| |
| |
| 3.17, pavlinux (ok), 23:41, 04/03/2014 [^] [^^] [^^^] [ответить]
| –3 +/– |
 Ты как большой специалист знаешь же, где найти руткит на неправильные спецификаторы printf/scanf
| | |
| |
| |
| 5.46, pavlinux (ok), 17:09, 05/03/2014 [^] [^^] [^^^] [ответить]
| +/– |
руткит - это цель, эксплойт - это инструмент, как черепно-мозговая травма тупым предметом и молоток.
| | |
|
|
|
| |
| 3.47, pavlinux (ok), 17:10, 05/03/2014 [^] [^^] [^^^] [ответить]
| +1 +/– |
>>Type coeection
> *facepalm*
Да, вот так,... не хватило сил дотянуть палец до соседней кнопки. :-P
| | |
|
|
| 1.2, umbr (ok), 21:19, 04/03/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Новые фичи - новые дыры.
Вопрос к специалистам: не повлияет-ли это на совместимость ядер?
| | |
| |
| 2.3, pavlinux (ok), 21:34, 04/03/2014 [^] [^^] [^^^] [ответить]
| +/– |
> Новые фичи - новые дыры.
> Вопрос к специалистам: не повлияет-ли это на совместимость ядер?
Кроме как CONFIG_FTRACE и CONFIG_FUNCTION_TRACER вроде ничего волшебного не просит,
и само в код ядра не просится.
| | |
| |
| 3.5, umbr (ok), 21:58, 04/03/2014 [^] [^^] [^^^] [ответить]
| +5 +/– |
Теперь бэкдоры можно пихать прямо в работающее ядро?
И никаких следов, разве что оперативку сканировать.
| | |
| |
| 4.16, pavlinux (ok), 23:37, 04/03/2014 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Теперь бэкдоры можно пихать прямо в работающее ядро?
Да, от рута всё можно.
| | |
|
| 3.21, pavlinux (ok), 00:38, 05/03/2014 [^] [^^] [^^^] [ответить]
| +/– | |
> CONFIG_FUNCTION_TRACER
А с этой фичей, оверхед проца-то вырос, прим. на 10°C
В общем, поюзал... глюкалово страшное. Если патч на модуль, то раз в 500 проще
перекомпилить модуль, остановить сервис, rmmod/insmod и снова в путь.
Если на ROOTFS, в принципе, через mount --bind на ramfs, перегрузить модуль и обратно.
Но это, по сути, тот же reboot. :)
И во-вторых kpatch - это временное средство, ядро всё равно обновлять придётся.
Не, можно и так работать, но есть вероятность, что модуль прибьёт OOM_killer,
или при крэшдампе отвалится.
> ... не могут применяться к функциям, вызываемым только на стадии инициализации ядра;
Хе.. эти функции есть большой и толстый конфиг ядра, они в работе не используются.
Смысла их патчить вообще нет.
Лучше бы за пилили работу с двумя ядрами - master/slave ©
В каждом ядре список символов с версиями, менеджер версий.
Например та же schedule() была бы ссылкой на более старшую
версию из таблицы: schedule()_3121155 и schedule()_3121157
При появлении символа schedule()_3140000, все новые вызовы
schedule(), вызывали бы schedule()_3140000.
| | |
| |
| 4.28, Геннадий Кернес (?), 02:50, 05/03/2014 [^] [^^] [^^^] [ответить]
| +/– | |
>в 500 проще перекомпилить модуль, остановить сервис
Что _проще_ - никто и не спорил.
Только дороговато некоторые сервисы останавливать.
| | |
| |
| 5.33, Anonymus (?), 08:41, 05/03/2014 [^] [^^] [^^^] [ответить]
| +2 +/– |
тщательнее надо проектировать, остановка сервера не должна приводить к остановке сервиса
| | |
| |
| 6.39, Маленькая Серая Мышка (?), 13:54, 05/03/2014 [^] [^^] [^^^] [ответить]
| +3 +/– |
То есть вы предлагаете перепроектировать этот мир вместо того чтобы использовать kpatch, я так понимаю.
Ну что ж, предложение интересное, практичное.
| | |
|
|
|
|
|
| |
| 2.11, backbone (ok), 22:17, 04/03/2014 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Безопасности, в смысле, security или безопасности процесса применения патча?
Ради 1-го и развиваются эти технологии. По поводу 2-го - в новости сказано, что не готово для production.
| | |
| 2.43, Нанобот (ok), 15:33, 05/03/2014 [^] [^^] [^^^] [ответить]
| +1 +/– |
 для параноиков ничего не изменилось - всё как было опасно, так и остаётся
| | |
|
| 1.12, AlexAT (ok), 22:40, 04/03/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 >>> Не вызовет удивления, если компания Oracle откроет свежий исходный код KSplice и также подключится к борьбе за upstream
Поздновато. У редхата большой опыт по пропихиванию разработок в апстрим. В отличие от.
| | |
| 1.13, AlexAT (ok), 22:43, 04/03/2014 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Блин, в который раз редхату эпическое шпасибо за следование GPL. У меня даже есть место для применения этой штуки, весьма специфичное, но реальное.
| | |
| |
| 2.18, pavlinux (ok), 00:06, 05/03/2014 [^] [^^] [^^^] [ответить]
| –1 +/– |
# This script currently only works on Fedora and will need to be adapted to
# work on other distros.
| | |
| |
| 3.24, anonymous (??), 01:38, 05/03/2014 [^] [^^] [^^^] [ответить]
| +/– |
Да там три с половиной строки поправить. Кто не сможет - тому рано пока это использовать.
| | |
|
| |
| 3.32, AlexAT (ok), 08:36, 05/03/2014 [^] [^^] [^^^] [ответить]
| +/– | |
> секретничает, какое?
Есть определенная операторская сетевая платформа, которой возможность проапдейтить ядро (особенно собственные модули, например, для добавления мелкофич или затыкания мелкобагов) на ходу очень даже пригодится. Цена останова - обрыв всех абонентских сеансов в случае PPPoE/PPTP. Даже если есть резерв. Но это применение скорее типовое.
И при разработке оной иметь такую штуку тоже очень даже неплохо, ибо можно не перегружая тестовую площадку и не выгружая/перезагружая модулей (т.е. с сохранением состояния) проапдейтить кусок ядра (если не меняются структуры данных и API/ABI), и сразу на живую посмотреть, как оно работает. Это как раз "специфичное" применение.
| | |
|
|
| 1.22, Аноним (-), 01:01, 05/03/2014 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
<delirium>Ага, значит наклепали за 5 минут, дабы пропихнуть побыстрее своё, чтоб не дай рандом клиенты не ушли к зелёным из-за фичи, которой у них нет, а потом будут это чинить годами в манере одного своего известного сотрудника.</delirium>
| | |
| |
| 2.35, AlexAT (ok), 08:45, 05/03/2014 [^] [^^] [^^^] [ответить]
| +/– | |
> неужто великим умищам нечем боле заняться чем костыли клепать?
Это очень нужные и важные костыли, которые могут в отдельных случаях сократить даунтайм критичных систем до минимума. В кровавом энтерпрайзе вряд ли нужно - там и часовой простой может быть нормой, бизнес от одной системы не встанет. В облаках и им подобных (фейсбуки, вконтакты и прочие гуглы) - тоже вряд ли пригодятся. А вот в телекоме, допустим, выведение из строя любой системы даже при наличии дублирующих - все равно нештатная ситуация. В биржевых системах, думается, тоже.
| | |
| |
| |
| Часть нити удалена модератором |
| 4.50, Аноним (50), 21:59, 05/03/2014 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > В любой системе есть время на техническое обслуживание, в течении которого проводится в т.ч. обновление ПО.
И что делать если даунтайм запланирован на следующей неделе, а проблему надо исправить уже сейчас ?
| | |
|
| 3.40, Маленькая Серая Мышка (?), 13:56, 05/03/2014 [^] [^^] [^^^] [ответить]
| +2 +/– |
> - там и часовой простой может быть нормой, бизнес от одной
> системы не встанет.
Ну да, помнится вот у Сбербанка "не встал".
| | |
|
|
|
