Re: smb.conf plots gewijzigd
Sjoerd Hardeman schreef:
> Paul van der Vlis schreef:
>> Geert Stappers schreef:
>>> Op 20100227 om 13:08 schreef Paul van der Vlis:
>>>> Hallo,
>>>>
>>>> Bij een klant die een fileserver heeft (die nog met Etch werkt) deed
>>>> zich een raar probleem voor. In smb.conf was achter elke share
>>>> onderstaande toegevoegd, waardoor geen enkele share het meer deed:
>>>> --------
>>>> available = no
>>>> browseable = no
>>>> public = no
>>>> writable = no
>>>> -------
>>>>
>>>> Omdat het om nogal veel shares gaat en de toevoegingen steeds identiek
>>>> zijn, heb ik de indruk dat dit door een script is uitgevoerd. De klant
>>>> is die dag zelf op de machine bezig geweest als root, maar heeft zich
>>>> alleen met iets anders beziggehouden. Het lijkt een vergissing.
>>>>
>>>> Heeft iemand een idee hoe zoiets kan ontstaan?
>>> Aanvullende informatie (ook reeds via een ongelukkige weg voorbij
>>> gekomen)
>>>
>>> | Webmin en Swat zijn niet geinstalleerd.
>>> |
>>> | Er is wel een standaard Gnome desktop geinstalleerd en dat heeft ook
>>> | enkele beheer-opties voor Samba <knip/>
>>>
>>>
>>> A.u.b. de output van `ls -l /etc/samba/smb.conf`
>>
>> -rw-r--r-- 1 root root 4292 2010-02-25 10:52 /etc/samba/smb.conf
>>
>>> en verdere informatie om te kunnen zien, wie schrijfrechten hebben op
>>> de file die "onverwacht veranderd" is.
>>
>> Er staat niets speciaals in /etc/sudoers of /etc/group.
>>
>> De lokale beheerder heeft het root-paswoord en kan dat ingegeven hebben
>> op verzoek van b.v. een van die Gnome programmaatjes (ik zal nog
>> uitzoeken of dit in /var/log/auth.log verschijnt). Verder blijkt Gnome
>> dit soort paswoorden nogal gemakkelijk te onthouden.
>> Ik zal hem nog wat verder vragen, maar het zou handig zijn als ik wist
>> welk programma of script zoiets gedaan kan hebben.
>
> Gezien het feit dat ik geen recente samba security issues kan vinden,
> lijkt het er niet op dat er een recente update van samba geweest is. Dat
> is namelijk het enige wat ik verder kan verzinnen anders dan swat,
> webmin en gebruikers.
> Wellicht kan je in de aptitude- of dpkg-log kijken of toevallig toch een
> (re)configure van samba gedraaid is?
Ik heb daar gekeken, die was er niet. Ik had die dag wel een nieuwe
kernel geinstalleerd, maar daar zat een paar uur tussen.
> Kijk ook even naar de
> wijzigingsdatum van smb.conf. Met die tijd kan je dan bijvoorbeeld in
> /var/log/auth.log kijken wie er was ingelogd, en in andere logs zoeken
> naar een mogelijk schuldig proces.
Ja, had ik al gedaan. De beheerder (of iemand anders met zijn paswoord)
heeft een minuut daarvoor een "su" uitgevoerd. Ik heb hem gevraagd wat
hij toen heeft gedaan, maar nog geen antwoord. Het zal wel een foutje
geweest zijn, maar wat weet ik niet.
In principe is het natuurlijk nog mogelijk dat het bestand meerdere
keren gewijzigd is. Aan de datum zie ik alleen de laatste wijziging.
Bedankt voor het meedenken.
Met vriendelijke groet,
Paul van der Vlis.
--
http://www.vandervlis.nl/
Reply to: