Forum Debian Users Gang

morfik · 2015-08-10 20:03:41

Ja wiem, że tam jest opis tych opcji, choć po przeczytaniu ich pierwszy raz, to niezbyt rozumiałem wtf. xD

Jeśli w głównym profilu firefoxa ustawie PUx dla plugin-container, to nie są generowane żadne eventy, no i flash nie działa. Jak to przestawie na pux, wtedy eventy są ale przy budowaniu profilu mam:

Kod:

Profiling: /opt/firefox/plugin-container

[(S)can system log for AppArmor events] / (F)inish
Reading log entries from /var/log/syslog.
Updating AppArmor profiles in /etc/apparmor.d.
Traceback (most recent call last):
  File "/usr/sbin/aa-genprof", line 155, in <module>
    lp_ret = apparmor.do_logprof_pass(logmark, passno)
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2269, in do_logprof_pass
    read_profiles()
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2594, in read_profiles
    read_profile(profile_dir + '/' + file, True)
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2620, in read_profile
    profile_data = parse_profile_data(data, file, 0)
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2915, in parse_profile_data
    raise AppArmorException(_('Invalid mode %(mode)s in file: %(file)s line: %(line)s') % {'mode': mode, 'file': file, 'line': lineno + 1 })
apparmor.common.AppArmorException: 'Invalid mode pux in file: /etc/apparmor.d/opt.firefox.firefox line: 86'

Podobnie sprawa ma się przy:

Kod:

# aa-enforce opt.firefox.plugin-container
Traceback (most recent call last):
  File "/usr/sbin/aa-enforce", line 30, in <module>
    tool.cmd_enforce()
  File "/usr/lib/python3/dist-packages/apparmor/tools.py", line 139, in cmd_enforce
    apparmor.read_profiles()
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2594, in read_profiles
    read_profile(profile_dir + '/' + file, True)
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2620, in read_profile
    profile_data = parse_profile_data(data, file, 0)
  File "/usr/lib/python3/dist-packages/apparmor/aa.py", line 2915, in parse_profile_data
    raise AppArmorException(_('Invalid mode %(mode)s in file: %(file)s line: %(line)s') % {'mode': mode, 'file': file, 'line': lineno + 1 })
apparmor.common.AppArmorException: 'Invalid mode pux in file: /etc/apparmor.d/opt.firefox.firefox line: 86'

No to ja nie wiem wtf. xD

Jacekalex · 2015-08-10 20:19:46

Przecież masz napisane czarno na białym, że skrypty są napisane w Pythonie2, i dlatego na Pythonie3 dają takie śliczne błędy.

A poza tym dziwnego masz tego userspace do AA:

Kod:

 head -n1 `which aa-enforce`
#!/usr/bin/perl

Kod:

head -n1 `which aa-genprof`
#!/usr/bin/perl

Wszystkie ważne skryty do AA mam w perlu - i to nie ja je pisałem.
Wersja:

Kod:

qlist -ICv apparmor
sys-apps/apparmor-2.8.4
sys-apps/apparmor-utils-2.8.4
sys-libs/libapparmor-2.8.4

SOA#1

Ostatnio edytowany przez Jacekalex (2015-08-10 20:21:45)

morfik · 2015-08-10 20:26:08

No tu jest:

Kod:

# head -n1 `which aa-enforce`
#!/usr/bin/python3

# head -n1 `which aa-genprof`
#!/usr/bin/python3

To jak to jest, że te skrypty mają być w pythonie 2 a w plikach jest #!/usr/bin/python3 ? xD

Poza tym, tu jest jakaś nowsza wersja:

Kod:

# dpkg -l | grep apparmor
ii  apparmor                                                    2.9.2-3                                amd64        User-space parser utility for AppArmor
ii  apparmor-profiles                                           2.9.2-3                                all          Profiles for AppArmor Security policies
ii  apparmor-profiles-extra                                     1.4                                    all          Extra profiles for AppArmor Security policies
ii  apparmor-utils                                              2.9.2-3                                amd64        Utilities for controlling AppArmor
ii  dh-apparmor                                                 2.9.2-3                                all          AppArmor debhelper routines
ii  libapparmor-perl                                            2.9.2-3                                amd64        AppArmor library Perl bindings
ii  libapparmor1:amd64                                          2.9.2-3                                amd64        changehat AppArmor library
ii  python3-apparmor                                            2.9.2-3                                amd64        AppArmor Python3 utility library
ii  python3-libapparmor                                         2.9.2-3                                amd64        AppArmor library Python3 bindings

A co do samych błędów jeszcze, to tam się rzuca tylko donośnie tego trybu: Invalid mode pux in file: /etc/apparmor.d/opt.firefox.firefox line: 86' . Te skrypty działają bez problemu, tylko coś to profilowanie przy wywoływaniu innego programu się chrzani i mu nie odpowiada mode.

Ostatnio edytowany przez morfik (2015-08-10 20:36:33)

Jacekalex · 2015-08-10 20:40:52

Tu masz wyjaśnienie różnicy:
http://wiki.apparmor.net/index.php/QuickProfileLanguage

Wygląda na to, że AA w wersji 2.9.0 jest trochę popieprzony, zobaczymy, czy to bug czy feature, znając ubuntowców pewnie jedno i drugie równocześnie. :D

morfik · 2015-08-10 20:52:53

No ja wiem, tylko mam do wyboru PUx i pux i na pierwszym mi flash kompletnie nie działa, a na drugim nie działają te skrypty. xD

Jacekalex · 2015-08-10 21:05:06

A plugin-container przy pux ląduje w swoim profilu, czy leci bez ochrony?

Kod:

cat /proc/`pidof plugin-container`/attr/current
/usr/lib64/firefox/plugin-container (enforce)

U mnie, jak widać, działa ok.

Z resztą jak włączyć logi AA, to ile tego płaczu, że flash nie może na dyziu zapisywać żadnych LSO czy evercookies.... :D

Ostatnio edytowany przez Jacekalex (2015-08-10 21:06:10)

morfik · 2015-08-10 21:45:32

No u mnie jeśli ręcznie wszystko ustawie bez korzystania z aa-enforce, to też mam taki sam wynik przy pux ale jeśli tylko się zacznę bawić tymi narzędziami, to zaraz błędy lecą.

A tak odnośnie flasha jeszcze, jak tu wyciąć te foldery od ciastek? Bo ja próbuje dodać coś w stylu:

Kod:

    deny owner @{HOME}/.adobe/ r,
    deny owner @{HOME}/.adobe/** wr,
    deny owner @{HOME}/.macromedia/ r,
    deny owner @{HOME}/.macromedia/** wr,
    deny owner @{HOME}/.config/freshwrapper-data/ r,
    deny owner @{HOME}/.config/freshwrapper-data/** wr,

I dalej mi zapisuje w ~/.config/freshwrapper-data/ -- to jest ten nowszy flash. W logu nie było żadnego info, że ff czy plugin-container ma jakieś żądania do tych katalogów ale coś tworzy w nich pliki. xD

Ostatnio edytowany przez morfik (2015-08-10 21:51:42)

Jacekalex · 2015-08-10 22:15:49

Pewnie tak, jak mam ze standardowym flashem:

Kod:

 
  owner @{HOME}/.adobe/ r,
  owner @{HOME}/.adobe/** r,
  owner @{HOME}/.macromedia/        r,
  owner @{HOME}/.macromedia/**      r,

  
  owner @{HOME}/.config/freshwrapper-*/       r,
  owner @{HOME}/.config/freshwrapper-*/**     r,

Ostatnio edytowany przez Jacekalex (2015-08-10 22:18:44)

morfik · 2015-08-10 22:55:56

Już wiem co tu nie działa -- ja mam podlinkowany ten katalog do /tmp/ jak i też parę innych, a tam reguły zezwalają na zapis danych. Sprawdziłem bez linku i blokuje, choć jeśli ten katalog, jak i cała jego struktura, nie jest obecna, wtedy zwyczajnie nie działają filmiki (przynajmniej w paru serwisach). Ja sobie odpaliłem jeden film, tak by zostało wszystko utworzone jak trza i pokasowałem zbędny syf, co wygląda mniej więcej tak:

Kod:

# tree /home/morfik/.config/freshwrapper-data
/home/morfik/.config/freshwrapper-data
└── Shockwave Flash
    ├── CacheWritableAdobeRoot
    │   └── AssetCache
    │       └── MVPGTXAU
    └── WritableRoot
        └── #SharedObjects
            └── CSSWEJ2B
                └── macromedia.com
                    └── support
                        └── flashplayer
                            └── sys

11 directories, 0 files

Dałem te regułki na odczyt tego katalogu i wszystkiego niżej, no i przestało zapisywać pliki a filmiki działają bez problemu, przynajmniej tam gdzie sprawdzałem. No i pełno śmiecia w logu jest. xD

Btw, jak wyłączyć ten syf z logu tak by mi tego nie pokazywał?

Ostatnio edytowany przez morfik (2015-08-10 23:07:38)

Jacekalex · 2015-08-10 23:05:58

Ja sobie popełniłem przełącznik, używa się go z sudo:

Kod:

cat `which aalog`
#!/bin/bash

AUDIT="/sys/module/apparmor/parameters/audit"

 grep quiet $AUDIT 2>&1 >/dev/null && echo -n normal > $AUDIT || echo -n quiet > $AUDIT;
 
 STATUS=`cat $AUDIT `;
 
 echo "Status AUDIT zmieniony na  $STATUS ;)";
 exit 0;

Włącza i wyłącza śmiecenie w logach bardzo grzecznie.

EDIT:
W jakich to serwisach nie odtwarza, jak sobie tych folderów nie założy?
O porntuby nie pytam... :D

Ostatnio edytowany przez Jacekalex (2015-08-10 23:08:41)

morfik · 2015-08-10 23:07:27

Ja generalnie nie mam nic przeciwko tym komunikatom, jedynie chce usunąć te zbędne ale dalej niech będą pokazywane wszystkie inne jeśli jakiś problem z prawami zaistnieje. xD

A tego flasha dałem tak:

Kod:

    owner @{HOME}/.config/freshwrapper-data/ r,
    owner @{HOME}/.config/freshwrapper-data/** r,
    deny owner @{HOME}/.config/freshwrapper-data/** w,

W jakich to serwisach nie odtwarza, jak sobie tych folderów nie założy?
O porntuby nie pytam... :D[/quote]
No na xhamsterze nie chciało, na pozostałych grało. xD W sumie to na nich tylko testuje, bo ja nigdzie indziej flasha nie mam. xD

Ostatnio edytowany przez morfik (2015-08-10 23:14:18)

Time (s)	Query
0.00009	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00067	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.142.201.93' WHERE u.id=1
0.00097	UPDATE punbb_online SET logged=1732380991 WHERE ident='3.142.201.93'
0.00055	SELECT * FROM punbb_online WHERE logged<1732380691
0.00067	SELECT topic_id FROM punbb_posts WHERE id=289672
0.00007	SELECT id FROM punbb_posts WHERE topic_id=27628 ORDER BY posted
0.00072	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=27628 AND t.moved_to IS NULL
0.00007	SELECT search_for, replace_with FROM punbb_censoring
0.00250	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=27628 ORDER BY p.id LIMIT 25,25
0.00109	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=27628
Total query time: 0.00744 s

Forum Debian Users Gang

Ogłoszenie

#26 2015-08-10 20:03:41

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

Kod:

#27 2015-08-10 20:19:46

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

Kod:

Kod:

#28 2015-08-10 20:26:08

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

Kod:

#29 2015-08-10 20:40:52

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

#30 2015-08-10 20:52:53

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

#31 2015-08-10 21:05:06

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#32 2015-08-10 21:45:32

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#33 2015-08-10 22:15:49

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#34 2015-08-10 22:55:56

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#35 2015-08-10 23:05:58

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#36 2015-08-10 23:07:27

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#37 2015-08-10 23:10:24

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

#38 2015-08-10 23:12:12

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

#39 2015-08-11 19:04:00

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

#40 2015-08-11 19:15:22

uzytkownikubunt - Zbanowany

Re: Jak izolować Iceweasel/Firefoksa?

#41 2015-08-11 19:35:25

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

#42 2015-08-11 20:34:35

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#43 2015-08-11 20:51:32

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#44 2015-08-11 20:53:24

Jacekalex - Podobno człowiek...;)

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#45 2015-08-11 21:06:46

morfik - Cenzor wirtualnego świata

Re: Jak izolować Iceweasel/Firefoksa?

Kod:

#46 2015-08-11 21:35:50