Vaikea tietoturva-

> Kotoisin viime vuosituhannelta, päätellen näistä:
CPU 1 Intel Pentium(r) II; 450 MHz
Hard Disk Drive 1 Compaq Model 305891-042; 4.3GB SCSI MB

Kyllä vain. Linkittämässäni brosyyrissä oli myös päivämäärä: 19 Jan 1999. Järeän luokan huippukone. Siihen aikaan. :)

> Käynnistä se jollain linux-live-cd:llä ja katso kiintolevyn sisällöstä.

Näin olen jo tehnytkin. Noin kuukausi takaperin vaihdoin Live-PCLinuxOS:ään, koska XPssä oli jatkuvia ongelmia eikä parhaat virustutkat ja rootkitinpaljastajat löytäneet yhtään mitään. Kone mm käynnistyi aivan itsekseen vaikka BIOSin asetukset kielsivät sen.

(CDltä käynnistettävän) Linuxin kanssa meni oikein hyvin viikon ajan. Sitten ongelmat alkoivat sielläkin. Mm kiintolevyt eivät enää suostu mounttautumaan automaattisesti bootin yhteydessä. Niiden sisällöstä ei löydy tiedostoja, joita Linux olisi luonut (päivämäärän mukaan). Korppuasema on kokonaan kadoksissa. Firefox deletoi itsensä jatkuvasti ilman mitään virheilmoituksia jne. Konetta ei enää pysty sammuttamaan kuin virtakytkimestä. Ctrl-Alt-Delete ei myöskään enää toimi. Kaikki nämä ongelmat siis alkoivat noin viikon kuluttua Linuxin käyttöönotosta.

> Noissahan on omat virityksensä biosissa, mutta ei sinne sentään käyttöjärjestelmää saa mahtumaan.

Ei varmaankaan, mutta sinne mahtuu ohjelma joka etsii kovalevyllä piilossa olevat virtuaalikoneen ohjelmat ja käynnistää ne ennen käyttistä. BIOSia on muutettu heinä-elokuussa koneen ollessa kotonani ja käytössäni. BIOS on kiinteästi emolla ja flässättävää tyyppiä. Varmaan huippu-uutuus vuonna 1999. :)

Siis miten osoitetaan ja identifioidaan BIOSin lataama virtuaalikone varsinaisen käyttiksen alla?

viittaavat kirjoitti:

> Kotoisin viime vuosituhannelta, päätellen näistä:
CPU 1 Intel Pentium(r) II; 450 MHz
Hard Disk Drive 1 Compaq Model 305891-042; 4.3GB SCSI MB

Kyllä vain. Linkittämässäni brosyyrissä oli myös päivämäärä: 19 Jan 1999. Järeän luokan huippukone. Siihen aikaan. :)

> Käynnistä se jollain linux-live-cd:llä ja katso kiintolevyn sisällöstä.

Näin olen jo tehnytkin. Noin kuukausi takaperin vaihdoin Live-PCLinuxOS:ään, koska XPssä oli jatkuvia ongelmia eikä parhaat virustutkat ja rootkitinpaljastajat löytäneet yhtään mitään. Kone mm käynnistyi aivan itsekseen vaikka BIOSin asetukset kielsivät sen.

(CDltä käynnistettävän) Linuxin kanssa meni oikein hyvin viikon ajan. Sitten ongelmat alkoivat sielläkin. Mm kiintolevyt eivät enää suostu mounttautumaan automaattisesti bootin yhteydessä. Niiden sisällöstä ei löydy tiedostoja, joita Linux olisi luonut (päivämäärän mukaan). Korppuasema on kokonaan kadoksissa. Firefox deletoi itsensä jatkuvasti ilman mitään virheilmoituksia jne. Konetta ei enää pysty sammuttamaan kuin virtakytkimestä. Ctrl-Alt-Delete ei myöskään enää toimi. Kaikki nämä ongelmat siis alkoivat noin viikon kuluttua Linuxin käyttöönotosta.

> Noissahan on omat virityksensä biosissa, mutta ei sinne sentään käyttöjärjestelmää saa mahtumaan.

Ei varmaankaan, mutta sinne mahtuu ohjelma joka etsii kovalevyllä piilossa olevat virtuaalikoneen ohjelmat ja käynnistää ne ennen käyttistä. BIOSia on muutettu heinä-elokuussa koneen ollessa kotonani ja käytössäni. BIOS on kiinteästi emolla ja flässättävää tyyppiä. Varmaan huippu-uutuus vuonna 1999. :)

Siis miten osoitetaan ja identifioidaan BIOSin lataama virtuaalikone varsinaisen käyttiksen alla?

Virtuaalikone tarvitsee käyttöjärjestelmän alleen. Eli ensin bios käynnistää käyttöjärjestelmän. Sitten käyttöjärjestelmä käynnistää virtuaalikoneen ja virtuaalikone taas käynnistää toisen käyttöjärjestelmän. Virtuaalikoneita voi olla yhtäaikaisesti useampia.

zxcvbnm kirjoitti:

Virtuaalikone tarvitsee käyttöjärjestelmän alleen. Eli ensin bios käynnistää käyttöjärjestelmän. Sitten käyttöjärjestelmä käynnistää virtuaalikoneen ja virtuaalikone taas käynnistää toisen käyttöjärjestelmän. Virtuaalikoneita voi olla yhtäaikaisesti useampia.

> Virtuaalikone tarvitsee käyttöjärjestelmän alleen. Eli ensin bios käynnistää käyttöjärjestelmän. Sitten käyttöjärjestelmä käynnistää virtuaalikoneen ja virtuaalikone taas käynnistää toisen käyttöjärjestelmän.

Ei tarvitse (riippuu virtuaalikoneesta): http://en.wikipedia.org/wiki/Hypervisor

* A Type 1 hypervisor (or Bare-Metal Architecture) is software that runs directly on a given hardware platform (as an operating system control program). A "guest" operating system thus runs at the second level above the hardware. The classic type 1 hypervisor was CP/CMS, developed at IBM in the 1960s, ancestor of IBM's current z/VM. More recent examples are Xen, VMware's ESX Server, TRANGO [2], IBM's LPAR hypervisor (PR/SM), and Sun's Logical Domains Hypervisor (released in 2005). A variation of this is embedding the hypervisor in the firmware of the platform, as is done in the case of Hitachi's Virtage hypervisor.

* A Type 2 hypervisor (or Hosted Architecture) is software that runs within an operating system environment. A "guest" operating system thus runs at the third level above the hardware. Examples include SWSoft, VMware Server (formally GSX), VMware Workstation, VMware Fusion, the open source QEMU, Microsoft's Virtual PC and Microsoft Virtual Server products, as well as Parallels Workstation and Desktop.

viittaavat kirjoitti:

> Kotoisin viime vuosituhannelta, päätellen näistä:
CPU 1 Intel Pentium(r) II; 450 MHz
Hard Disk Drive 1 Compaq Model 305891-042; 4.3GB SCSI MB

Kyllä vain. Linkittämässäni brosyyrissä oli myös päivämäärä: 19 Jan 1999. Järeän luokan huippukone. Siihen aikaan. :)

> Käynnistä se jollain linux-live-cd:llä ja katso kiintolevyn sisällöstä.

Näin olen jo tehnytkin. Noin kuukausi takaperin vaihdoin Live-PCLinuxOS:ään, koska XPssä oli jatkuvia ongelmia eikä parhaat virustutkat ja rootkitinpaljastajat löytäneet yhtään mitään. Kone mm käynnistyi aivan itsekseen vaikka BIOSin asetukset kielsivät sen.

(CDltä käynnistettävän) Linuxin kanssa meni oikein hyvin viikon ajan. Sitten ongelmat alkoivat sielläkin. Mm kiintolevyt eivät enää suostu mounttautumaan automaattisesti bootin yhteydessä. Niiden sisällöstä ei löydy tiedostoja, joita Linux olisi luonut (päivämäärän mukaan). Korppuasema on kokonaan kadoksissa. Firefox deletoi itsensä jatkuvasti ilman mitään virheilmoituksia jne. Konetta ei enää pysty sammuttamaan kuin virtakytkimestä. Ctrl-Alt-Delete ei myöskään enää toimi. Kaikki nämä ongelmat siis alkoivat noin viikon kuluttua Linuxin käyttöönotosta.

> Noissahan on omat virityksensä biosissa, mutta ei sinne sentään käyttöjärjestelmää saa mahtumaan.

Ei varmaankaan, mutta sinne mahtuu ohjelma joka etsii kovalevyllä piilossa olevat virtuaalikoneen ohjelmat ja käynnistää ne ennen käyttistä. BIOSia on muutettu heinä-elokuussa koneen ollessa kotonani ja käytössäni. BIOS on kiinteästi emolla ja flässättävää tyyppiä. Varmaan huippu-uutuus vuonna 1999. :)

Siis miten osoitetaan ja identifioidaan BIOSin lataama virtuaalikone varsinaisen käyttiksen alla?

Jatkoa ongelmiin:

> (CDltä käynnistettävän) Linuxin kanssa meni oikein hyvin viikon ajan. Sitten ongelmat alkoivat sielläkin. Mm kiintolevyt eivät enää suostu mounttautumaan automaattisesti bootin yhteydessä. Niiden sisällöstä ei löydy tiedostoja, joita Linux olisi luonut (päivämäärän mukaan). Korppuasema on kokonaan kadoksissa. Firefox deletoi itsensä jatkuvasti ilman mitään virheilmoituksia jne. Konetta ei enää pysty sammuttamaan kuin virtakytkimestä. Ctrl-Alt-Delete ei myöskään enää toimi. Kaikki nämä ongelmat siis alkoivat noin viikon kuluttua Linuxin käyttöönotosta.

Testasin kadonnutta korppuasemaa yrittämällä tallettaa tiedostoja hakemistoon /mnt/floppy. Ei onnistunut. Sitten avasin roottina konsoli-istunnon ja yritin muuttaa hakemiston oikeuksia ja omistajan. Ei onnistunut. Tietääkö kukaan miksi rootti ei pysty muuttamaan omistamansa hakemiston /mnt/floppy omistajaa? Kaikkein muiden levyjen ja muistitikun omistajan pystyi muuttamaan.

Myöhemmin boottasin koneen ja vot, nyt /mnt/floppy olikin äkkiä muokattavissa. Omistajan ja oikeudet saattoi vaihtaa ja tiedostoja pystyi siihen tallettamaan. Sieltä kuitenkin katosi testausmielessä perustettu alihakemisto. Jotain kummaa korppuasemassa myös on, sillä käyttis näyttää lukevan (tai kirjoittavan) sitä omia aikojaan vaikkei siihen ole mitään syytä.

Jotenkin tuntuu siltä, että ongelmat eivät ole vielä ohitse. :( Siis miten osoitetaan ja identifioidaan BIOSin lataama virtuaalikone varsinaisen käyttiksen alla?

päällä. kirjoitti:

> Virtuaalikone tarvitsee käyttöjärjestelmän alleen. Eli ensin bios käynnistää käyttöjärjestelmän. Sitten käyttöjärjestelmä käynnistää virtuaalikoneen ja virtuaalikone taas käynnistää toisen käyttöjärjestelmän.

Ei tarvitse (riippuu virtuaalikoneesta): http://en.wikipedia.org/wiki/Hypervisor

* A Type 1 hypervisor (or Bare-Metal Architecture) is software that runs directly on a given hardware platform (as an operating system control program). A "guest" operating system thus runs at the second level above the hardware. The classic type 1 hypervisor was CP/CMS, developed at IBM in the 1960s, ancestor of IBM's current z/VM. More recent examples are Xen, VMware's ESX Server, TRANGO [2], IBM's LPAR hypervisor (PR/SM), and Sun's Logical Domains Hypervisor (released in 2005). A variation of this is embedding the hypervisor in the firmware of the platform, as is done in the case of Hitachi's Virtage hypervisor.

* A Type 2 hypervisor (or Hosted Architecture) is software that runs within an operating system environment. A "guest" operating system thus runs at the third level above the hardware. Examples include SWSoft, VMware Server (formally GSX), VMware Workstation, VMware Fusion, the open source QEMU, Microsoft's Virtual PC and Microsoft Virtual Server products, as well as Parallels Workstation and Desktop.

Se on aivan normaali puucee. Lisukkeena vain tuo scsi. Ehkäpä scsi-bios hämää kysyjää.

zxcvbnm kirjoitti:

Se on aivan normaali puucee. Lisukkeena vain tuo scsi. Ehkäpä scsi-bios hämää kysyjää.

> Se on aivan normaali puucee. Lisukkeena vain tuo scsi. Ehkäpä scsi-bios hämää kysyjää.

Kerro lisää. Miten tuo SCSI-BIOS hämäisi?

kysyjä. kirjoitti:

> Se on aivan normaali puucee. Lisukkeena vain tuo scsi. Ehkäpä scsi-bios hämää kysyjää.

Kerro lisää. Miten tuo SCSI-BIOS hämäisi?

Scsi-härpäkkeillä varustetun koneen käynnistys näyttää hiukan erilaiselta kuin ei-scsi-koneen bootti. Lisäksi alkuvaihe kestää huomattavasti kauemmin ennen kuin päästään lataamaan käyttöjärjestelmää.

zxcvbnm kirjoitti:

Scsi-härpäkkeillä varustetun koneen käynnistys näyttää hiukan erilaiselta kuin ei-scsi-koneen bootti. Lisäksi alkuvaihe kestää huomattavasti kauemmin ennen kuin päästään lataamaan käyttöjärjestelmää.

> Scsi-härpäkkeillä varustetun koneen käynnistys näyttää hiukan erilaiselta kuin ei-scsi-koneen bootti. Lisäksi alkuvaihe kestää huomattavasti kauemmin ennen kuin päästään lataamaan käyttöjärjestelmää.

Mutta enhän minä noista ole puhunut mitään! Sitäpaitsi kun käytän PCLinuxOSää default-modessa, niin SCSI-härpäkkeet ja muut roippeet eivät edes näy bootissa, vaan pelkkä edistymispalkki. Tuossapa linkki tämän keskustelun aiempaan viestiini, jossa ongelmia on lueteltu: http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000657&posting=22000000029971902

väärin kirjoitti:

> Scsi-härpäkkeillä varustetun koneen käynnistys näyttää hiukan erilaiselta kuin ei-scsi-koneen bootti. Lisäksi alkuvaihe kestää huomattavasti kauemmin ennen kuin päästään lataamaan käyttöjärjestelmää.

Mutta enhän minä noista ole puhunut mitään! Sitäpaitsi kun käytän PCLinuxOSää default-modessa, niin SCSI-härpäkkeet ja muut roippeet eivät edes näy bootissa, vaan pelkkä edistymispalkki. Tuossapa linkki tämän keskustelun aiempaan viestiini, jossa ongelmia on lueteltu: http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4500000000000657&posting=22000000029971902

Mutta ei käyttöjärjestelmällä ole mitään tekemistä tuon kanssa. Scsi-systeemit pitää ensin saattaa toimintakuntoon ja sitten vasta voidaan ladata scsi-levyltä se Linux.

Eikä tässä ole sen suurempaa "tieteellistä" pohdintaa. Kunhan vain ihmettelin äänenn mikä saa epäilemään kaikkein epätodennäköisintä vaihtoehtoa.

zxcvbnm kirjoitti:

Mutta ei käyttöjärjestelmällä ole mitään tekemistä tuon kanssa. Scsi-systeemit pitää ensin saattaa toimintakuntoon ja sitten vasta voidaan ladata scsi-levyltä se Linux.

Eikä tässä ole sen suurempaa "tieteellistä" pohdintaa. Kunhan vain ihmettelin äänenn mikä saa epäilemään kaikkein epätodennäköisintä vaihtoehtoa.

> Eikä tässä ole sen suurempaa "tieteellistä" pohdintaa. Kunhan vain ihmettelin äänenn mikä saa epäilemään kaikkein epätodennäköisintä vaihtoehtoa.

Jos tarkoitat epäilyä virtuaalikoneen olemassaolosta niin sehän muuttui jo kaikkein varmimmaksi vaihtoehdoksi kun Scoopy Doo kertoi, että GDTni (Global Descriptor Table) ei ole normaalilla vakiopaikallaan keskusmuistissa. Sellainen siirtymä kuulemma merkitsee, että koneessa on ikäänkuin kaksi käyttöjärjestelmää.

Enää puuttuu tieto siitä, minkäniminen virtuaalikone ja sen versio on kysymyksessä. Sen selvittämiseen tarvitsisin edelleen neuvoja. Nyt tuntuu siltä, että se ei olisi VMWare vaan joku muu.

ovat tuttuja cd-version käytössä. Asenna se oikeasti kovalevylle, niin toimii.
Miksi et muuten vaihtaisi koneeseesi toista kovalevyä, nykyisen pienokaisen tilalle.

Juttusi kuulostaa tutulta, linux-palstalla lähes samoja ongelmia on ollut eräässä ketjussa.
Jospa dtdumpin löytöjä ei ole siksi, ettei kovalevyltä löydy virtuaalikonetta.

http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=656&posting=22000000029794948

Kovalevylle se ei kirjoita, siksi et sieltä mitään löydä.

Toimii paremmin ja virheettömämmin, jos löytyy 1 gigan verran muistia ja alussa valitset lice-cd:n tilalle load2ram. Silloin se toimii pelkästään muistin varassa ja voit irroittaa sen kovalevyn turhana. Poltto-ohjelma K3B toimii ja muistikorteille voi tallentaa.
Parhaiten kuitenkin kiintolevylle asennettuna.
Sitä (PCLinuxOs) käytän nykyään eniten.

ongelmat_ kirjoitti:

ovat tuttuja cd-version käytössä. Asenna se oikeasti kovalevylle, niin toimii.
Miksi et muuten vaihtaisi koneeseesi toista kovalevyä, nykyisen pienokaisen tilalle.

Juttusi kuulostaa tutulta, linux-palstalla lähes samoja ongelmia on ollut eräässä ketjussa.
Jospa dtdumpin löytöjä ei ole siksi, ettei kovalevyltä löydy virtuaalikonetta.

http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=656&posting=22000000029794948

Kovalevylle se ei kirjoita, siksi et sieltä mitään löydä.

Toimii paremmin ja virheettömämmin, jos löytyy 1 gigan verran muistia ja alussa valitset lice-cd:n tilalle load2ram. Silloin se toimii pelkästään muistin varassa ja voit irroittaa sen kovalevyn turhana. Poltto-ohjelma K3B toimii ja muistikorteille voi tallentaa.
Parhaiten kuitenkin kiintolevylle asennettuna.
Sitä (PCLinuxOs) käytän nykyään eniten.

> kuvailemasi PCLos ongelmat ovat tuttuja cd-version käytössä.

Voisitko antaa linkin?

> Asenna se oikeasti kovalevylle, niin toimii.

CD-version etu on täydellinen immuniteetti verkosta asentuville rootkiteille yms. Ylitse bootin siis. Väitteesi vaatisi hyvän perustelun linkkeineen.

> Miksi et muuten vaihtaisi koneeseesi toista kovalevyä, nykyisen pienokaisen tilalle.

Siihen pitäisi olla hyvä syy, sillä sen tilavuus on riittänyt.

> Juttusi kuulostaa tutulta, linux-palstalla lähes samoja ongelmia on ollut eräässä ketjussa.

Tiedän ketjun.

> Jospa dtdumpin löytöjä ei ole siksi, ettei kovalevyltä löydy virtuaalikonetta.

DTDumper ei koske kovalevyyn millään lailla. Se lukee keskusmuistia ja kirjoittaa näytölle. Laitan tuohon loppuun sen sorsan dtdumper.c, josta toiminta näkyy.

Scoopy Doo löysi väärään osoitteeseen sijoittuneen GDTn ja väittää syylliseksi VMWarea. Sama virheellinen osoite (0xC140B000) näkyy myös DTDumperin tulostuksessa, mutta DTDumper siis ei löydä VMWaren versiota. Kysymyksessä voi tietenkin olla joku muu virtuaalikone kuin VMWare, Xen tai Kqemu.

Joka tapauksessa GDTllä (Global Descriptor Table) kuulemma on vakiopaikka yksiprosessorisissa x86-koneissa ja tauluja on vain yksi. Virtuaalikone tarvitsee sen kuitenkin omaan käyttöönsä, joten se perustaa varsinaiselle käyttikselle uuden GDTn muualle keskusmuistiin ja sen poikkeavan sijainnin pystyy Scoopy Doo näkemään. Näppärää.

> http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=656&posting=22000000029794948

Tuttu keskustelu. Se on itse aloittamani eikä ole tuonut ratkaisua ongelmiin.

> Kovalevylle se ei kirjoita, siksi et sieltä mitään löydä.

Kuten edellä jo sanoin: DTdumper ei koske kovalevyyn vaan etsii virtuaalikoneita keskusmuistista. Varsin kovan luokan pikku ohjelma mielestäni. Tutustu sen sorsaan tuolla viestin lopussa.

> Toimii paremmin ja virheettömämmin, jos löytyy 1 gigan verran muistia ja alussa valitset lice-cd:n tilalle load2ram. Silloin se toimii pelkästään muistin varassa ja voit irroittaa sen kovalevyn turhana. Poltto-ohjelma K3B toimii ja muistikorteille voi tallentaa. Parhaiten kuitenkin kiintolevylle asennettuna. Sitä (PCLinuxOs) käytän nykyään eniten.

Varmasti se on nopein käyttää kiintolevyltä ja isolla keskusmuistilla, mutta siitähän ei nyt ollut kysymys.

Ja tässä dtdumper.c :

/*
* DTDumper
* Julien TINNES
*
*
* This program is free software; you can redistribute it and/or modify
* it under the terms of the GNU General Public License as published by
* the Free Software Foundation; either version 2 of the License, or
* (at your option) any later version.
*
* This program is distributed in the hope that it will be useful,
* but WITHOUT ANY WARRANTY; without even the implied warranty of
* MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
* GNU General Public License for more details.
*
* You should have received a copy of the GNU General Public License
* along with this program; if not, write to the Free Software
* Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA
*/
#include
#include
/* This is quite hackish ;) */
#ifndef BSD_SOURCE
#include
#endif
#include
#include
#include
#include
#include
#include

#define PAGE_ALIGN(a) (a&(~((1s);
#define mycgate ((struct cgdesc *)mydesc)
#define mytgate ((struct tgdesc *)mydesc)
#define myigate ((struct igdesc *)mydesc)

   int i;
   char   type[4];
   type[3]=0;
   if (!SD_IS_IA32(mydesc)) {
      printf("ERROR: 64 bits segment but not in IA32e mode!\n");
      return;
   } else {

      /* print segment selector */
      if (selector != -1)
         printf("0x%.2X ", selector+mydesc->dpl);
      else
         printf("N/A ");

      for (i=0; itype & NSD_TYPE_CODE) {
            printf("Code ");
            type[0]=(mydesc->type & NSD_CODE_C)?'C':'c';
            type[1]=(mydesc->type & NSD_CODE_R)?'R':'r';
            type[2]=(mydesc->type & NSD_CODE_A)?'A':'a';
         } else {
            printf("Data ");
            type[0]=(mydesc->type & NSD_DATA_ED)?'E':'e';
            type[1]=(mydesc->type & NSD_DATA_W)?'W':'w';
            type[2]=(mydesc->type & NSD_DATA_A)?'A':'a';
         }

         printf("D/B=%s AVL=%d %s DPL=%d TYPE= %s BASE=0x%.8X LIMIT=0x%.8X\n",mydesc->db ? "32bts":"16bts", mydesc->avl, mydesc->p?"Present":"NtPrsnt", mydesc->dpl, type, SD_BIG_BASE(mydesc), SD_BIG_LIMIT(mydesc));
      } else {
         /* system descriptor (system segments or Gates) */
         if (SS_IS_TSS(mydesc)) {
            /* TSS */
            printf("%20.20s", ss_types[mydesc->type]);
            printf(" AVL=%d %s DPL=%d BASE=0x%.8X LIMIT=0x%.8X\n", mydesc->avl, mydesc->p?"Present":"NtPrsnt", mydesc->dpl, SD_BIG_BASE(mydesc), SD_BIG_LIMIT(mydesc));
         } else if (SS_IS_LDT(mydesc)) {
            /* LDT */
            printf("%20.20s", ss_types[mydesc->type]);
            printf(" %s DPL=%d BASE=0x%.8X LIMIT=0x%.8X\n", mydesc->p?"Present":"NtPrsnt", mydesc->dpl, SD_BIG_BASE(mydesc), SD_BIG_LIMIT(mydesc));
         } else if (SS_IS_32CG(mydesc)) {
            /* 32 bits Call-Gate */
            printf("%20.20s %s DPL=%d SgmtSlctr=0x%X (%s) ParamCount=%d Offset=0x%.8X\n",ss_types[mycgate->type], mycgate->p?"Present":"NtPrsnt", mycgate->dpl, mycgate->selector, (mycgate->selector)&1type], mytgate->p?"Present":"NtPrsnt", mytgate->dpl, mytgate->selector, (mytgate->selector)&1p?"Present":"NtPrsnt", myigate->dpl, myigate->selector, (myigate->selector)&1p?"Present":"NtPrsnt", myigate->dpl, myigate->selector, (myigate->selector)&1 0) {
         cc=read(fd, buf, len);
         if (cc < 0) {
            perror("read(): ");
            exit(1);
         }
         if (cc == 0) {
            printf("Got EOF after %d bytes\n", gdtr.size+1 - len);
            exit(1);
         }
         len-=cc;
         buf=buf + cc;
      }
   }

   return ret;
}

int   main(int argc, char *argv[]) {
   
   int   kmemfd;
   void   *gdt, *ldt, *idt;
   struct sdesc *ldtdesc;
   short   cs, ds, ss, es;
   int   c, i;
   int do_mmap=1;    /* 0 will seek and read (more compatible), 1 will mmap */

   int   pgdt=0;
   int   pldt=0;
   int   pidt=0;
   

   printf("\nDT Dumper v0.1.3\n"
    "(C) Julien TINNES \n\n");
   
   for (;;) {
      int option_index=0;
      static struct option long_options[] = {
         {"seek", 0, 0, 's'},
         {"gdt", 0, 0, 'g'},
         {"ldt", 0, 0, 'l'},
         {"idt", 0, 0, 'i'},
         {"help", 0, 0, 'h'},
         {0,0,0,0}
      };

      c=getopt_long(argc, argv, "hilgs", long_options, &option_index);
      if (c == -1)
         break;
      switch (c) {

         case 0:
            printf("This should not happen\n");
            exit(1);
         case 'i':
            pidt=1;
            break;
         case 'g':
            pgdt=1;
            break;
         case 'l':
            pldt=1;
            break;
         case 's':
            do_mmap=0;
            break;
         case '?':
         case 'h':
         default:
            printf("Usage: %s [options]\n\n"
               "-g\t Dump GDT\n"
               "-l\t Dump LDT\n"
               "-i\t Dump IDT\n"
               "-s\t Use seek() and read() instead of mmap()\n", argv[0]);
            exit(1);
      }
   }
               
   asm("sgdt %0\t\n"
    "sldt %1\t\n"
    "sidt %2\t\n"
    "str %3\t\n"
    "movw %%cs, %4\t\n"
    "movw %%ds, %5\t\n"
    "movw %%ss, %6\t\n"
    "movw %%es, %7\t\n"
    : "=m" (gdtr), "=m" (ldtr), "=m" (idtr), "=m" (tr), "=r" (cs), "=r" (ds), "=S" (ss), "=D" (es) );

   printf("GDT size: 0x%X (%d entries), GDT LA: 0x%X\n"
    "LDT's selector is 0x%X (entry #%d in %s)\n"
    "TSS's selector is 0x%X (entry #%d in %s)\n"
    "IDT size: 0x%X (%d entries), IDT LA: 0x%X\n"
    "CS: 0x%X\t"
    "DS: 0x%X\t"
    "SS: 0x%X\t"
    "ES: 0x%X\n",
    gdtr.size, (gdtr.size+1)/8, gdtr.la,
    ldtr.size, ldtr.size>>3, ldtr.size&(13, tr.size&(1>3);
      ldtr_internal.size=SD_BIG_LIMIT(ldtdesc);
      ldtr_internal.la=SD_BIG_BASE(ldtdesc);

      if (!(SD_IS_IA32(ldtdesc) && SD_IS_SYSTEM(ldtdesc) && SS_IS_LDT(ldtdesc))) {
         printf("Error, Invalid LDT, something wrong, try changing maping method and/or device\n");
         exit(1);
      }
      ldt=map_dt(do_mmap, kmemfd, ldtr_internal.size+1, ldtr_internal.la);
   }
   
   idt=map_dt(do_mmap, kmemfd, idtr.size+1, idtr.la);

   if (pgdt) {
      printf("Dumping GDT (0x%X)\n", gdtr.la);
      for (i=0; i< (gdtr.size+1)/8; i++) {
         union gdesc *sd;
         sd=((union gdesc*)gdt)+i;
         if (sd->s.s != 100) {
            printf("(#%3.3d) ", i);
            sd_print(sd, i

keskusmuistia kirjoitti:

> kuvailemasi PCLos ongelmat ovat tuttuja cd-version käytössä.

Voisitko antaa linkin?

> Asenna se oikeasti kovalevylle, niin toimii.

CD-version etu on täydellinen immuniteetti verkosta asentuville rootkiteille yms. Ylitse bootin siis. Väitteesi vaatisi hyvän perustelun linkkeineen.

> Miksi et muuten vaihtaisi koneeseesi toista kovalevyä, nykyisen pienokaisen tilalle.

Siihen pitäisi olla hyvä syy, sillä sen tilavuus on riittänyt.

> Juttusi kuulostaa tutulta, linux-palstalla lähes samoja ongelmia on ollut eräässä ketjussa.

Tiedän ketjun.

> Jospa dtdumpin löytöjä ei ole siksi, ettei kovalevyltä löydy virtuaalikonetta.

DTDumper ei koske kovalevyyn millään lailla. Se lukee keskusmuistia ja kirjoittaa näytölle. Laitan tuohon loppuun sen sorsan dtdumper.c, josta toiminta näkyy.

Scoopy Doo löysi väärään osoitteeseen sijoittuneen GDTn ja väittää syylliseksi VMWarea. Sama virheellinen osoite (0xC140B000) näkyy myös DTDumperin tulostuksessa, mutta DTDumper siis ei löydä VMWaren versiota. Kysymyksessä voi tietenkin olla joku muu virtuaalikone kuin VMWare, Xen tai Kqemu.

Joka tapauksessa GDTllä (Global Descriptor Table) kuulemma on vakiopaikka yksiprosessorisissa x86-koneissa ja tauluja on vain yksi. Virtuaalikone tarvitsee sen kuitenkin omaan käyttöönsä, joten se perustaa varsinaiselle käyttikselle uuden GDTn muualle keskusmuistiin ja sen poikkeavan sijainnin pystyy Scoopy Doo näkemään. Näppärää.

> http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=656&posting=22000000029794948

Tuttu keskustelu. Se on itse aloittamani eikä ole tuonut ratkaisua ongelmiin.

> Kovalevylle se ei kirjoita, siksi et sieltä mitään löydä.

Kuten edellä jo sanoin: DTdumper ei koske kovalevyyn vaan etsii virtuaalikoneita keskusmuistista. Varsin kovan luokan pikku ohjelma mielestäni. Tutustu sen sorsaan tuolla viestin lopussa.

> Toimii paremmin ja virheettömämmin, jos löytyy 1 gigan verran muistia ja alussa valitset lice-cd:n tilalle load2ram. Silloin se toimii pelkästään muistin varassa ja voit irroittaa sen kovalevyn turhana. Poltto-ohjelma K3B toimii ja muistikorteille voi tallentaa. Parhaiten kuitenkin kiintolevylle asennettuna. Sitä (PCLinuxOs) käytän nykyään eniten.

Varmasti se on nopein käyttää kiintolevyltä ja isolla keskusmuistilla, mutta siitähän ei nyt ollut kysymys.

Ja tässä dtdumper.c :

/*
* DTDumper
* Julien TINNES
*
*
* This program is free software; you can redistribute it and/or modify
* it under the terms of the GNU General Public License as published by
* the Free Software Foundation; either version 2 of the License, or
* (at your option) any later version.
*
* This program is distributed in the hope that it will be useful,
* but WITHOUT ANY WARRANTY; without even the implied warranty of
* MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
* GNU General Public License for more details.
*
* You should have received a copy of the GNU General Public License
* along with this program; if not, write to the Free Software
* Foundation, Inc., 51 Franklin St, Fifth Floor, Boston, MA 02110-1301 USA
*/
#include
#include
/* This is quite hackish ;) */
#ifndef BSD_SOURCE
#include
#endif
#include
#include
#include
#include
#include
#include

#define PAGE_ALIGN(a) (a&(~((1s);
#define mycgate ((struct cgdesc *)mydesc)
#define mytgate ((struct tgdesc *)mydesc)
#define myigate ((struct igdesc *)mydesc)

   int i;
   char   type[4];
   type[3]=0;
   if (!SD_IS_IA32(mydesc)) {
      printf("ERROR: 64 bits segment but not in IA32e mode!\n");
      return;
   } else {

      /* print segment selector */
      if (selector != -1)
         printf("0x%.2X ", selector+mydesc->dpl);
      else
         printf("N/A ");

      for (i=0; itype & NSD_TYPE_CODE) {
            printf("Code ");
            type[0]=(mydesc->type & NSD_CODE_C)?'C':'c';
            type[1]=(mydesc->type & NSD_CODE_R)?'R':'r';
            type[2]=(mydesc->type & NSD_CODE_A)?'A':'a';
         } else {
            printf("Data ");
            type[0]=(mydesc->type & NSD_DATA_ED)?'E':'e';
            type[1]=(mydesc->type & NSD_DATA_W)?'W':'w';
            type[2]=(mydesc->type & NSD_DATA_A)?'A':'a';
         }

         printf("D/B=%s AVL=%d %s DPL=%d TYPE= %s BASE=0x%.8X LIMIT=0x%.8X\n",mydesc->db ? "32bts":"16bts", mydesc->avl, mydesc->p?"Present":"NtPrsnt", mydesc->dpl, type, SD_BIG_BASE(mydesc), SD_BIG_LIMIT(mydesc));
      } else {
         /* system descriptor (system segments or Gates) */
         if (SS_IS_TSS(mydesc)) {
            /* TSS */
            printf("%20.20s", ss_types[mydesc->type]);
            printf(" AVL=%d %s DPL=%d BASE=0x%.8X LIMIT=0x%.8X\n", mydesc->avl, mydesc->p?"Present":"NtPrsnt", mydesc->dpl, SD_BIG_BASE(mydesc), SD_BIG_LIMIT(mydesc));
         } else if (SS_IS_LDT(mydesc)) {
            /* LDT */
            printf("%20.20s", ss_types[mydesc->type]);
            printf(" %s DPL=%d BASE=0x%.8X LIMIT=0x%.8X\n", mydesc->p?"Present":"NtPrsnt", mydesc->dpl, SD_BIG_BASE(mydesc), SD_BIG_LIMIT(mydesc));
         } else if (SS_IS_32CG(mydesc)) {
            /* 32 bits Call-Gate */
            printf("%20.20s %s DPL=%d SgmtSlctr=0x%X (%s) ParamCount=%d Offset=0x%.8X\n",ss_types[mycgate->type], mycgate->p?"Present":"NtPrsnt", mycgate->dpl, mycgate->selector, (mycgate->selector)&1type], mytgate->p?"Present":"NtPrsnt", mytgate->dpl, mytgate->selector, (mytgate->selector)&1p?"Present":"NtPrsnt", myigate->dpl, myigate->selector, (myigate->selector)&1p?"Present":"NtPrsnt", myigate->dpl, myigate->selector, (myigate->selector)&1 0) {
         cc=read(fd, buf, len);
         if (cc < 0) {
            perror("read(): ");
            exit(1);
         }
         if (cc == 0) {
            printf("Got EOF after %d bytes\n", gdtr.size+1 - len);
            exit(1);
         }
         len-=cc;
         buf=buf + cc;
      }
   }

   return ret;
}

int   main(int argc, char *argv[]) {
   
   int   kmemfd;
   void   *gdt, *ldt, *idt;
   struct sdesc *ldtdesc;
   short   cs, ds, ss, es;
   int   c, i;
   int do_mmap=1;    /* 0 will seek and read (more compatible), 1 will mmap */

   int   pgdt=0;
   int   pldt=0;
   int   pidt=0;
   

   printf("\nDT Dumper v0.1.3\n"
    "(C) Julien TINNES \n\n");
   
   for (;;) {
      int option_index=0;
      static struct option long_options[] = {
         {"seek", 0, 0, 's'},
         {"gdt", 0, 0, 'g'},
         {"ldt", 0, 0, 'l'},
         {"idt", 0, 0, 'i'},
         {"help", 0, 0, 'h'},
         {0,0,0,0}
      };

      c=getopt_long(argc, argv, "hilgs", long_options, &option_index);
      if (c == -1)
         break;
      switch (c) {

         case 0:
            printf("This should not happen\n");
            exit(1);
         case 'i':
            pidt=1;
            break;
         case 'g':
            pgdt=1;
            break;
         case 'l':
            pldt=1;
            break;
         case 's':
            do_mmap=0;
            break;
         case '?':
         case 'h':
         default:
            printf("Usage: %s [options]\n\n"
               "-g\t Dump GDT\n"
               "-l\t Dump LDT\n"
               "-i\t Dump IDT\n"
               "-s\t Use seek() and read() instead of mmap()\n", argv[0]);
            exit(1);
      }
   }
               
   asm("sgdt %0\t\n"
    "sldt %1\t\n"
    "sidt %2\t\n"
    "str %3\t\n"
    "movw %%cs, %4\t\n"
    "movw %%ds, %5\t\n"
    "movw %%ss, %6\t\n"
    "movw %%es, %7\t\n"
    : "=m" (gdtr), "=m" (ldtr), "=m" (idtr), "=m" (tr), "=r" (cs), "=r" (ds), "=S" (ss), "=D" (es) );

   printf("GDT size: 0x%X (%d entries), GDT LA: 0x%X\n"
    "LDT's selector is 0x%X (entry #%d in %s)\n"
    "TSS's selector is 0x%X (entry #%d in %s)\n"
    "IDT size: 0x%X (%d entries), IDT LA: 0x%X\n"
    "CS: 0x%X\t"
    "DS: 0x%X\t"
    "SS: 0x%X\t"
    "ES: 0x%X\n",
    gdtr.size, (gdtr.size+1)/8, gdtr.la,
    ldtr.size, ldtr.size>>3, ldtr.size&(13, tr.size&(1>3);
      ldtr_internal.size=SD_BIG_LIMIT(ldtdesc);
      ldtr_internal.la=SD_BIG_BASE(ldtdesc);

      if (!(SD_IS_IA32(ldtdesc) && SD_IS_SYSTEM(ldtdesc) && SS_IS_LDT(ldtdesc))) {
         printf("Error, Invalid LDT, something wrong, try changing maping method and/or device\n");
         exit(1);
      }
      ldt=map_dt(do_mmap, kmemfd, ldtr_internal.size+1, ldtr_internal.la);
   }
   
   idt=map_dt(do_mmap, kmemfd, idtr.size+1, idtr.la);

   if (pgdt) {
      printf("Dumping GDT (0x%X)\n", gdtr.la);
      for (i=0; i< (gdtr.size+1)/8; i++) {
         union gdesc *sd;
         sd=((union gdesc*)gdt)+i;
         if (sd->s.s != 100) {
            printf("(#%3.3d) ", i);
            sd_print(sd, i

Linkkiä en viitsi laittaa, laitoin sen jo viimeksi...
Cd-versio yhdistää koneesi verkkoon välittömästi, joten/jos rootkittejä on olemassa sun koneellesi, niin nehän iskee heti (itse en ole moisia havainnut, en myöskään windowsissa).
Sen sijaan muistiin lataaminen ilman kovalevyä suojelee paremmin; kaikki poistuu, kun katkaiset virrat.
Kerroit biosin ja yms. lataavan jotain kovalevyltäsi/kovalevyllesi, siispä se on saastunut (rootkittiepäilyn vuoksi uusi kiintolevy olisi asiallinen veto). Ja virtuaalikoneetkin poistuis kerralla; muistissahan ne ei voi pesiä - you know.
No niin, lähteeksi kelpaa siis vain bios tai kiintolevy (puhutaan taas koneesi käynnistämisestä ilman live-cd:tä), muita ohjelmakoodia sisältävää tavaraa ei taida emolevyltä löytyä.
Biosin muistitila on kovin rajallinen, en nielaisisi syöttiä.

Lopetan täältä tähän, ei oikein jaksaisi pitempään. Siivoilin w2k:sta örkkejä ulos muutaman tunnin ja lopuksi ajuri/IRQ-ristiriita teetti vähän ylimääräistä. Onneksi tässä kotikoneessa ei tarvitse vaivautua moiseen, kiitos linuxin.