» SelfLinux » Internet » Domain Name System » Abschnitt 28 SelfLinux-0.12.3
zurück Startseite Kapitelanfang Inhaltsverzeichnis PDF-Download (121 KB) GFDL weiter

SelfLinux-Logo
Dokument Domain Name System  Autor
 Formatierung
 GFDL
 

35 Versionen

Da bind leider immer wieder Sicherheitslücken enthält, ist es ein beliebter Angriffspunkt für Angreifer. Da zu vielen bind-Versionen Sicherheitslücken bekannt sind, kann eine Angreiferin auf die Idee kommen, einfach die Version abzufragen, und dann kann sie die nun bekannten Sicherheitslücken ausnutzen.

Deshalb mag es günstig sein, die Versionsnummer nicht zu verraten, um der Angreiferin das Leben etwas schwerer zu machen.

Die Version läßt sich erfahren, wenn man einen BIND-Server nach "version.bind", Type TXT, in der Klasse CHAOS fragt. Das geschieht z.B. mit folgendem Kommando:

root@linux # dig @<server> version.bind TXT CHAOS

Eine Antwort sieht dann (gekürzt) so aus:

VERSION.BIND.           0S CHAOS TXT    "8.1.2"

Man kann dazu natürlich auch nslookup verwenden:

root@linux # nslookup -class=CHAOS -query=txt version.bind.

Neuere BIND-Versionen kennen eine Konfigurationsoption, um die dabei angezeigte Zeichenkette zu setzen. Man kann sich damit dann eine Version 10.100.1000 basteln, oder auf etwas ganz anderes setzen Das kann dann so aussehen:

/etc/named.conf
options {
        ...
        version "[Secured]";
};
  

Dann wird mit dem Kommando das auch angezeigt:

VERSION.BIND.           0S CHAOS TXT    "[Secured]"

Und Rückschlüsse auf die Version sind so nicht mehr möglich. Diese Änderung kann natürlich auch gemacht werden, in dem der RR "version.bind" in einer Zone gesetzt wird. Dabei können dann, wie für jede andere Zone auch, ACL-Berechtigungen konfiguriert werden. Diese Zone wird so konfiguriert, wie auch die Zonen der normalen Namen der Klasse IN. Dazu benötigt man z.B. folgenden Eintrag in der Konfigurationsdatei:

/etc/named.conf
zone "bind" CHAOS {
        type master;
        file "bind.zone";
        allow-query { none; };     //Zugriff verweigern
        allow-transfer { none; };  //damit AXFR auch nicht geht.
                        };
  

Natürlich kann man auch Ausgewählten den Zugriff erlauben. Nun muß noch die Datenbank selbst angelegt werden. Sie kann folgenden Inhalt haben:

bind.zone
bind. CHAOS SOA pri-ns.selflinux.de. admin.selflinux.de. (
        2000012501 ; Serial (Seriennummer)
        3H         ; Refresh (Aktualisierung)
        1H         ; Retry (neuer Versuch)
        100D       ; Expire (ungültig nach)
        1D )       ; min. TTL (Mindestgültigkeit)

        CHAOS   NS      dns
version CHAOS   TXT     "[Secured]"
 


zurück Seitenanfang Startseite Kapitelanfang Inhaltsverzeichnis PDF-Download (121 KB) GFDL weiter