Speicherfressenden Treiber ermitteln

Vorhin fiel es mir mal wieder auf - ein Windowsprozess, genauer gesagt ein Treiber im User-Mode Driver Framework (WUDFHOST.exe), der mal eben 2GB an Speicher konsumierte.

Wie findet man das Schweinderl (memory hog)?

1. Process Hacker herunterladen
2. In der Übersicht den exzessiv Speicher verbrauchenden Prozess WUDFHOST.exe auswählen
3. Unter der Registerkarte "Environment" findet man den Eintrag "ACTIVE_DEVICES" - dies ist höchstwahrscheinlich der Übeltäter.
4. Gerätemanager aufrufen und den Treiber testweise deaktivieren. Vorsicht!




Nun sollte der belegte Speicher freigegeben worden sein.

Jetzt kann man sich auf die Suche machen nach einem aktuellen Treiber, der hoffentlich kein Speicherleck hat.

IPsec-Zugriff auf das Heimnetz mittels Mikrotik Router

Du kennst das. Irgendwann sind die Portweiterleitungen deines Routers nicht mehr übersichtlich, veraltet oder du stößt an das Limit der Portweiterleitungen des (Zwangs-)Routers. Abhilfe schafft hier ein IPsec-Tunnel, der direkten Zugriff auf dein Heimnetz bietet.

Meine Konfiguration sieht wie folgt aus:


Handy > Telekom Hybrid Router > Mikrotik RB750Gr3 > Heimnetz

Ich adressiere meinen Hybrid Router mittels eines DDNS-Anbieters.


Als erstes erzeugen wir einen Adress-Pool auf dem Mikrotik:

/ip pool add name="L2TP-Pool" ranges=172.31.86.1-172.31.86.100

Dann erzeugen wir ein Profil:



/ppp profile add name=l2tp-profile local-address=L2TP-Pool remote-address=L2TP-Pool use-encryption=required change-tcp-mss=yes dns-server=8.8.8.8


local-address ist hier die IP-Adresse, die als Gateway für die einwählenden Clients vergeben wird.
remote-address=default-dhcp ist hier der DHCP-Pool aus dem IP-Adressen zugewiesen werden.
dns-server ist die Adresse eines DNS-Anbieters. Das kann dein lokaler DNS sein (falls du Namen in deinem Netz vergibst) oder z.B. ein öffentlicher DNS (Google: 8.8.8.8)


Jetzt aktivieren wir L2TP und weisen das IPsec Protokoll zu:

/interface l2tp-server server set authentication=mschap2 default-profile=l2tp-profile enabled=yes ipsec-secret=PASSWORT max-mru=1460 max-mtu=1460 use-ipsec=yes

Benutzer hinzufügen:

/ppp secret add name=Benutzername password=MeinPasswort service=l2tp profile=l2tp-profile




Jetzt müssen wir noch die IPsec Proposals anpassen:


/ip ipsec proposal add name=L2TP-Proposal auth-algorithms=sha1 enc-algorithms=3des,aes-256-cbc pfs-group=none


IP Peers anpassen:

/ip ipsec peer add address=0.0.0.0/0 port=500 auth-method=pre-shared-key secret="MYKEY" generate-policy=port-override exchange-mode=main-l2tp send-initial-contact=yes nat-traversal=yes hash-algorithm=sha1 enc-algorithm=3des,aes-256 dh-group=modp1024

IPsec Policies anpassen:

/ip ipsec policy add src-address=::/0 dst-address=::/0 protocol=all template=yes group=default action=encrypt level=require ipsec-protocols=esp tunnel=no sa-src-address=0.0.0.0 sa-dst-address=0.0.0.0 proposal=L2TP-Proposal

Dein Telefon muss jetzt irgendwie diese Einstellungen verarbeiten können:

Name : VPN-Verbindung
Typ : L2TP/IPSec PSK
Server Adresse : Die IP-Adresse bzw. Hostname des Mikrotik Routers
IPSec pre-shared key (PSK) : Das vergebene Passwort für IPsec
Benutzer: PAULCHEN 
Passwort: SUPAGEHEIM!


Jetzt müssen noch einige Ports auf deiner Firewall geöffnet werden:
UDP 500, UDP 1701, UDP 4500 und Protokoll 50: ipsec-esp


Nun sollte alles sauber laufen. Kommentare, Hinweise, etc. sind natürlich immer gerne gesehen.

Entbricken / Debrick eines Mikrotik RB750GR3 (HEX)

Das war heute mal wieder eine wahre Freude, diesen Router wieder lauffähig zu bekommen! Normalerweise sind diese Geräte sehr einfach zu aktualisieren - Software herunterladen und auf Upgrade klicken. Nach dem Upgrade von 6.37.3 auf 6.38 wachte mein Hauptrouter aber leider nicht mehr auf. Nur ein Piepen alle 10sek signalisierte mir Übles.

Also habe ich das Programm Netinstall-6.38 heruntergeladen und ausgeführt.

Kurzfassung: Alle meine Versuche unter Windows 8.1 schlugen fehl, eine Verbindung aufzubauen.

Erst mit Wine unter Linux gelang es mir die Verbindung zwischen dem Router und dem PC herzustellen und den Router erfolgreich wiederzubeleben.

Beim Reset des RB750GR3 muss man auf folgende Farbkombination der USR LED achten:

Die Netinstall Prozedur geht wie folgt:

1. sudo wine netinstall-6.38
2. Net booting aktivieren mit IP aus dem gleichen Subnetz
3. Strom weg
4. Reset Knopf drücken
5. Strom an
6. Farbkombination beachten:
1. Blau
2. Grün
3. Blau-Grün blinkend
4. Grün
5. Blau und sofort Reset-Knopf loslassen!

Nach wenigen Sekunden ist der Router dann in der Übersicht sichtbar.

How to set up a monitoring solution within an hour

I recently got tasked to get familiar with Mathias Kettner’s “Check-MK” (http://http://mathias-kettner.com/) to help a customer with his installation. This is a tutorial to get you started within an hour instead of days. For obvious reasons you will need some fine tuning later. Let’s get started with the basic install and the discovery of your first device which will give you quite impressive results.

Installation

1. Get some kind of hypervisor. KVM or Virtualbox is fine. 
2. Create a virtual machine with 2GB RAM and 8GB disk. Make sure the network runs in bridged mode. Make sure that the NIC runs as "virtio-net" device.
3. Get a decent Linux distribution. Personally I prefer Debian or CentOS but other distributions will work as well. Stick with a minimal install CD as the OS will run headless.
4. Install the OS. I chose automatic partitioning which included LVM. 
5. Install some packages. You wil need: "yum install deltarpms wget mc vi"
6. Upgrade your system to the latest version by executing "yum upgrade".
7. Always onfirm the installation of necessary repository keys.
8. Before we start the actual install we need some extra stuff: "yum install https://dl.fedoraproject.org/pub/epel/7/x86_64/e/epel-release-7-8.noarch.rpm"
   This will solve some required dependencies. Confirm the installation of the EPEL key.
9. Download the latest stable RAW Edition:
   Link:
   http://mathias-kettner.com/check_mk_download.php?HTML=yes
   In my case it is 1.2.8p12 which resolved to:
   "wget https://mathias-kettner.de/support/1.2.8p12/check-mk-raw-1.2.8p12-el7-36.x86_64.rpm"
10. Install the downloaded packages:
    "yum localinstall check-mk-raw-1.2.8p12-el7-36.x86_64.rpm"
    After a few minutes all packages should be installed. Again – confirm necessary keys.
11. Get rid of SElinux by disabling it or by setting it to permissive by editing "/etc/sysconfig/selinux".
12. Create and start the site "homenet"
    "omd create homenet"
    "omd start homenet"

Configuration

1. Open you browser and surf to http://ip-address/homenet
2. Username: omdadmin password: omd
3. Deploy the first monitoring agent to a device: Scroll down to "Monitoring agents" – select the Windows .msi installer, download it to a windows machine and install it. Make sure that TCP port 5667 is open on the windows machine.
4. Under "WATO – Configuration" – click on "Hosts". Click "Create new hosts". Enter the hostname or IP of the windows machine and click "Save & finish". Click on "Bulk discovery : Start". After a while it should state that it found services. Click "Finish". After you have successfully discovered a windows machine you need to add it to the monitoring. Click on "1 changes" and "Activate changes!".
5. Wait a few seconds and then go to "Views – Hosts – All hosts".
   Voilá! It should now display your first discovered and monitored device. 

Comments

NTP

The monitoring machine needs a precise clock time adjustment. Either you stick with a virtual machine. Then you must install the necessary guest add-ons from Virtualbox. OR: You use a physical machine. Then you must install ntpd.

VIRTUALBOX ADD-ON

To improve the overall virtualbox performance you should install the add-ons.

Install DKMS: "yum install dkms"
"Insert" the guest add-on disk by selecting the menu entry in virtualbox.
Mount the cdrom: "mount /dev/sr0 /media"
Install the required add-on by automatically compiling it:
"cd /media"
"./VBoxLinuxAdditions.run"
"cd /"
"umount /media"


SMTP
Of course you want to get notified if your monitored devices run into trouble. Therefore you must configure a SMTP relay host to send emails.

TP-Link wr841 Router "entbricken"

Du hast es also geschafft. Du hast einen Router von TP-Link mit einer falschen Firmware bespielt oder er hat sich selber "gehimmelt". Es leuchtet nur noch die Power-LED.

Keine Panik. Es besteht eine gute Chance, den Router mittels TFTP (Trivial File Transfer Protocol) zu retten.


Was brauche ich?

• Den gebrickten Router (Versionsnummer beachten)
• Einen PC mit Debian / *buntu Linux oder Windows
• Kabel
• Die originale Firmware von TP-Link mit der richtigen Versionsnummer
• Eine TFTP Server Software

Vorgang Linux:

Als erstes installiert man "tftpd-hpa" auf seinem Computer mittels "sudo apt-get install tftpd-hpa".

Als nächstes gibt man seinem PC die IP-Adresse 192.168.0.66. Dies kann auf der Kommandozeile oder per network-manager machen. Als Anfänger sollte man sich die "normalen" IP-Einstellungen aufschreiben. Diese Adresse wird vom Router angesprochen, wenn man den TFTP-Vorgang startet. DNS und GW ist egal.

Dann kopiert man die originale Firmware (mit der passenden Versionsnummer) in das Verzeichnis /var/lib/tftpboot und benennt diese um zu "wr841nv9_tp_recovery.bin".

Wer auf Nummer sicher gehen will, der gibt der Datei noch volle Leserechte.

"sudo chmod ugo+r  wr841nv9_tp_recovery.bin"

Diese Datei kann also NUR genutzt werden, um einen wr841 mit der Hardware-Revision 9.x zu recovern. Der Router fragt auch EXPLIZIT NUR nach dieser Datei.

Nun überprüft man noch, ob der Dienst tftpd-hpa auch wirklich gestartet ist:

"sudo service tftpd-hpa status"

Auf einem Debian/Ubuntu bekommt man dann folgende Ausgabe.

● tftpd-hpa.service - LSB: HPA's tftp server
   Loaded: loaded (/etc/init.d/tftpd-hpa; bad; vendor preset: enabled)
   Active: active (running) since Di 2016-03-22 08:45:25 CET; 3 days ago
     Docs: man:systemd-sysv-generator(8)
   CGroup: /system.slice/tftpd-hpa.service
           └─1829 /usr/sbin/in.tftpd --listen --user tftp --address 0.0.0.0:69 -vvv --secure /var/lib/tftpboot

Alles gut.

Dann drückt man die Reset Taste und schaltet den Router ein. Die Taste kann man loslassen, sobald er die Lock-LED anschaltet. In wenigen Sekunden kopiert er dann die Datei auf den Router und flasht ihn mit der originalen Firmware. Er läßt nach dem Flashvorgang kurz alle Lichter aufleuchten. Dann wartet man noch ein paar Sekunden und kann ihn dann wieder einer Bestimmung zuführen.

Nun stellt man wieder die Netzwerkeinstellung auf "normal".

Das war ja einfach!

Vorgang Windows:

Als erstes installiert man "tftp32" auf seinem Computer von hier:
http://tftpd32.jounin.net/tftpd32_download.html

Für die meisten wird wohl heutzutage die 64Bit Standard Edition Installer funktionieren. Als Windows Service sollte man es nicht installieren. Es sei denn, man weiß was man macht. Mit der Zip brauchen wir auch nicht hantieren.

Als nächstes gibt man seinem PC die IP-Adresse 192.168.0.66. Das macht man über die Systemsteuerung. Diese Adresse wird vom Router angesprochen, wenn man den TFTP-Vorgang startet. Als Anfänger sollte man sich die "normalen" IP-Einstellungen aufschreiben. DNS und GW ist egal.

Dann nimmt man die vorher heruntergeladene, originale Firmware (mit der passenden Versionsnummer) und benennt diese um zu "wr841nv9_tp_recovery.bin". Diese liegt wahrscheinlich im Download-Verzeichnis.

Diese Datei kann also NUR genutzt werden, um einen wr841 mit der Hardware-Revision 9.x zu recovern. Der Router fragt auch EXPLIZIT NUR nach dieser Datei.

Nun startet man tftp32.

Auf dem Reiter "TFTP Server" hat man dann zwei Optionen:

Current directory: Hier wählt man das Download Verzeichnis aus - oder das Verzeichnis in dem die Recovery-Datei liegt.

Server Interface: Hier wählt man das Netzwerk-Interface mit der Adresse 192.168.0.66.

Dann drückt man die Reset Taste und schaltet den Router ein. Die Taste kann man loslassen, sobald er die Lock-LED anschaltet. In wenigen Sekunden kopiert er dann die Datei auf den Router und flasht ihn mit der originalen Firmware. Er läßt nach dem Flashvorgang kurz alle Lichter aufleuchten. Dann wartet man noch ein paar Sekunden und kann ihn dann wieder einer Bestimmung zuführen.

Nun stellt man wieder die Netzwerkeinstellung auf "normal".

Das war ja einfach!

Ach, Virenscanner sind schon toll!

Heute rief mich ein verzweifelter Mensch an und klagte mir, dass seine IMAP-Ordner in Thunderbird urplötzlich verschwunden seien. Möglicherweise sei er unbemerkt (aufgrund eines krankhaften Fingerzuckens) mehrmals auf die Entfernen-Taste gekommen.

Ein Check direkt auf dem Server zeigte mir aber, dass alle Ordner vorhanden sind. (Thunderbird ist auch so eingestellt, dass er erst einmal alles in den Papierkorb verschiebt und dort belässt.)

Daraufhin schaute ich mir die Festplattenbelegung an und schaufelte ca. 20GB frei. Auch schön, dass Thunderbird einfach keine IMAP-Ordner mehr anzeigt oder herunterlädt, wenn die Festplatte voll ist. Natürlich ohne Fehlermeldung.

Daran lag es aber nicht. 

In Thunderbird sah ich schnell, dass die abonnierten Ordner plötzlich ohne "Haken" waren. Also selektierte ich gefühlt 100 Ordner und startete Thunderbird neu. 

Verwundert rieb ich mir meine Augen... Er zeigte kurz alle IMAP-Ordner an - aber nur für wenige Sekunden. Dann waren wieder nur drei / vier Ordner sichtbar. 

Ähh. Was passiert hier? Kurz checkte ich den Virenstatus. Der Benutzer ist ein erfahrener Anwender und sensibilisiert bezüglich Viren. Alles gut.

Also war erst einmal kurzes Nachdenken angesagt:

Thunderbird nutzt IMAP über SSL.

Der Virenscanner ist von Kaspersky.

Kaspersky ist bekannt dafür, dass er sich in SSL-verschlüsselte Verbindungen einklinkt. It's not a bug - it's a (god-damn!) feature. Wenn man es genau nimmt, so ist dieses Feature im Prinzip nur eine Man-in-the-Middle-Attacke, um den Verkehr überwachen zu können.

Okay...

"Verschlüsselte Verbindungen untersuchen" ausschalten.

Neuer Test. Das war es erstaunlicherweise nicht. Wieder gab es verschwundene Ordner.

Daraufhin deaktivierte ich den Virenscanner erst einmal komplett. Es lief sofort. Meeh! Doof.

Als nächstes deaktivierte ich die Schutzkomponente Email komplett. Wieder gab es verschwundene Ordner. 

Schlussendlich deaktivierte ich die Schutzkomponente Web-Angriffe und eine weitere (fällt mir gerade nicht ein). Es lief sofort.

Ach Kaspersky.. Warum nur?

Ich werde das Problem demnächst mal genauer analysieren. Schade, dass ich den PC nicht nach Linux migrieren kann. Da hat man erheblich weniger Probleme.

Selbsterkenntnis..

Ich muss mir den mal festhalten:

https://www.facebook.com/832665704/posts/10155863192560705