syslog

[dark1990]

Beste ik krijg deze melding elke seconde:

Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#50535: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#5321: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#9731: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#50067: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#22227: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#50466: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#51557: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#32675: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#60341: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#29018: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#11363: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#65283: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#34341: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#60383: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#42952: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#54297: query (cache) './ANY/IN' denied
Aug 5 12:32:14 webserver named[19954]: client 5.9.7.206#43005: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#527: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#1295: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#22417: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#25054: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#20291: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#41999: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#1742: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#10431: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#8280: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#13094: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#36817: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#45465: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#17709: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#54363: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#18504: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#28659: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#17527: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#34628: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#27690: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#19009: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#26785: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#31079: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#15604: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#2407: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#10021: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#47610: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#12890: query (cache) './ANY/IN' denied
Aug 5 12:32:15 webserver named[19954]: client 5.9.7.206#32714: query (cache) './ANY/IN' denied


Wat houd dit precies in heeft van jullie enige idee ?

[Mark17]

5.9.7.206 probeert je server zover te krijgen de root zone (.) te verstrekken. Echter je server is ingesteld niet te resolven voor het betreffende IP en deze geeft dan ook een denied.

[dark1990]

dat kan kloppen we hebben poort veranderd + ip's in iptables gezet die toegang mogen op die poort dus dit is niks aparts voor mij om wat aant e doen

[The-BosS]

Heb je hier al eens naar gekeken:


Dit is zeer urgent voor bind (named) gebruikers :

Aan malicious query kan het bind proces doen crashen.
Dit geldt zowel voor bind in de rol van authoritive DNS, en ook de rol van resolver.

Dit lek wordt actief misbruikt.
Geen workarounds

Lees meer: Bind/named : remote crash - zowel Authoritive als resolver - actief misbruik (http://www.webhostingtalk.nl/beveiliging/180773-bind-named-remote-crash-zowel-authoritive-als-resolver-actief-misbruik.html#ixzz2b5szZydX)

[dark1990]

En deze kan ik zo update ( ik draai directadmin ) en ik zie BIND hier niet tussen staan dat er een update is

[The-BosS]

En deze kan ik zo update ( ik draai directadmin ) en ik zie BIND hier niet tussen staan dat er een update is

Bind wordt (bij mijn weten) niet geupdate vanuit custombuild, dus die zou je zonder problemen zelf kunnen compilen of updaten via een repository.

[dark1990]

The BosS zou je mij hier misschien mee willen helpen ?

[The-BosS]

The BosS zou je mij hier misschien mee willen helpen ?

Misschien handig om dan ook even mee te delen welke linux distro je gebruikt ;).

[dark1990]

Sorry :

root@webserver:/home/servers# cat /etc/issue
Debian GNU/Linux 6.0 \n \l

[The-BosS]

Sorry :

root@webserver:/home/servers# cat /etc/issue
Debian GNU/Linux 6.0 \n \l

Misschien eens tijd om te upgraden naar Debian 7.0 :whistling:.

[dark1990]

Nou als ik heel eerlijk ben , ik ben er niet zo'n held in bij mij gaat het altijd mis :D of me mail werkt niet of mysql stopt er mee noem maar wat op Als jij debian 6 zonder dat er iets verloren gaat of niet meer werkt kan update hou ik me aanbevolen !

[The-BosS]

Nou als ik heel eerlijk ben , ik ben er niet zo'n held in bij mij gaat het altijd mis :D of me mail werkt niet of mysql stopt er mee noem maar wat op Als jij debian 6 zonder dat er iets verloren gaat of niet meer werkt kan update hou ik me aanbevolen !

Ik draai zelf geen enkele server onder debian dus ik ga me er ook niet aan wagen als het een productie servers is. Maar indien het een vps is en je een snapshot of image kunt maken zou je dat best even doen voordat de boel geupdate wordt. In principe is het gewoon je apt source.list file aanpassen een update & safe-upgrade & dist-upgrade uitvoeren en herstarten. En daarna kun je voor de zekerheid even custombuild updaten en alles recompilen vanuit custombuild om er zeker van te zijn dat libs en dergelijk compatibel zijn.

[dark1990]

Nou zou je mij willen helpen met update van Named ? dan laten we debian voor wat het is ?

[The-BosS]

Nou zou je mij willen helpen met update van Named ? dan laten we debian voor wat het is ?

Daar zit juist het probleem, je moet je repository en systeem eerst updaten voordat je nieuwe versie van bind beschikbaar komt in je aptitude (apt-get). Zelf compilen lijkt me in dit geval niet echt verstandig, want dan vergeet je dit later manueel te updaten of doe je het via aptitude en heb je 2 named/bind versie naast elkaar lopen.

Je zal toch ooit de stap moeten wagen om je servers up-to-date te houden en dat doe je beter laat dan nooit (of eigenlijk van zodra je weet dat het stabiel is :D). Eigenlijk is directadmin nog niet officieel gereleased voor debian 7.0 dus best even zo laten tot het wel gesupport is (in jouw geval).

[dark1990]

ok Bedankt voor de info!

[Arieh]

Debian 7 inderdaad gewoon nog niet doen, helemaal niet nodig ook.

Gewoon even:


apt-get update && apt-get upgrade

En dan zal je bind9 en bind9-host oid in het lijstje moeten zien staan van welke hij wil updaten. Het veiligheidslek van vorige week is ook bij het bind rpm package van Debian al gefixt.

Persoonlijk compile ik altijd handmatig, ben je er meteen bij wanneer er een lek gepubliceerd wordt. Maar dat is offtopic verder.

[dark1990]

dat is het probleem:

The following packages have been kept back:
libapache2-mod-php5 php-pear php5 php5-cgi php5-cli php5-common php5-curl php5-fpm php5-mysql php5-snmp php5-xmlrpc
The following packages will be upgraded:
apache2-mpm-prefork apache2-utils apache2.2-bin apache2.2-common base-files bind9 bind9-host bind9utils dbus dnsutils fail2ban gnupg gpgv gzip host ircd-hybrid krb5-multidev libbind9-60 libcurl3 libdbus-1-3 libdns69 libgcrypt11
libgssapi-krb5-2 libgssrpc4 libisc62 libisccc60 libisccfg62 libk5crypto3 libkadm5clnt-mit7 libkadm5srv-mit7 libkdb5-4 libkrb5-3 libkrb5-dev libkrb53 libkrb5support0 libldap-2.4-2 liblwres60 libperl-dev libperl5.10 libssl-dev
libssl0.9.8 libx11-6 libx11-data libxcb-render0 libxcb1 libxext6 libxml2 libxrender1 linux-base linux-image-2.6.32-5-amd64 linux-libc-dev openssh-client openssh-server openssl perl perl-base perl-modules php5-radius sudo tzdata


Dit wil die allemaal gaan update en als ik dat doe gaat direct admin gebeuren weer moeilijik doen

[Arieh]

Normaal gesproken hoor je geen apache2 dingen op een DA machine te hebben, mogelijk doen ze ook niets. Maar voor de zekerheid kan je ze even excluden:



apt-get install wajig
wajig hold apache2-mpm-prefork apache2-utils apache2.2-bin apache2.2-common


eventueel andere packages die je niet wilt upgraden kan je gewoon toevoegen aan de wajig lijst.

Vervolgens weer apt-get upgrade en dan zijn die apache packages verschoven naar de have been kept back lijst en kan je de rest updaten.

[dark1990]

Gedaan Directadmin zegt nog altijd na update : Named 9.7.3 Running

[Arieh]

Dat klopt wel, men houdt eigen versies bij en patcht die zelf oid.

Het betreffende lek is gefixt in deze versie


For the oldstable distribution (squeeze), this problem has been fixed in
version 1:9.7.3.dfsg-1~squeeze11.




dpkg -l bind9


Als het goed is heb je dezelfde.

[dark1990]

root@webserver:/etc/init.d# dpkg -l bind9
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name Version Description
+++-================================================== ===-================================================== ===-================================================== ================================================== ======================
ii bind9 1:9.7.3.dfsg-1~squeeze11 Internet Domain Name Server
root@webserver:/etc/init.d#

[Arieh]

Dat klopt in ieder geval. Verder totaal geen idee of het ook maar gerelateerd is aan je OP, want volgens mij is dat niet zoveel bijzonders tenzij het dermate veel requests zijn dat het een DOS aanval is.

[The-BosS]

Dat klopt in ieder geval. Verder totaal geen idee of het ook maar gerelateerd is aan je OP, want volgens mij is dat niet zoveel bijzonders tenzij het dermate veel requests zijn dat het een DOS aanval is.

Als je dat kleine stukje log file bekijkt zie je in ~1 seconde ongeveer 45 dezelfde request, we kunnen wel aannemen dat elke 22ms dezelfde request vanaf hetzelfde ip niet echt normaal meer is.