Onderwerp: is dit een dns probleem?

Net geleden van een hack-attack en mede dankzij dit forum opgelost (thnx allemaal ! ) heb ik nu weer een nieuw probleem! het lijkt niet op te houden! volgens mij heeft het te maken met de dns of resolve of dergelijke mar ik heb al vanalles geprobleerd en gegoogled zonder succes. Het volgende is er nu aan de hand. als ik een ssh sessie open komt er meteen het veld : login as: nou helamaal goed toch en daarna als ik root heb gedaan komt het veld, password: ook helemaal goed

maar daarna gaat het mis, als ik na het password op enter druk , blijft hij wel 30 sec wachten / hangen ... voordat er komt te staan vanaf welke lokatie je als laatste bent ingelogd. Een soortgelijk probleem doet zich voor bij het verzenden van mail via mijn server ... als je een mail zend blijft hij zo 15 sec. vsat staan bij ... verbonden met mailserver...

ook als ik wil pingen naar google.com bijvoorbeeld ... blijft hij eerst heel lang hangen met de cursor eronder en daarna schiet hij pas door dat hij het ip adres heeft gevonden en gaat pingen. ping tijden zijn normaal verder.

wie heeft er een soortgelijk probleem gehad of weet misschien hoe hij dit kan oplossen ?

bedankt alvast voor de reactie!

Armando

Ik zag in je andere thread dat je met de firewall ben bezig geweest? Staat poort 53 (udp en tcp) nog wel open? Zo niet, zal dns inderdaad erg traag worden.

Als je bent ingelogd, type dan eens "dig", krijg je dan gelijk antwoord? Of krijg je een timeout?

Wat is de inhoud van /etc/resolv.conf ?

bij dig krijg ik meteen een antwoord.

[root@centralnexus ~]# cat /etc/resolv.conf
search
nameserver 83.149.80.123
nameserver 62.212.65.123
nameserver 62.212.64.122

poort 53 staat wel open ... anders zou hij helemaal niet resolven toch ? maar zelfs als ik de firewall uitzet .. .is het probleem er nog

[root@centralnexus ~]# dig

; <<>> DiG 9.3.1 <<>>
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 1529
;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 13

;; QUESTION SECTION:
;. IN NS

;; ANSWER SECTION:
. 464379 IN NS K.ROOT-SERVERS.NET.
. 464379 IN NS L.ROOT-SERVERS.NET.
. 464379 IN NS M.ROOT-SERVERS.NET.
. 464379 IN NS A.ROOT-SERVERS.NET.
. 464379 IN NS B.ROOT-SERVERS.NET.
. 464379 IN NS C.ROOT-SERVERS.NET.
. 464379 IN NS D.ROOT-SERVERS.NET.
. 464379 IN NS E.ROOT-SERVERS.NET.
. 464379 IN NS F.ROOT-SERVERS.NET.
. 464379 IN NS G.ROOT-SERVERS.NET.
. 464379 IN NS H.ROOT-SERVERS.NET.
. 464379 IN NS I.ROOT-SERVERS.NET.
. 464379 IN NS J.ROOT-SERVERS.NET.

;; ADDITIONAL SECTION:
A.ROOT-SERVERS.NET. 118792 IN A 198.41.0.4
B.ROOT-SERVERS.NET. 552232 IN A 192.228.79.201
C.ROOT-SERVERS.NET. 552232 IN A 192.33.4.12
D.ROOT-SERVERS.NET. 552232 IN A 128.8.10.90
E.ROOT-SERVERS.NET. 552232 IN A 192.203.230.10
F.ROOT-SERVERS.NET. 552232 IN A 192.5.5.241
G.ROOT-SERVERS.NET. 552232 IN A 192.112.36.4
H.ROOT-SERVERS.NET. 552232 IN A 128.63.2.53
I.ROOT-SERVERS.NET. 552232 IN A 192.36.148.17
J.ROOT-SERVERS.NET. 118792 IN A 192.58.128.30
K.ROOT-SERVERS.NET. 552232 IN A 193.0.14.129
L.ROOT-SERVERS.NET. 552232 IN A 198.32.64.12
M.ROOT-SERVERS.NET. 552232 IN A 202.12.27.33

;; Query time: 2 msec
;; SERVER: 62.212.65.123#53(62.212.65.123)
;; WHEN: Tue May 8 16:32:12 2007
;; MSG SIZE rcvd: 436

doe eens een dig google.nl

Hmm, type is "who" , staat in de output je hostname, of je IP adres? Als daar je hostname staat, dan lijkt het me geen DNS probleem, zeker aangezien je zegt dat je bij dig gelijk antwoord krijgt...

[root@centralnexus ~]# dig google.nl

; <<>> DiG 9.3.1 <<>> google.nl
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20049
;; flags: qr rd ra; QUERY: 1, ANSWER: 3, AUTHORITY: 4, ADDITIONAL: 4

;; QUESTION SECTION:
;google.nl. IN A

;; ANSWER SECTION:
google.nl. 602 IN A 66.249.93.104
google.nl. 602 IN A 72.14.221.104
google.nl. 602 IN A 216.239.59.104

;; AUTHORITY SECTION:
google.nl. 301894 IN NS ns2.google.com.
google.nl. 301894 IN NS ns3.google.com.
google.nl. 301894 IN NS ns4.google.com.
google.nl. 301894 IN NS ns1.google.com.

;; ADDITIONAL SECTION:
ns1.google.com. 290752 IN A 216.239.32.10
ns2.google.com. 290752 IN A 216.239.34.10
ns3.google.com. 290752 IN A 216.239.36.10
ns4.google.com. 290752 IN A 216.239.38.10

;; Query time: 2 msec
;; SERVER: 62.212.65.123#53(62.212.65.123)
;; WHEN: Tue May 8 16:57:04 2007
;; MSG SIZE rcvd: 221




[root@centralnexus ~]# who
root pts/0 May 8 16:22 (212-182-152-35.dsl.ip.tiscali.nl)



dit gaat allemaal vrij snel ... mar als ik dus ping:
[root@centralnexus ~]# ping google.com
PING google.com (64.233.167.99) 56(84) bytes of data.
64 bytes from py-in-f99.google.com (64.233.167.99): icmp_seq=1 ttl=248 time=106 ms
64 bytes from py-in-f99.google.com (64.233.167.99): icmp_seq=2 ttl=248 time=107 ms

blijft hij ontzettend lang hangen na ping google.com en na de regel PING google.com

als ik trouwens de firewall helemaal dichtzet (dus kan ik niet pingen etc) dan logt hij wel snel aan via ssh ... zonder wachten ... ook mail verzenden gaat dan snel ... hij neemt het bericht meteen op in de out-que ... hij verzend hem dana natuurlijk niet omdat alles verder dicht is.

Klinkt een beetje eng, moet ik zeggen :|

Heb je chkrootkit en rkhunter al gedraaid? Eventueel even installeren en draaien... kijken of die niets geks vinden.

Wat is de load average van die server? Heeft 'ie het erg druk, of doet 'ie nu niet veel?

Staat er niets interessants in de logfiles?

ik heb de rootkit al heel vaak gedraait kan nix vinden ... ik had wel het volgende probleem ook http://www.webhostingtalk.nl/dedicat...r-gehacht.html

maar op dit moment is alles rustig op me server...

Mja, misschien dus iets TE rustig. Als 'ie echt goed gehacked is, dan zie je dus niet wat er allemaal gebeurt. Eigenlijk is er maar 1 verstandige oplossing in dit geval, zo snel mogelijk die server opnieuw installeren en een backup van de data terugzetten. Daarbij uiteraard gelijk ervoor zorgend dat eventuele updates van probleem pakketten gelijk geregeld zijn, anders zijn ze zo weer binnen.

Totdat je opnieuw installeert, zal je nooit met zekerheid kunnen zeggen dat je server niet gehacked is, met alle vervelende gevolgen van dien.

Uiteraard is het zwaar balen en is het opnieuw installeren en beveiligen een hoop werk, maar ik ben toch bang dat je weinig andere keus hebt :|

ok bedankt voor de eerlijkheid ... iik zit nu al te kijken voor een efficiente manier om alles opnieuw te installeren. ik snap alleen niet als ik alles dichtzet ... dat het dan wel snel werkt zeg maar ... en welke poorten moeten er open staan om wel goed te kunnen resolven ?? alleen 53 UDP toch ... uitgaand ?

Geen probleem hoor

Enne.. pas op met nu nog backups maken, want daar KAN dus troep tussen zitten, goed nakijken dus, als je nog dingen moet backuppen

ik backup alleen de websites ... dus ik denkd at ik daarmee wel de kans zo min mogelijk mak dat er iets tussen zit toch ?>

Mja, dat zou redelijk veilig moeten zijn (tenzij er cgi scripts tussen zitten)