Das längste Thema

    Quote from Win98SE4ever

    Mit any kommt keine Liste aller DNS-Einträge (wie ich es mir erhoffte):

    Hello again,


    Thanks for your answers.

    After digging into the topic hab i rausgfunde, dass manche Nameserver / Firewalls wohl ANY sperren, weil das für DNS-Angriffe oder deren Vorbereitung genutzt wird.


    Quelle:

    DNS ANY requests are decreasingly supported by DNS resolvers on the internet. This is due to of the above noted security threats, the sensibility of supporting the operation on caching DNS servers, and the added processing required to support a capability of questionable value at best.


    Beim superuser hat jemand ebenfalls Probleme mit dig any gehabt und schlägt eine Lösung vor. Mit der funktioniert die Abfrage wie von mir ursprünglich erhofft:




    Ich verstehe nur noch nicht was der Befehl macht... ;(


    Wer mir das erklären will und vielleicht sogar noch Verbesserungsvorschläge hat (gibt vielleicht noch zusätzliche Infos die man den Nameservern aus der Nase ziehen kann oder z.B. die IP von den jeweils geannnten Serven wie in diesem Beispiel vom smtp.netcup.net gleich mit auflösen kann) ist herzlich eingeladen zu schreiben. :)


    dig any netcup.de @`dig +short SOA netcup.de | cut -d' ' -f1`


    Jedenfalls brauche ich bereits jetzt nicht mehr auf Internetseiten wie mxtoolbox.com zugreifen, nur weil mich (meine eigenen) DNS-Einträge (von außen betrachtet) interessieren. 8)


    Nachtrag:

    engine Sorry - ich hatte Deinen Code gar nicht bemerkt. Ist der Gleiche wie bei superuser.


    Am Beispiel von bmw.de (die TXT-Einträge inflationär verwenden) sieht man aber dass die Methode gut zu funktionieren scheint:


    Edited once, last by Win98SE4ever: Nachtrag - engine hat bereits einen Code geschrieben ().

    man dig?


    Du fragst deinen recursive resolver und der sagt dir "NOTIMP". Dann fragst du den Server, der im SOA Record der Domain steht, also den autoritativen Server für die Domain, und der gibt dir die Antwort.

    Es gibt auch was von Rustiopharm -> mhost

    alias host='mhost -q l --all -w'



    Ähnlich wäre auch loo

    »Hauptsache BogoMIPS!«

    Fleischfresser

    »Sämtliche Cyberrisikomanagementmaßnahmen wurden übererfüllt!«

    Edited once, last by Olivetti ().

    Quote from NaN

    man dig?

    man dig? => 55.963 => Doku entspricht man :|


    Nur zur Dokumentation (einem wesentlichen sinnspendenten Grund für ein Forum) hier meine mit Quellen unterlegte Erklärung zu meiner Frage: :rolleyes:


    dig domain.tld any liefert alle Einträge eines DNS-Servers (was mein Ziel war)


    Ich habe Cloudflare abgefragt.

    Cloudflare hat jedoch bereits 2019 ANY aus Sicherheitsgründen gesperrt. Quelle

    Das ist gemäß RFC 8482 "legal", auf die Anfrage ANY kann geantwortet werden, muss aber nicht:

    Quote from RFC 8482 - ANY query

    The operator of an authoritative DNS server might choose not to respond to such queries for reasons of local policy, motivated by security, performance, or other reasons.


    Cloudflare hat sich für die abweisende Meldung für NOTIMP entschieden, diesen response code findet man z.B. im RFC 2136.


    Der Code

    dig any netcup.de @`dig +short SOA netcup.de | cut -d' ' -f1`


    verschachtelt nun die Anfrage des angefragten DNS-Servers "@server" durch die Abfrage

    dig +short SOA netcup.de | cut -d


    deren Ergebnis den SOA-Eintrag in Kurzform ausgibt:

    root-dns.netcup.net. dnsadmin.netcup.net. 16 28800 7200 1209600 7200


    SOA steht nach RFC 1035 für den Start of Authority, also den Beginn der Zone samt E-Mail-Adresse

    dnsadmin@netcup.de


    cut -d setzt das Leerzeichen ' ' als delimiter und wählt mit -f1 das erste Feld aus.


    Somit ergibt sich als Ergebnis dieser Anfrage:

    root-dns.netcup.net.


    Der gesamte Code (s.o.) funktioniert also nur deshalb, weil netcup in ihrem autoritativen DNS-Server ANY noch nicht gesperrt hat.

    Nach RFC 8482 dürfte netcup das deaktivieren, dann hat man wie bei cloudflare keine Liste mehr mit allen Records.


    Olivetti => auch die NS (in diesem Beispiel z.B. die acns0x.xaas.systems.) dürfen ANY sperren.


    Google verzichtet mit dem 8.8.8.8 noch darauf (darf & könnte das aber jederzeit ändern)


    Es bleibt also aus technischer Sicht nur die einzelne Abfrage aller DNS-Records.


    Das geht dann auch mit dig.

    Mit der Ausgabe meines folgenden Codes bin ich noch nicht zufrieden:


    Mit der xargs echo Geschichte bin ich mir überhaupt nicht sicher ob das so gehört.

    Da ich kein Softwareenwickler bin, ist mir die Formatierungs-Pipe-Variablen-Verarbeitung hier nicht geläufig.


    Bei der Ausgabe gefällt mir nicht, dass die zwei separaten Zeilen der TXT-Records (in diesem Beispiel) zusammengefügt ausgegeben werden. Auch bei den anderen Records hätte ich gerne separate Zeilen.


    So würde ich mir das wünschen:


    Ich frag' jetzt aber lieber nicht wie man die Ausgabe "Schönreparieren" kann, sonst bekomme ich nur man echo und man xargs als wertvollen Tipp... :wacko:

    Quote from Win98SE4ever

    So würde ich mir das wünschen:

    Reicht dir der folgende Befehl nicht aus?

    Code
    dig @acns01.xaas.systems. netcup.de any

    Denn, alle Records, die du mühsam über deine Schleife versuchst herauszubekommen, gibt dieser Befehl über einen Einzeiler auch schon aus.

    Leere Records werden nicht mit ausgegeben.

    Quote from Win98SE4ever

    "Schönreparieren"


    du kannst auch bei echo -e "\t\t" bleiben, solange die längen in der 1. reihe (type: a txt aaa hinfo) tablängengleich, also nicht allzu unterschiedlich bleiben.

    ansonsten man printf  8o

    »Hauptsache BogoMIPS!«

    Fleischfresser

    »Sämtliche Cyberrisikomanagementmaßnahmen wurden übererfüllt!«

    Edited 9 times, last by Olivetti ().

    Like 1
    Quote from Win98SE4ever

    wie ich es mir erhoffte

    Wozu denkst du es denn zu brauchen?


    Quote from Win98SE4ever

    Mit any kommt keine Liste aller DNS-Einträge (wie ich es mir erhoffte):

    Wie definierst du denn "alle Einträge"?

    Die gibt nämlich das obige garnicht aus.

    Da fehlt ja z.B. www. oder server. oder cloud. etc.

    Das Obige gibt dir nur alle Eintragungstypen eines einzelnen angefragten Hostnamens.

    Geht meines Wissens auch nicht, sonst müssten Pentester keine DNS Enumeration machen, um auf etwaige vergessene Subdomains zu stossen.

    Quote from Olivetti

    geht schon, wenn man den aktuellen NS nimmt

    Nein, das habe ich ja versucht in meinem Beitrag zum Ausdruck zu bringen.

    => ob ANY funktioniert oder nicht, hängt vom Willen der Admins des verwendete DNS-Servers ab:


    Cloudflare unterstützt ANY auf 1.1.1.1 nicht mehr, wie lange Google das bei 8.8.8.8 noch unterstützt und netcup die DNS-Sicherheit (und die Last der Angriffe samt Reflections die damit einhergeht) durch die Sperrung von ANYerhöht, liegt allein bei deren Admins.


    Daher bleibe ich bei meiner Feststellung, dass eine garantierte Abrufbarkeit aller DNS-Records seit Verabschiedung des RFC 8482 nur noch einzeln erfolgen kann:

    Quote from Win98SE4ever

    Es bleibt also aus technischer Sicht nur die einzelne Abfrage aller DNS-Records.


    Quote from ASS

    Wozu denkst du es denn zu brauchen?

    Weil laut Anleitung von dig der Parameter ANY alle Ressource Records zeigt - was inzwischen aber nicht mehr zutrifft (RFC 8482)

    Quote from ASS

    Wie definierst du denn "alle Einträge"?

    Gar nicht, die wurden bereits im RFC 1035 definiert.

    Quote from ASS

    Das Obige gibt dir nur alle Eintragungstypen eines einzelnen angefragten Hostnamens.

    Genau, darum geht es, um die Ressource Records. Kann man meiner Eingangsfrage auch so entnehmen.

    Nochmal wiederholt => ANY ist nicht mehr zuverlässig verwendbar und die Nutzbarkeit liegt in der Entscheidungsgewalt der DNS-Server-Admins.


    Das haben - direkt folgend auf meine Eingangsfrage - KB19 , engine und ASS auch so verstanden:

    Quote from KB19

    ich würde vermuten, dass man ANY serverseitig beim Nameserver oder Resolver filtern bzw. ignorieren kann

    Quote from engine

    Geht aber bei netcup.de auch nicht, eventuell hat KB19 recht

    Quote from ASS

    Hat er. In meinen NS sind Zonentransfers auch gesperrt.


    Quote from andreas.

    Reicht dir der folgende Befehl nicht aus?

    Nein, weil ich nicht von der individuellen Entscheidung von DNS-Server-Admins abhängig sein will.

    ANY ist nicht mehr zuverlässig verwendbar und die Nutzbarkeit liegt in der Entscheidungsgewalt der DNS-Server-Admins.

    Das hatte ich in meinem Beitrag versucht strukturiert und mit Quellen hinterlegt zu erarbeiten und darzustellen.


    Quote from Olivetti

    "Schönreparieren"

    ...du kannst auch bei echo -e "\t\t" bleiben, solange die längen in der 1. reihe (type: a txt aaa hinfo) tablängengleich, also nicht allzu unterschiedlich bleiben...

    Danke für den Vorschlag.

    Hab ich inzwischen mit meinem Code selbst hinbekommen, mit einer kleinen SED-Wurst, genauso wie ich es mir vorgestellt habe.


    Die Ressource Record Abkürzungen sind kürzer als zwei Tabs, sollte sich der RFC 1035 ändern oder ergänzt werden, investiere ich in weitere - kosten ja nix... ;)



    Fazit:


    Ziel erreicht, das dig netcup.de any hab ich nun unabhängig vom genutzten DNS-Server meinem Wunsch entsprechend mit Hilfe von Standardsystemtools dig xargs echo sed ersetzt und dabei wieder einiges gelernt (und mir selbst beigebracht, mit Originalquellen und ohne ChatGPT-Rotz) :)

    Du redest immer noch von Resolvern, nicht von autoritativen Servern. Deine Chance, für "any" eine vollständige Antwort zu bekommen, sinkt mit jedem zusätzlichen beteiligten Server. Der Grund, warum es mit dem Codestück funktioniert, ist die direkte Ansprache des Primary Master der Domain. Wenn der die Antwort darauf verweigert, was er darf, aber auch tun könnte, wenn er es nicht dürfte, hat kein Resolver eine Chance. Wenn der die Antwort geben würde, aber dein Resolver dich das nicht abfragen lässt, bekommst du die Antwort nicht. Der Server (und alle möglichen anderen) können dich auch in anderer Hinsicht belügen, was viele auch tun. Du bekommst immer nur die Sicht auf das DNS, die dir der Server geben will. Die Zone kann z.B. auch mit Einzelabfragen von anderen IP-Adressen ganz anders aussehen.

    Quote from Win98SE4ever

    Olivetti => auch die NS (in diesem Beispiel z.B. die acns0x.xaas.systems.) dürfen ANY sperren.

    Quote from Win98SE4ever

    Es bleibt also aus technischer Sicht nur die einzelne Abfrage aller DNS-Records.

    seltsame logik – es geht ausschliesslich um die nameserver.

    anexia hat ANY nicht gesperrt, deshalb funktioniert es nach wie vor (auch mit netcup.de). wenn sie wollen, dürfen sie natürlich sperren.

    und die zuständigen nameserver stehen manchmal nicht im oben verwendeten SOA-record, was ja schon den kardinalfehler darstellt, den hierfür abzufragen.


    Quote from Win98SE4ever

    Nein, weil ich nicht von der individuellen Entscheidung von DNS-Server-Admins abhängig sein will.

    ANY ist nicht mehr zuverlässig verwendbar und die Nutzbarkeit liegt in der Entscheidungsgewalt der DNS-Server-Admins.

    Das hatte ich in meinem Beitrag versucht strukturiert und mit Quellen hinterlegt zu erarbeiten und darzustellen.

    Quote from Win98SE4ever

    Nein, das habe ich ja versucht in meinem Beitrag zum Ausdruck zu bringen.

    => ob ANY funktioniert oder nicht, hängt vom Willen der Admins des verwendete DNS-Servers ab:

    …

    Daher bleibe ich bei meiner Feststellung, dass eine garantierte Abrufbarkeit aller DNS-Records seit Verabschiedung des RFC 8482 nur noch einzeln erfolgen kann:

    jamei, ich hätte einfach beachten sollen, daß wir hier im Längsten sind… ;(

    »Hauptsache BogoMIPS!«

    Fleischfresser

    »Sämtliche Cyberrisikomanagementmaßnahmen wurden übererfüllt!«

    Edited 5 times, last by Olivetti ().

    Wie haltet ihr bei euren Mailservern/Domains eigentlich die DMARC Settings?

    Ich hatte es irgendwann mal eingerichtet und dann vergessen. Lief jetzt lange auf

    Code
    p=none;

    Fange jetzt langsam an das mal hochzustufen.

    Mein Plan ist via Quarantine erst mal in 4 Steps bis zu 100% und danach das gleiche noch mal nur mit reject.
    Jede Woche eine Stufe härter mit Monitoring via DMARC(Auge in Englisch).com

    Code
    p=quarantine; pct=25;
    Quote from fvbor

    Wie haltet ihr bei euren Mailservern/Domains eigentlich die DMARC Settings?

    Hab auch erstmal nur mit p=none; gearbeitet, mir aber zeitgleich von https://dmarc.postmarkapp.com/ Reports schicken lassen. Damit habe ich dann recht einfach prüfen könne, ob ich noch irgendeinen Server für SPF vergessen habe und ob irgendeiner noch nicht mit DKIM signiert. Als ich mir dann sicher war, habe ich auf p=reject; gewechselt.

    RS Brezn | VPS 500 G8 Plus | 2× VPS Karneval 2020 | VPS Pocket Admin | RS Cyber Quack | VPS 500 ARM


    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    Like 1

    Wollte fürs NAS eine günstige 3TB Platte. Hab das günstigste auf eBay genommen, waren nur 15€. Könnt ich auch zurück schicken, aber das lohnt sich vom Aufwand her nicht.

    Ein Mensch hat zwei Beine, ein Regenwurm hat keine.