursif)

find . -print

Mencari nama file foo di seluruh harddisk (system)

Apabila command berikut tidak dilakukan oleh root maka anda akan mendapatkan beberapa error message.

find / -name foo

Mencari nama file tertentu didalam folder tertentu

find ./ -name “namafile”

Mencari nama file dengan wild card contoh hanya mencari file dengan extensi .php

find ./ -name “*.php”

Mencari file didalam beberapa folder didalam suatu folder tertentu.

Contoh mencari file di dalam folder public_html untuk seluruh user yang ada di /home

find /home/*/public_html -name “*.php”

Contoh mencari file dengan akhiran tertentu

find / -name “*foo”

Contoh mencari file dengan awalan tertentu

find / -name “foo*”

Contoh mencari file yang mengandung kata tertentu

find / -name “*foo*”

Mencari file didalam banyak folder yang berbeda-beda

find /home /var /usr -name “foo”

Mencari file dengan batasan rekursif sampai berapa dalam

find /home/*/public_html -depth 3 -name “*.php”

Mencari file yang tidak memiliki kata tertentu

find ./ -not -name “*.php”

Mencari file yang dimodifikasi dalam jangka waktu tertentu

Contoh tidak lebih dari 24 jam yang lalu

find ./ -mtime 0

Contoh antara 24 – 48 jam yang lalu

find ./ -mtime 1

Contoh antara 5 menit – 10 menit yang lalu

find ./ -mmin +5 -mmin -10

Mencari direktori saja (file diabaikan)

find ./ -type d -name “foo*”

Mencari file dengan permit tertentu

find ./ -perm 755

Mencari file

Menggabungkan find dengan xargs

Mencari kata didalam sebuah file text tertentu

Contoh mencari kata “shell” didalam seluruh file ber ekstensi “*.php”

find ./ -name “*.php” | xargs grep “shell”

Menghapus seluruh file dengan nama tertentu

find ./ -name “foo” | xargs grep rm

Menghapus hanya direktori dengan nama tertentu beserta seluruh isi nya

find ./ -type d -name “foo” | xargs grep rm -rf

Hmm entah kenapa artikel ini tidak pernah selesai.. berhubung sudah terlalu lama nongkrong di draft saya anggap selesai saja dilanjut kalau ada ide lagi

Beruntung sebelumnya pernah mendapat kasus seperti ini juga sehingga tidak terlalu panik ketika tidak bisa login baik lewat remote ataupun console.

Kecurigaan saya langsung tertuju ke rusaknya file database password yaitu master.passwd.

Tanda-tanda master.passwd database password di freeBSD rusak salah satunya adalah tidak bisa login baik remote ataupun lewat console.

Atau ketika kita mencoba merubah password salah satu user akan muncul tulisan seperti berikut ini

passwd: /etc/master.passwd: corrupted entry
passwd: /etc/master.passwd: unchanged

Untuk memperbaiki nya cukup dengan mengikuti langkah-langkah berikut ini

1. Login ke box FreeBSD anda dengan single user mode (pilih 4 pada pilihan menu boot).

2. kemudian ketikan

mount -u /

atau kalau tidak berhasil bisa juga dengan opsi berikut

mount -o rw -u /

3. Lalu ketikan

mount -a

4. Dan terakhir kita perbaiki master.passwd dengan mengetikan

pwd_mkdb /etc/master.passwd

Setelah mengetikan itu semua silahkan restart box anda dan coba untuk login kembali. Apabila ternyata masih belum bisa login berarti error yang terjadi bukan dikarenakan rusaknya database master.passwd.

Selamat mencoba

Seperti halnya di Linux di FreeBSD pun sangat mudah untuk memasang IP address tambahan di satu interface.

Pertama yang harus kita lakukan adalah melihat list interface kemudian menentukan interface mana yang akan ditambahkan IP nya.

ifconfig -a
rl0: flags=8802 metric 0 mtu 1500
	options=8
	ether 00:1d:0f:c3:b4:35
	media: Ethernet autoselect
	status: no carrier
rl1: flags=8802 metric 0 mtu 1500
	options=8
	ether 00:1d:0f:c3:ac:17
	media: Ethernet autoselect
	status: no carrier
nfe0: flags=8843 metric 0 mtu 1500
	options=8
	ether 00:1f:d0:b2:4a:3b
	inet 203.190.111.222 netmask 0xfffffff8 broadcast 203.190.111.255
	media: Ethernet autoselect (100baseTX )
	status: active
plip0: flags=108810
 metric 0 mtu 1500
lo0: flags=8049 metric 0 mtu 16384
	inet6 fe80::1%lo0 prefixlen 64 scopeid 0x5
	inet6 ::1 prefixlen 128
	inet 127.0.0.1 netmask 0xff000000 

Disini saya memutuskan untuk memasang IP address tambahan di ethernet nfe0 dan IP yang ingin saya pasang adalah 172.20.0.1 dengan netmask 255.255.255.0
Sekarang saya tinggal mengetikan

ifconfig nfe0 inet 172.20.0.1 netmask 255.255.255.0 alias

Kemudian saya cek lagi dengan perintah ifconfig

ifconfig nfe0
nfe0: flags=8843 metric 0 mtu 1500
	options=8
	ether 00:1f:d0:b2:4a:3b
	inet 203.190.111.222 netmask 0xfffffff8 broadcast 203.190.111.255
	inet 172.20.0.1 netmask 0xffffff00 broadcast 172.20.0.255
	media: Ethernet autoselect (100baseTX )
	status: active

Ternyata IP 172.20.0.1 sudah terpasang di interface tersebut.
Sekarang kita coba ping ke IP yang satu subnet

ping -c 2 172.20.0.2
PING 172.20.0.2 (172.20.0.2): 56 data bytes
64 bytes from 172.20.0.2: icmp_seq=0 ttl=64 time=0.828 ms
64 bytes from 172.20.0.2: icmp_seq=1 ttl=64 time=0.395 ms

--- 172.20.0.2 ping statistics ---
2 packets transmitted, 2 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 0.395/0.611/0.828/0.217 ms

Supaya setiap restart kita tidak perlu mengetikan perintah diatas kita tinggal masukan perintah berikut ke file /etc/rc.conf.

ifconfig_nfe0_alias0="inet 172.20.0.1 netmask 255.255.255.0"

Untuk menghapus IP yang telah terpasang anda bisa mengetikan

ifconfig nfe0 inet 172.20.0.1 netmask 255.255.255.0 -alias

Perhatikan tanda – (minus) sebelum tulisan alias.

Dan selesai lah sudah

shutdown
Perintah ini pada dasar nya sama seperti perintah halt dan reboot.

Option :

shutdown –r (time/now) untuk restart
shutdown –h (time/now) untuk mematikan komputer

Contoh :

shutdown –h now untuk mematikan komputer sekarang juga
shutdown -r now untuk merestart komputer sekarang juga
shutdown –r 5 untuk merestart komputer dalam waktu 5 menit. Biasanya digunakan untuk mengasih kesempatan kepada client untuk save dulu data

useradd / adduser
perintah untuk membuat user baru (hanya bisa dilakukan oleh root)
contoh :

useradd giest

Perintah tersebut akan membuat satu user bernama giest dengan home directory standar /home/giest dan shell /bin/bash
Option :

useradd giest –u 1000 –g users –d /home/giest –s /bin/bash

Perintah tersebut akan membuat satu user bernama giest, dengan user id 1000 group nya users (group users tersebut harus sudah terlebih dahulu dibuat) home directory /home/giest dan shell nya /bin/bash

passwd
Perintah untuk merubah password. Apabila di lakukan di account root maka bisa untuk merubah password user yang lain.
Contoh :

passwd
passwd giest

perintah tersebut untuk merubah password user yang sedang aktif atau apabila nama user nya di tentukan, akan merubah password untuk user tersebut.

su
Subtitute User atau berpindah dari satu user ke user yang lain.
Contoh :

su
su giest

Perintah ini akan menyebabkan kita berpindah dari user aktif ke user giest. Apabila kita berpindah dari root ke user biasa, maka kita tidak akan diminta untuk memasukan password. Tetapi apabila berpindah dari user biasa ke root atau dari user biasa ke user biasa lainnya, kita akan diminta untuk memasukan password.
Perintah su saja tanpa memasukan nama user akan dianggap kita berpindah dari user aktif ke root.

userdel (tidak berlaku untuk semua *nix)
Perintah untuk menghapus suatu account user.

Option : userdel –r untuk menghapus user account beserta home directory nya.
Contoh :

userdel –r giest

Perintah ini akan menghapus user giest beserta home directory /home/giest.

groupadd
Perintah untuk membuat sebuah group baru
Contoh :

groupadd webmaster

Perintah ini akan menghasilkan satu buah group baru bernama webmaster.

groupdel
Perintah untuk menghapus satu group.
Contoh :

groupdel webmaster

Perintah ini akan menghapus group webmaster.

whereis
Perintah untuk mencari lokasi suatu file
Contoh :

whereis README

find
Perintah untuk mencari file di sebuah directory tertentu
Contoh :

find /home/giest –name README

Perintah tersebut akan berusaha mencari file README di directory /home/giest atau di directory –directory lain didalamnya.

locate
Ini juga perintah untuk mencari file dengan berdasarkan database yang telah dibentuk sebelumnya.
Contoh :

locate README

Perintah ini akan berusaha mencari semua file yang mengandung nama README di seluruh directory.

man
Perintah untuk melihat manual perintah-perintah di linux.

Contoh :

man ls

Perintah ini akan menampilkan manual dari ls.

chown
Perintah untuk merubah kepemilikan file atau directory.
Option : chown –r
Contoh :

chown giest.users README

Untuk di BSD silahkan ganti giest.users menjadi giest:users (titik menjadi titik dua)

Perintah ini akan merubah status kepemilikan file README menjadi milik user giest dan group users.

chmod
Perintah untuk merubah mode sebuah file
Contoh :

chmod 755 README

Perintah ini akan merubah mode atribut file README menjadi rwxr-xr-x atau mode read write eksekusi untuk owner atau pemilik, mode read dan eksekusi saja untuk user yang satu group dan mode read dan eksekusi saja untuk user lain selain yang satu group.
Berikut ini model status kepemilikan file
Atribut sebuah file biasanya terdiri dari 10 digit (- — — —) yang secara umum bisa dibagi 4 bagian. Satu digit pertama adalah status dari file tersebut “d” berarti directory “l” berarti link ke file yang lain. Tiga digit berikutnya adalah mode untuk pemilik file atau owner. Tiga digit berikutnya untuk user yang satu group dan tiga digit terakhir untuk user yang tidak satu group atau disebut juga other.
Mode file berdasarkan bilangan binary dimana apabila pada digit tersebut bernilai satu maka akan diangga digit tersebut aktif
Contoh : – rwx r-x r-x maka bisa dituliskan sebagai – 111 101 101 atau kalau dalam bilangan desimal bisa juga ditulis sebagai 755

who
Perintah ini akan menampilkan siapa saja yang sedang login waktu login dan jenis terminal.

w
Perintah ini hampir sama dengan who hanya akan menampilkan lebih banyak keterangan seperti berapa lama idle dan remote login.

dmesg
Perintah untuk melihat log boot. Biasanya digunakan untuk mendeteksi kesalahan-kesalahan yang mungkin terjadi ketika boot.

mount
Perintah ini digunakan untuk me mount atau mengaitkan sebuah device seperti floppy, hard disk atau cdrom ke direktory tertentu. Hanya super user atau root yang bisa melakukan perintah ini
Contoh :

mount –t iso9660 /dev/cdrom /mnt/cdrom

Perintah ini akan me mounting cdrom ke direktory /mnt/cdrom sehingga apabila kita ingin mengakses cdrom cukup masuk ke direktory /mnt/cdrom
Untuk perintah lebih lengkapnya coba buka manualnya.

umount
Perintah ini digunakan untuk melepas kembali mounting suatu device.
Contoh :

umount /mnt/cdrom

tar
Perintah untuk menyatukan atau mengekstrak file dari media seperti tape drive atau harddisk.
Option :

tar –cvf untuk menyatukan banyak dalam satu directory menjadi satu file saja
tar –xvf untuk meng ekstrak file yang sudah dengan perintah tar sebelumnya disebut juga file tar.

Contoh :

tar –cvf dokumen.tar dokumen untuk menyatukan
tar –xvf dokumen.tar untuk meng ekstrak

Tapi berhubung sedang tidak ada ide mau buat artikel apa ya sudah saya buat artikel tentang cara menginstall aplikasi di FreeBSD.

FreeBSD seperti Unix Like OS yang lain bisa memberikan kebebasan menginstall aplikasi dari source nya langsung, tetapi cara itu terlalu umum jadi saya gak akan bahas saya hanya akan bercerita tentang cara menginstall yang spesifik di FreeBSD saja.

Cara install aplikasi yang khusus di FreeBSD ada dua cara yaitu:

1. Lewat koleksi Ports
2. Paket Binary

Cara install Aplikasi Lewat Ports

FreeBSD memiliki koleksi Aplikasi yang sangat lengkap yang tersimpan di folder /usr/ports anda hanya perlu browse saja untuk mencari aplikasi apa yang anda inginkan.

Koleksi aplikasi ini harus selalu anda update dengan menggunakan cvsup supaya tetap up2date dan terhindar dari masalah bug aplikasi dan lebih terjamin keamanan nya.

- Mencari Aplikasi

Untuk mencari lokasi aplikasi yang tersedia di ports yang harus anda lakukan adalah mengetikan

whereis apache22
apache22: /usr/ports/www/apache22

Contoh diatas adalah mencari lokasi apache22, dan hasilnya apache22 terdapat pada folder /usr/ports/www/apache22

Cara yang lain adalah dengan menggunakan echo

echo /usr/ports/*/apache22
/usr/ports/www/apache22

atau apabila anda bingung dengan versi apache apa saja yang mau diinstall silahkan ketikan

echo /usr/ports/*/apache/*
/usr/ports/devel/apache-ant /usr/ports/russian/apache13 /usr/ports/russian/apache13-modssl /usr/ports/security/apache-xml-security-c /usr/ports/sysutils/apachetop /usr/ports/www/apache-contrib /usr/ports/www/apache-forrest /usr/ports/www/apache-jserv /usr/ports/www/apache-mode.el /usr/ports/www/apache13 /usr/ports/www/apache13+ipv6 /usr/ports/www/apache13-modperl /usr/ports/www/apache13-modssl /usr/ports/www/apache13-modssl+ipv6 /usr/ports/www/apache13-ssl /usr/ports/www/apache20 /usr/ports/www/apache22 /usr/ports/www/apache22-peruser-mpm

maka semua yang berawalan apache akan muncul. Tampilan nya memang sedikit membingungkan, setiap satu spasi adalah satu aplikasi jadi silahkan diurutkan.

Kalau masih bingung juga karena yang dimunculkan hanya nama folder nya saja tetapi tidak ada keterangan nya sama sekali anda bisa menggunakan cara berikut ini

cd /usr/ports
make search name=apache13
Port:	www/apache13-fp
Moved:
Date:	2004-08-20
Reason:	Obsolete and has unfixed security vulnerabilities

Diatas terlihat folder, tanggal update terakhir dan alasan yang bisa jadi pertimbangan untuk anda menginstall atau tidak aplikasi tersebut.

Ok sekarang anda sudah bisa mencari lokasi ports aplikasi yang anda inginkan. Sekarang kita install.
Silahkan anda berpindah ke directory ports yang akan anda install

cd /usr/ports/www/nginx

Untuk mengecek apakah ada opsi khusus yang bisa anda pilih anda tinggal ketikan

make config
===> No options to configure

apabila muncul tulisan No options berarti tidak ada opsi khusus yang harus anda pilih. Tetapi apabila muncul layar seperti berikut

Berarti anda bisa memilih opsi-opsi tersebut. Silahkan pergunakan panah atas bawah untuk navigasi antara opsi dan space untuk memilih.
Apabila sudah selesai memilih opsi-opsi tersebut selanjutnya anda tinggal keluar dari menu dengan memilih OK dan enter.

Setelah selesia dengan pemilihan opsi selanjutnya anda tinggal mengetikan

make install clean

dan menunggu sampai proses installasi selesai.

Cara Install Aplikasi dari Paket Binary

Paket Binary adalah paket aplikasi yang sudah di compile dan tidak perlu melewati proses compile ulang seperti yang dilakukan oleh ports.

Proses ini memiliki kelebihan:

1. Lebih cepat karena tidak compile
2. Bisa dilakukan Offline (tidak harus tersambung ke internet)

Kekurangan:

1. Sangat mungkin terjadi kekurangan library yang mengakibatkan aplikasi tidak jalan
2. Tidak se optimal compile dari source (seperti ports) karena sangat mungkin spesifikasi hardware ketika aplikasi tersebut di compile berbeda dengan yang kita miliki.

Sementara cara installasi nya sangatlah mudah. Pertama anda harus mendownload aplikasi yang diinginkan. Saya ambil contoh berikut ini dari doc FreeBSD.

ftp -a ftp2.FreeBSD.org
Connected to ftp2.FreeBSD.org.
220 ftp2.FreeBSD.org FTP server (Version 6.00LS) ready.
331 Guest login ok, send your email address as password.
230-
230-     This machine is in Vienna, VA, USA, hosted by Verio.
230-         Questions? E-mail freebsd@vienna.verio.net.
230-
230-
230 Guest login ok, access restrictions apply.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> cd /pub/FreeBSD/ports/packages/sysutils/
250 CWD command successful.
ftp> get lsof-4.56.4.tgz
local: lsof-4.56.4.tgz remote: lsof-4.56.4.tgz
200 PORT command successful.
150 Opening BINARY mode data connection for 'lsof-4.56.4.tgz' (92375 bytes).
100% |**************************************************| 92375       00:00 ETA
226 Transfer complete.
92375 bytes received in 5.60 seconds (16.11 KB/s)
ftp> exit

Baru kemudian anda install dengan command berikut

pkg_add lsof-4.56.4.tgz

dan selesai
Apabila anda malas untuk mendownload sendiri, pkg_add juga bisa mendownloadkan aplikasi yang anda inginkan untuk anda yang kemudian akan dilanjutkan dengan menginstall nya. Perintah nya seperti berikut

pkg_add -r lsof

dan anda tinggal terima beres.

Kayaknya segitu saja yang bisa saya tulis disini. Selanjutnya silahkan mencoba.

fusefs-sshfs mampu melakukan mounting folder antar server lewat ssh sehingga saya merasa bekerja di komputer lokal

Seperti biasa saya akan melakukan installasi lewat ports

cd /usr/ports/sysutils/fusefs-sshfs

make install clean

pada proses ini anda akan ditanya beberapa config, tapi berhubung saya malas saya ok saja semuanya tanpa memilih satupun opsi yang diberikan

proses diatas berlangsung cukup lama soalnya ada beberapa dependensi yang diminta ditambah lagi koneksi internet yang lumayan lelet membuat semua bertambah lama. Tetapi akhirnya beres juga semuanya. Kemudian setelah selesai installasi fusefs-sshfs kita lakukan langkah berikut

edit file /etc/rc.conf dan tambahkan baris berikut

fusefs_enable="YES"

sekarang kita jalankan fusefs dengan command

#/usr/local/etc/rc.d/fusefs start

setelah fusefs jalan sekarang kita buat folder sebagai mount point dan kemudian mount folder target dengan command seperti berikut ini.

mkdir /usr/home/website

sshfs -o idmap=user giest@giest.org: /usr/home/website

disini anda mungkin akan ditanya konfirmasi keyfingerprint anda cukup jawab y saja, kemudian anda akan ditanya password dari ssh target.

kalau anda berhasil login, maka sekarang folder /usr/home/website merupakan folder home dari user giest di server giest.org. Setiap perubahan yang anda lakukan akan berakibat langsung ke folder tujuan jadi kalo anda copy file dari mana saja dari lokal ke foler /usr/home/website akan sama dengan mentrasfer file tersebut lewat ftp.

Sekarang gimana kalo ternyata port sshd server anda sudah dirubah tidak lagi port 22 misalnya menjadi 12345, ternyata gampang saja cukup ketikan

sshfs -o idmap=user -p 12345 giest@giest.org: /usr/home/website

Kayaknya cukup segitu dulu ya , tapi jangan lupa selalu unmount setelah anda beres bekerja soalnya pernah kejadian lupa umount setelah satu hari tiba-tiba cpu proccess melonjak sampe-sampe terpaksa box nya di restart sedih…

Failed to enable the ‘httpready’ Accept Filter

Secara default ternyata FreeBSD belum load httpready dalam kernel nya jadi harus di load dahulu secara manual.
cara load nya ada dua cara

1. Dengan mengetikan kldload accf_http kelemahannya setiap kali abis restart harus ketik itu sebelum jalanin apache heheh ribet kan.
2. Dengan merubah loader.conf yang ada di folder /boot/default supaya otomatis load accf_http setiap kali restart caranya:

Buka file loader.conf dengan editor kesayangan anda contoh nya pico jadi command nya pico /boot/default/loader.conf
kemudian cari entri berikut ini

accf_data_load=”NO” # Wait for data accept filter
accf_http_load=”NO” # Wait for full HTTP request accept filter

dan ganti NO dengan YES kemudian save.
setelah di simpan silahkan restart box anda dan sekarang apache pun bisa di load tanpa ada pesan error Failed to enable the ‘httpready’ Accept Filter.
Ato kalo males restart load dari module dulu dengan cara mengetikan kldload accf_http

May 22 01:59:04 giest kernel: arp: 202.22.33.44 is on rl0 but got reply from 00:01:29:d4:aa:bb on rl1
May 22 02:00:32 giest kernel: arp: 202.22.33.44 is on rl0 but got reply from 00:01:29:d4:aa:bb on rl1

Masalah diatas terjadi setelah saya memasang rl0 dan rl1 pada switch yang sama (karena kekurangan switch ). Bermasalah sih mungkin tidak terlalu tapi saya jadi pusing setiap kali lihat messages log karena dipenuh-penuhi oleh pesan tersebut.

Setelah keliling mencari cara menghilangkan error log tersebut akhirnya nemu caranya yaitu dengan mengetikan

sysctl -w net.link.ether.inet.log_arp_wrong_iface=0

Akhirnya sekarang error tersebut gak muncul lagi