Don Beto, ya tenemos correos!

Mea culpa: en la última iteración de sergiob, se me olvidó “prender” muchas cosas, y eso incluye los correos del blog. No se preocupen, solo es una basurita en mi ojo

A todos aquellos usuarios registrados últimamente (sí, ustedes, legión de 2): por favor, envíenme un mensajito (ahí a la derecha está mi twitter) y les establezco su contraseña.

Si les interesa saber cómo se hacen esas magias, son tres pasos:

1) Instalar/configurar msmtp
2) Configurar php para utilizar msmtp para enviar correos (ambos pasos descritos aquí)
3) Configurar wordpress para enviar correos con la función mail de php (Configuración | E-mail).

La SOPA y otros condimentos

Pues formalmente acabo mi protesta, después de 100 (?) horas de blackout. Bueno, digamos que lo quise dejar unos días… y ya perdí la cuenta 😀

Si a alguien le interesa aún leer *porqué* hubo un blackout en sergiob, con todo gusto dejo el link.

Pero la SOPA no fue lo peor que me pudo pasar esta semana. Nop, lo peor que me pudo pasar esta semana fue una taza de café… mejor dicho un termo… que acabó bañando mi lap. Sí, mi nueva lap. Esta secándose en estos momentos allá en la oficina; veremos mañana si todavía funciona. Y si no, como dice Homero… vuelve a crecer, no? O la volvemos a comprar :3

En fin… en otros temas estoy preocupado porque me la vivo cansado y no sé porqué. En serio, en las mañanas voy manejando a la chamba y tengo un sueño… después de 6, 7, 8 horas de sueño! Esto no me pasaba en la facultad. Igual no me estoy tomando mis vitaminas… ah, pero que tal en la noche, eh! Bloggeando y toda la cosa.

Otra vez dejé un poco abandonado estos lares del blog. A ver si a partir de mañana cambio las condiciones. Conocí un nuevo blog que me llamó mucho la atención, curiosamente de un link en twitter. Ahí lo pueden ver ustedes en el blogroll (un poco más abajo a la derecha, si estan leyendo este post como el primero).

Saludines… ya no tomen café si no saben aguantar los efectos… XD

Cómo utilizar DLLs externos en un programa de C#

…Después de la catarsis…

Hace poquito escribí acerca de mi alegría en obtener una rápida y eficiente solución a un problema que me estaba preocupando, específicamente de cómo copiar de manera segura archivos utilizando C#. Me encontré una biblioteca que hace justamente eso, utilizando el buen y viejo SCP. En pruebas todo estaba bien, terminé otras actualizaciones al proyecto, y como siempre, lo subí a un servidor donde la versión más nueva es descargable por los usuarios del sistema (o en resumen: “actualicé el servidor de actualizaciones”).

…Y que me avisan – esto no sirve. Terriblemente apenado, revisé inmediatamente la situación (ERT: 10 mins) y descubrí que C# me mostraba un error horrible a la hora de querer actualizar:

"[...]El archivo XXXX ya existe."

Mmm… huh? Pues claro que ya existe, babas. Era uno de los archivos .DLL que agregué para utilizar su funcionamiento. Pero… porqué se quejaba el instalador de ello?

La moraleja en versión breve es: lo agregué dos veces. Primero lo agregué como archivo al proyecto (Proyecto | | Incluir recurso existente) y luego agregué la referencia (Referencias | Agregar referencia). El manifiesto se confundió y chilló sin tregua.

Lección aprendida: Si vas a agregar un DLL externo, solo tienes que agregarlo como referencia. No es necesario agregarlo como archivo – Visual Studio se encarga de incluirlo con tu proyecto en el deployment.

Y… me hackearon

Pues… qué puedo decir? Me descuidé, y me descuidé horriblemente.

La historia, horriblemente, es como sigue: hace un mes me ví en la necesidad de configurar un servicio de correo express, por cuestiones profesionales. Y como buen debianero, dije “pues el exim, he escuchado que es muy práctico!” Y entonces hice un sencillo apt-get, configuré algunos parámetros… y listo. No configuré un open relay (digo, tampoco soy un completo idiota) pero sí dejé muchos parámetros de manera insegura. Aún peor, y a diferencia del resto de mis servicios, no lo puse en una jaula, ni le cambié el usuario predeterminado. Total que bueno, hay cosas que uno mismo se busca…

Un par de semanas después, Javier tuvo una plática (de botnets) y lo acompañé. Durante la plática, comencé a recibir un montón de correos de sergiob, informándome que habían nuevos comentarios en el blog. Como esto es tremendamente raro (considerando que nadie *jamás* pone comentarios – vamos, casi nadie lee el blog para empezar) inmediatamente verifiqué… y ciertamente, era puro spam. Cambié la configuración predeterminada del wordpress, de manera que todos los comentarios requirieran aprobación previa, y cerré capítulo. Ni volví a pensar en ello…

…hasta hoy.

Amazon (mi amable proveedor de nubecitas) me mandó mi factura mensual, como todos los meses. Apenas y volteo a ver los correos: las cuentas suelen ser ridículamente bajas. Excepto hoy. Hoy, la cuenta reportada excedía en 10,000% (y no, no exagero) lo que normalmente pago. Lo que es… bueno, es bastante. Mi reacción fue inmediata: verifiqué el reporte de uso de Enero, observé con horror que la cuenta era correcta, bajé los reportes para un análisis posterior, y abrí una terminal para corregir los problemas. Los hallazgos fueron… terribles.

Los atacantes consiguieron acceso a través de una vulnerabilidad de exim (específicamente esta) y tomaron control del sistema. Se acomodaron felices, pusieron su bot, y descargaron… y descargaron…

860 Gigabytes.

El problema ya está controlado, y no hay hueco de exim por donde puedan volverse a colar. Al menos me llevo conmigo dos lecciones: la primera, dolorosa porque la repito (y suelo vivirla), no hagas las cosas mal, ni siquiera por hacerlas rápido. La segunda, y más importante en mi opinión, monitorea, maldita sea!. No porque sea tu servidor personal, y no un equipo de producción, te da derecho a olvidarlo a la buena de Dios. Pero en fin… echando a perder se aprende.

Al menos ya estamos de regreso. A ver que tal sale el servicio de correo de Amazon.

(Con disculpas a los profesionistas del tema, pero “me explotaron una vulnerabilidad” no tiene el mismo sonidito, o sí?)