एक अनजान कार्यक्रम से मास डीएनएस अनुरोध। कैसे करें पहचान?
मैं एक PiHole dns सर्वर चलाता हूं, मैं अपने Ubuntu सर्वर से डोमेन मारीडब के लिए बड़े पैमाने पर डीएनएस अनुरोधों को देखता रहता हूं। हर दिन लगभग 50,000, 3 ए और 3 एएएए प्रत्येक 10 सेकंड। मुझे लगता है कि उन्हें भेजने वाले कार्यक्रम की पहचान करने का कोई तरीका नहीं मिल रहा है। मैंने मैन्युअल रूप से / वगैरह / मेजबानों में एक गैर-मौजूद आईपी में प्रविष्टि सेट करने की कोशिश की है और थोड़ी देर के लिए अनुरोधों को रोक दिया है, लेकिन फिर वे वापस आ गए और अभी भी यह पहचानने का कोई तरीका नहीं था कि उन्हें कौन सा कार्यक्रम भेज रहा था। ऐसा करने वाले कार्यक्रम की पहचान करने का तरीका खोज रहे हैं। मैंने कॉन्फ़िगर की जाँच की है और अस्थायी रूप से लगभग हर कार्यक्रम को रोक दिया है जिसके बारे में मैं सोच सकता हूँ और अनुरोध जारी हैं।
अद्यतन: ये डीएनएस अनुरोध मेरे डीएनएस क्वेरी लॉग में मेरे पिहोल पर दिखाई दे रहे हैं और कभी-कभी इसे ओवरलोड कर रहे हैं। यही कारण है कि मुझे लगा कि pihole प्रासंगिक है, pihole एक अलग मशीन पर चल रहा है, और यह मशीन "systemd- हल स्टब रिज़ॉल्वर" को छोड़कर dns के साथ कुछ भी करने के लिए नहीं चल रही है। मारीडब बुकस्टैक (डॉकटराइज़्ड) के लिए डॉक कंटेनर में सर्वर पर चल रहा है, mysql कई वर्डप्रेस साइटों के लिए सर्वर (डॉकटर में नहीं) पर चल रहा है, लेकिन इनमें से किसी भी सेवा में कोई कॉन्फ़िगरेशन नहीं है, जिससे उन्हें लुकअप करना चाहिए। "mariadb" डोमेन। PHP7.4.9 वर्डप्रेस साइटों के लिए आवश्यक के रूप में स्थापित है।
जवाब
अपने DNS सर्वर पर, जैसा कि rootआप tcpdumpवास्तविक ट्रैफ़िक देखने के लिए उपयोग कर सकते हैं , और उस स्रोत आईपी की पहचान कर सकते हैं जहाँ से आप अनुरोध प्राप्त करते हैं। कुछ इस तरह:
tcpdump -vvnn tcp port 53 or udp port 53
आउटपुट का एक बड़ा हिस्सा दिखाना चाहिए, ताकि आप इस आउटपुट को एक फ़ाइल में सहेज सकें, और इसका हिस्सा यहां संलग्न करें, यदि आप स्रोत आईपी को नहीं पहचान सकते हैं।