|
Da bind leider immer wieder Sicherheitslücken
enthält, ist es ein beliebter Angriffspunkt für Angreifer. Da zu
vielen bind-Versionen Sicherheitslücken
bekannt sind, kann eine Angreiferin auf die Idee kommen,
einfach die Version abzufragen, und dann kann sie die nun bekannten
Sicherheitslücken ausnutzen.
|
Deshalb mag es günstig sein, die Versionsnummer nicht zu
verraten, um der Angreiferin das Leben etwas schwerer zu machen.
|
Die Version läßt sich erfahren, wenn man einen
BIND-Server nach
"version.bind", Type TXT, in der Klasse CHAOS fragt.
Das geschieht z.B. mit folgendem Kommando:
root@linux #
dig @<server> version.bind TXT CHAOS
|
Eine Antwort sieht dann (gekürzt) so aus:
|
VERSION.BIND. 0S CHAOS TXT "8.1.2"
|
Man kann dazu natürlich auch nslookup
verwenden:
root@linux #
nslookup -class=CHAOS -query=txt version.bind.
|
Neuere BIND-Versionen kennen eine
Konfigurationsoption, um die dabei angezeigte Zeichenkette zu
setzen. Man kann sich damit dann eine Version 10.100.1000
basteln, oder auf etwas ganz anderes setzen Das kann dann so
aussehen:
|
/etc/named.conf
|
options {
...
version "[Secured]";
};
|
Dann wird mit dem Kommando das auch angezeigt:
|
VERSION.BIND. 0S CHAOS TXT "[Secured]"
|
Und Rückschlüsse auf die Version sind so nicht mehr möglich.
Diese Änderung kann natürlich auch gemacht werden, in dem der RR
"version.bind" in einer Zone gesetzt wird. Dabei können dann, wie
für jede andere Zone auch, ACL-Berechtigungen konfiguriert
werden. Diese Zone wird so konfiguriert, wie auch die Zonen der
normalen Namen der Klasse IN. Dazu benötigt man z.B. folgenden
Eintrag in der Konfigurationsdatei:
|
/etc/named.conf
|
zone "bind" CHAOS {
type master;
file "bind.zone";
allow-query { none; }; //Zugriff verweigern
allow-transfer { none; }; //damit AXFR auch nicht geht.
};
|
Natürlich kann man auch Ausgewählten den Zugriff erlauben. Nun
muß noch die Datenbank selbst angelegt werden. Sie kann folgenden
Inhalt haben:
|
bind.zone
|
bind. CHAOS SOA pri-ns.selflinux.de. admin.selflinux.de. (
2000012501 ; Serial (Seriennummer)
3H ; Refresh (Aktualisierung)
1H ; Retry (neuer Versuch)
100D ; Expire (ungültig nach)
1D ) ; min. TTL (Mindestgültigkeit)
CHAOS NS dns
version CHAOS TXT "[Secured]"
|
|
SelfLinux 
