🚀 go-pugleaf

Hoi,

Ik merk enkele rare dingen op een Debian Stable box:


# netstat -anp | grep named
tcp        0      0 x.x.x.x:53        0.0.0.0:*               LISTEN 
   3746/named
tcp        0      0 127.0.0.1:53            0.0.0.0:* 
LISTEN      3746/named
udp        0      0 0.0.0.0:3133            0.0.0.0:* 
         3746/named
udp        0      0 x.x.x.x:53        0.0.0.0:* 
   3746/named

# netstat -anp | grep 3133
udp        0      0 0.0.0.0:3133            0.0.0.0:* 
         13173/named

# chkrootkit
..
Checking `bindshell'... INFECTED (PORTS:  3133)
..

Enig idee wat die 3133 kan betekenen? Na een herstart van BIND zie ik 
hetzelfde maar op poort 4238. Na nog een herstart 4248 enz
Op die andere poorten buiten 3133 krijg ik wel geen melding van chkrootkit.

Bind host een kopij van een aantal zones als secondary, maar wegens nog 
niet in produktie zijn die poorten gefirewalled. Enkel http, https, smtp 
en ssh staan open op die box (voor inkomende verbinding, uitgaand staat 
alles open..).

Op een andere Debian server met Bind zie ik named ook "luisteren" op en 
hoge poort. Wellicht is die chkrootkit melding een toeval dat named op 
een gekende rootkit poort luisterde, en is dit hopelijk een normale 
werking.

Alleen snap ik dus niet wat Bind op zo'n hoge udp poort komt doen.



-- 

Serge van Ginderachter