DNS resolve endereço IP incorreto em um país

Um amigo meu tem um site de eLearning baseado no Claroline. Dois dias atrás, apenas usuários da Suíça começaram a redirecionar "aleatoriamente" em outro endereço IP ao acessar o domínio do site.

Se forçar o servidor DNS para 8.8.8.8 ou 9.9.9.9 no PC dos alunos, o domínio será resolvido corretamente. Mas se eu permanecer no servidor DNS suíço local, ele resolverá um endereço IP ruim (na lista negra).

A parte estranha é: não é apenas esse cliente e seu próprio computador. Todos os alunos da Suíça também são afetados. Mas não franceses.

A segunda parte estranha é: algumas páginas respondem a partir desse endereço IP falso com o conteúdo correto. Como o eLearning foi duplicado em outro servidor OU armazenado em cache em algum lugar.

O servidor é um Ubuntu 10.04.4 LTS antigo e provavelmente não está corretamente protegido / configurado. Eu tenho acesso total a este servidor, mas não o gerenciei, portanto, não tenho certeza do que procurar ou mesmo o que fazer.

Aqui está o que eu olhei / tentei até agora:

• Verificado todo o Apache 2 vhost conf.
• Iptables verificados (vazia) e /etc/hostse /etc/resolv.conf(SAFE)
• Perguntou à Swisscom (principal empresa suíça de telecomunicações) se eles incluíram na lista negra o domínio ou algo assim: Não. Base de código claroline verificada: parece seguro, mas é enorme. Não consigo verificar todos os arquivos.

Aqui está uma consulta em um dos computadores Windows dos alunos:

C:\WINDOWS\system32>nslookup
Serveur par défaut :   UnKnown
Address:  fe80::8e59:c3ff:fecf:8d9b

> elearning.redacted-domain.ch
Serveur :   UnKnown
Address:  fe80::8e59:c3ff:fecf:8d9b

Réponse ne faisant pas autorité :
Nom :    elearning.redacted-domain.ch
Address:  195.186.210.161

E, claro, 195.186.210.161 não é o endereço IP correto do servidor.

Eu não sou um administrador do sistema. Estou apenas ajudando um amigo, então não tenho certeza do que procurar em seguida.

Como o MadHatter escreveu, este é o ISP dos usuários finais (Swisscom) redirecionando seu site através de um proxy de filtragem. É bem provável que todos os usuários que assinam seu serviço Internet Guard sejam enviados por proxy, não apenas para o seu site.

Eles dizem que o filtro é contra malware, phishing e vírus; portanto, não deve ser um problema de "classificação", mas de segurança.

Seu primeiro passo deve ser verificar se o site não foi infectado. Os sites PHP tendem a ser bastante vulneráveis ​​(se alguém encontrar uma maneira de fazer upload de um arquivo .php em algum lugar da hierarquia visível, ele poderá ser executado remotamente para fazer o que quiser). Também existem muitas outras maneiras de causar danos (injeções de SQL, XSS armazenado ...).

Sua página inicial não está bloqueada, ou pelo menos não o tempo todo, então:

• apenas algumas páginas estão infectadas
• a infecção aparece apenas uma fração do tempo nas solicitações do usuário (uma estratégia comum para voar sob o radar)
• ou há algo mais em algumas páginas que aciona um falso positivo

Você pode ver o resultado, apontando o endereço do site para o endereço IP do proxy. Você pode fazer isso editando seu /etc/hostsarquivo (os detalhes variam de acordo com a plataforma) e adicionando uma linha:

195.186.210.161        elearning.affis.ch

Você pode visitar o site como um desses usuários e ver quais páginas estão bloqueadas ou não.

Depois de ter uma idéia melhor de quais páginas estão bloqueadas ou não, pode ser mais fácil identificar o problema real. Em seguida, corrija-o e, de repente, ele será exibido imediatamente, ou talvez seja necessário relatar um falso positivo (há um link para isso na parte inferior da página "bloqueada").

Observe que tentar relatar um falso positivo antes de verificar a infecção provavelmente seria contraproducente. Tente muito encontrar e corrigir o problema primeiro.

Editar

Observe que a versão do Claroline que você executa (1.11.9) tem várias vulnerabilidades XSS conhecidas desde 2014:

Várias vulnerabilidades de script entre sites (XSS) no Claroline 1.11.9 e versões anteriores permitem que usuários autenticados remotamente injetem scripts da Web ou HTML arbitrários via (1) o campo Pesquisar em uma ação da caixa de entrada para messaging / messagebox.php, (2) o " Primeiro nome "para auth / profile.php ou (3) o campo Speakers em uma ação rqAdd ao calendar / agenda.php

Se o problema for realmente um ataque XSS armazenado, faça o dump mais recente do seu banco de dados e verifique se ele contém algo como uma <scripttag (não se esqueça de pesquisar sem distinção entre maiúsculas e minúsculas).

Se você apontar um navegador para o endereço IP retornado, http://195.186.210.161/ , você receberá a mensagem "site perigoso bloqueado" da Swisscom. Meu palpite é que o sistema de bloqueio de conteúdo da "internet segura" funciona, pelo menos em parte, respondendo a solicitações de DNS e que o site está se desentendendo com eles, por algum motivo.

Entendo que você perguntou se eles estavam bloqueando você, mas, na minha experiência, mesmo o suporte técnico de linha de frente dos ISPs de tamanho médio não tem a menor idéia do que está acontecendo lá atrás. É bem possível que todo o sistema de babás seja terceirizado (ou feito por um produto comercial de terceiros) e que ninguém na Swisscom tenha idéia de quais sites estão bloqueados a qualquer momento. Perguntar ao aluno se ele tem algum tipo de configuração de "internet para babá" pode ser mais produtivo.

No final do dia, isso pode não ser um problema que você possa resolver, já que você não é o cliente do ISP e eles não lhe devem nada. Ter os pais do aluno ligando para o suporte do provedor de serviços de Internet, reclamando em voz alta sobre a resolução incorreta do DNS e ameaçando alterar o provedor de serviços de Internet, se não for resolvido, é provavelmente a única coisa que tem algum efeito.

Edit : este tópico sugere que o mecanismo de bloqueio de sites da Swisscom pode ser um pouco entusiasmado demais, e que nem sempre é fácil obter qualquer tipo de resolução positiva deles. Também sugere que este não é um filtro de aceitação, mas que se aplica a todos os clientes da Swisscom, gostem ou não, portanto, optar por não participar pode ser difícil.