DNS resuelve una dirección IP incorrecta en un país

Uno de mis amigos tiene un sitio web de eLearning basado en Claroline. Hace dos días, solo los usuarios de Suiza comenzaron a redirigirse "al azar" en otra dirección IP al acceder al dominio del sitio web.

Si fuerzo el servidor DNS a 8.8.8.8 o 9.9.9.9 en la PC de los estudiantes, el dominio se resuelve correctamente. Pero si me quedo con el Servidor DNS suizo local, se resuelve en una dirección IP incorrecta (en la lista negra).

La parte extraña es: no es solo este cliente y su propia computadora. Todos los estudiantes con sede en Suiza también se ven afectados. Pero no los franceses.

La segunda parte extraña es: alguna página responde desde esta dirección IP falsa con el contenido correcto. Al igual que el eLearning se duplicó en otro servidor O se almacenó en caché en alguna parte.

El servidor es un antiguo Ubuntu 10.04.4 LTS, y probablemente no esté correctamente protegido / configurado. Tengo acceso completo a este servidor, pero no lo logré, así que no estoy seguro de qué buscar o incluso qué hacer.

Esto es lo que miré / probé hasta ahora:

• Comprobado todo Apache 2 vhost conf.
• Iptables controladas (vacío) y /etc/hostsy /etc/resolv.conf(seguro)
• Le pregunté a Swisscom (telecomunicaciones suizas principales) si pusieron en la lista negra el dominio o algo así: Nope Comprobó la base del código claroline: parece seguro, pero es enorme. No puedo verificar todos los archivos.

Aquí hay un nslookup en una de las computadoras Windows de los estudiantes:

C:\WINDOWS\system32>nslookup
Serveur par défaut :   UnKnown
Address:  fe80::8e59:c3ff:fecf:8d9b

> elearning.redacted-domain.ch
Serveur :   UnKnown
Address:  fe80::8e59:c3ff:fecf:8d9b

Réponse ne faisant pas autorité :
Nom :    elearning.redacted-domain.ch
Address:  195.186.210.161

Y, por supuesto, 195.186.210.161 no es la dirección IP correcta del servidor.

No soy administrador del sistema. Solo estoy ayudando a un amigo, así que no estoy seguro de qué mirar a continuación.

Como escribió MadHatter , este es el ISP de los usuarios finales (Swisscom) que redirige su sitio a través de un proxy de filtrado. Es muy probable que todos los usuarios que se suscriban a su servicio de Internet Guard estén en realidad representados allí, no solo su sitio.

Dicen que el filtro es contra malware, phishing y virus, por lo que no debería ser un problema de "clasificación", sino de seguridad.

Por lo tanto, su primer paso debería ser verificar que el sitio no haya sido infectado. Los sitios PHP tienden a ser bastante vulnerables (si alguien encuentra la manera de cargar un archivo .php en algún lugar de la jerarquía visible, se puede ejecutar de forma remota para hacer lo que quiera). También hay muchas otras formas de hacer daño (inyecciones SQL, XSS almacenadas ...).

Su página de inicio no está bloqueada, o al menos no todo el tiempo, así que:

• solo algunas de las páginas están infectadas
• la infección solo aparece una fracción del tiempo en las solicitudes de los usuarios (una estrategia común para volar bajo el radar)
• o hay algo más en algunas páginas que desencadena un falso positivo

Puede ver el resultado usted mismo señalando la dirección del sitio web a la dirección IP del proxy. Puede hacerlo editando su /etc/hostsarchivo (los detalles varían según la plataforma) y agregando una línea:

195.186.210.161        elearning.affis.ch

Luego puede visitar el sitio como uno de esos usuarios y ver qué páginas están bloqueadas o no.

Una vez que tenga una mejor idea de qué páginas están bloqueadas o no, puede ser más fácil identificar el problema real. Luego corríjalo, y de repente pasará de inmediato, o puede que tenga que informar un falso positivo (hay un enlace para eso en la parte inferior de la página "bloqueada").

Tenga en cuenta que tratar de informar un falso positivo antes de verificar la infección probablemente sería contraproducente. Intenta encontrar y solucionar el problema primero.

Editar

Tenga en cuenta que la versión de Claroline que ejecuta (1.11.9) tiene múltiples vulnerabilidades XSS conocidas desde 2014:

Múltiples vulnerabilidades de scripting entre sitios (XSS) en Claroline 1.11.9 y anteriores permiten a los usuarios autenticados remotos inyectar script web o HTML arbitrario a través de (1) el campo Buscar en una acción de la bandeja de entrada a messaging / messagebox.php, (2) el " Nombre "campo a auth / profile.php, o (3) el campo Speakers en una acción rqAdd a calendar / agenda.php

Si el problema es realmente un ataque XSS almacenado, tome el último volcado de su base de datos y verifique si contiene algo como una <scriptetiqueta (no olvide buscar sin distinción entre mayúsculas y minúsculas).

Si señala un navegador a la dirección IP devuelta, http://195.186.210.161/ , recibirá el mensaje de "sitio web peligroso bloqueado" de Swisscom. Mi conjetura es que su sistema de bloqueo de contenido de "Internet seguro" funciona, al menos en parte, mintiendo en respuesta a las solicitudes de DNS, y que su sitio web está fallando por alguna razón.

Entiendo que les preguntaste si te estaban bloqueando, pero en mi experiencia, incluso el soporte técnico de primera línea de los ISP de tamaño mediano no tiene la menor idea de lo que está sucediendo. Es muy posible que todo el sistema de niñeras sea subcontratado (o hecho por un producto comercial de terceros) y que nadie en Swisscom tenga idea de qué sitios están bloqueados en un momento dado. Preguntarle a su estudiante si tiene algún tipo de configuración de "internet de niñera" puede ser más productivo.

Al final del día, esto puede no ser un problema que pueda resolver, ya que no es el cliente de ese ISP y no le deben nada. Es probable que lo único que tenga algún efecto sea que los padres del alumno llamen a su soporte de ISP, se quejen en voz alta por la resolución incorrecta de DNS y amenacen con cambiar el ISP si no se resuelve.

Editar : este hilo sugiere que el motor de bloqueo de sitios de Swisscom puede ser un poco entusiasta, y que no siempre es fácil obtener ningún tipo de resolución positiva de ellos. También sugiere que este no es un filtro opcional, pero que se aplica a todos los clientes de Swisscom, les guste o no, por lo que optar por salir puede ser difícil.