classic.ISPforum.cz

Ahojky,

Mam takový blbý dotaz. Když se přihlásím do mikrotiku do DNS, tak mi pořad v DNS keši vyskakuje jedna stránka. Hned jak to flustnu tak tam je. Když vypnu všechny DNS servery tak se tam pořad ukazuje viz printscreen. Myslim si že je volána z mikrotiku. Napada někoho co se tam mohlo stat ?

pustil bych sniffer postupne na vsech interfacech ktere ma ten MT zapojene a podival bych se odkud tam ty dotazy chodej.
pripadne jeste muzes kouknout do logu jestli tam nahodou neni neco podezrelehe

Dělá to tohle: http://screencast.com/t/9yx2sGLMOIVD

- odpojeno DNS do sítě
- VPN měla jiné DNS servery

Co je tam za verzi MK a na cem to jede?

Takové věci dělají rády cracklé verze, ve kterých běží kromě OS ještě spousta bordelu na pozadí...

Je to RB750 a nemyslím si, že jsem ji aktualizoval.

Mno, tak jsem se díval do "svého" firewallu a mám to tam taky... Ten DNS dotaz přichází z wan z různých ip, vypadá to jako nějakej boot. Stačí zaříznout DNS z wan a je pokoj.

Pořad tomu moc nerozumím. Jak to může přicházet z venku když mam DNS vypnuty ? jaké pravidlo udělat aby se to droplo na firewallu ( nebo legovalo z jakého PC ten dotaz přichází ? ). Asi trochu nechápu jak ta služba DNS na Mikrotiku funguje.

Tohle ti bude logovat, kdo se dotazuje na ten router na DNS:
/ip firewall filter add chain=input protocol=tcp dst-port=53 action=log log-prefix=DNSotrava connection-state=new place-before=1
/ip firewall filter add chain=input protocol=udp dst-port=53 action=log log-prefix=DNSotrava connection-state=new place-before=1
Pokud ve firewallu neblokuješ přístup na port 53 (TCP i UDP) a je nastaveno v /ip dns allow remote request, tak se může ptát kdokoliv.

Během chvilky mi to zapsalo 1,5Mb logu:

Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 186.2.165.38:37820->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 186.2.165.168:23119->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 115.238.186.50:54342->82.209.24.163:53, len 62
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 190.115.19.52:24470->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 190.115.19.48:18265->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 109.163.232.145:38959->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 186.2.165.30:63985->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 109.163.232.20:32948->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 190.115.19.19:25345->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 162.218.30.204:50196->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 162.218.30.201:25380->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 190.115.19.91:10617->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 162.218.30.13:21866->82.209.24.163:53, len 62
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 109.163.232.121:45520->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 109.163.232.163:40023->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 190.115.19.11:493->82.209.24.163:53, len 59
Oct/22/2013 09:38:57 firewall,info DNSotrava input: in:ether1 out:(none), src-mac 00:25:90:26:91:99, proto UDP, 190.115.19.53:28315->82.209.24.163:53, len 59

allow remote request mam zapnuto

Jo, tohle jsem u jednoho klienta řešil. Myslím, že i ty IP jsou stejné (minimálně ruské jméno z Belize je mi hodně povědomé). On tedy není u nás, ale u "konkurence". Ale firewall prázdný ... a DNS povolené remote request (což oni tak mají). SXTčko procesor stabilně na 100% Asi se nějak rozmáhá globální útok.

A nejvtipnější je ta první IP: owner = DDoS-Guard.net Z Ruska, z Rostova na Donu.

Ok ale když to vypnu tak přestane DNS fungovat uplně (

Tak jsem přidal DROP na firewallu a asi vyřešeno.

Jenom me napada, neni to nejaky bot, ktery hleda cracknute mikrotiky?

Protoze crackute mikrotiky maji vetsinou poupraveny DNS sever (je to viditelne), plus dalsi veci co nevim napriklad backdoor. A bot je vyhledava podle toho jestli je dostupny DNS server a jak mu prelozi nejaky nazev?

a) proč by někdo na routerboardech používal cracknutou verzi MK?
b) asi jen málo RBček se používá jako opravdu veřejný DNS server (vzhledem k tomu, že je to vlastně jen forwarder). Proč to tam mít tedy z WAN strany povolené?