Exchange 2003/2007, Spam, postfix, Debian, DNS

Nachdem ich gerade ein tar Backup (script kommt die Tage) einer Maschine auf einer andere wiederhergestellt habe, war die neue Netzwerkkarte im System nicht mehr eth0 sondern eth1.

Eigentlich auch versändlich, denn durch das Wiederherstellen der Konfig-Datein ist das System der Meinung, dass es noch irgendwo ein Interface namens eth0 hat. Sowas ist natürlich erstmal nur unschön, führt aber leider zu einem größeren Problem, wenn das Backup Remote wiederhergestellt wird, denn die Netzwerkverbindung ist dann leider erstmal weg.

Nun gibts es 2 Möglichkeiten.

1. die Konfig-Datein beim backup ausschließen –exclude=/etc/udev/rules.d/z25_persistent-net.rules
2. oder eben die Nachträgliche Korrektur.

Um die alte Netzwerkkarte nachträglich zu entfernen, muss die entsprechende Zeile in der Datei /etc/udev/rules.d/z25_persistent-net.rules lediglich entfernt werden. Anschließend muss der System neu gestartet werden.

Linux Befehle sind schön kurz, doch manchmal sind sie zu schnell eingegeben als das man noch eine Chance hat den Fehlre zu bemerken. Das musste ich gerade selbst erfahren. rm * -r im backup Verzeichnis hat leider nicht nur die alten Backups gelöscht, sondern auch das backup-script selbst. Man sollte es ja eigentlich auch nicht direkt im Backup Verzeichnis ablegen, ich weiß :-P

Da ich aber nicht angefangen habe diesen Eintrag zu schreiben um anderen mein Leid zu klagen komm ich dann jetzt mal zum eigentlichen Thema.

grep restore

Ich konnte das Backup-Script wiederherstellen. Dazu habe ich als erstes die gesamte Partition nach einer eindeutigen Zeichenfolge des scriptes durchsucht – in meine Fall das Password des FTP-Servers wohin die Sicherung geschrieben wird – um dann die entsprechenden Zeilen vor und nach der Fundstelle wiederherzustellen.

grep -i -a -B10 -A100 'password' /dev/sda1 > restore.txt

foremost

Sollten nun mal Dateien abhanden gekommen sein, die nicht einfache Textdateien waren, so kann man das Tool foremost nutzen. Mit diesem Tool lassen sich jedoch auch nicht alle Dateitypen wiederherstellen. Unterstüzt werden unter anderem Bilder, Videos, Office-Dokumente, Zip- sowie RAR-Archive.

Um zum Beispiel alle Bilder wiederherzustellen sähen die Parameter für foremost wiefolgt aus.

foremost -t jpg -i /media/photos.img

Möchten Sie jedoch alle Dateien wiederherstellen mit denen foremost arbeitet, verwenden Sie die Parameter -t all

foremost -t all -i /media/rec_all.img

dd restore

Eine weitere Möglichkeit ist, die Partition nach bestimmten Begriffen zu durchsuchen und dann eine bestimmte Anzahl an Bytes um die Fundstelle herum wiederherzustellen. Das Ergebniss wird fast nie eine funktionierende Datei sein, jedoch schafft man es evtl. so Officedokumente heranzukommen, die man mit etwas Glück anschließend nur neu formatieren muss.

Also suchen Sie ertsmal nach eine möglichen Fundstelle.

grep -oab Doktorarbeit /media/restore.img

Anschließend können ab der genannten Position (2048) eine in diesem Beispiel 1 MB Datei (bs=1M) wiederherstellen.

dd if=/dev/hdg1 of=/media/part_restore.img bs=1M seek=2048 skip 2048

Auf tecchannel.de ist ein Artikel erschienen, der darauf hinweist, dass momentan ein Rootkit im Umlauf ist, SSH Schlüssel versucht zu stehlen und dazu möglicherweise die Debian SSH Sicherheitslücke ausnutzt.