Newsgroup: it.comp.sicurezza.varie
Titolo: dns hijacking

ï¿œ ricapitato:  (rete 
libero.it
)
 
Mon, 26 May 2014 19:12:02 +0000
PING 
google.com
 (173.194.35.2) 56(84) bytes of data.
dig
google.com
.             149     IN      A       173.194.116.7 (@
8.8.8.8
)
google.com
.             243     IN      A       64.233.160.138
(@
208.67.222.222
)
 
Thu, 29 May 2014 15:32:02 +0000
PING 
google.com
 (173.194.35.40) 56(84) bytes of data.
dig
google.com
.             299     IN      A       151.21.210.82 (@
8.8.8.8
)
google.com
.             182     IN      A       173.194.37.105
(@
208.67.222.222
)
 
Thu, 29 May 2014 15:52:02 +0000
PING 
google.com
 (173.194.113.225) 56(84) bytes of data.
dig
google.com
.             299     IN      A       151.21.210.88 (@
8.8.8.8
)
google.com
.             300     IN      A       151.21.210.38 (@
208.67.222.222
)
 
 
 
 
Come chiesto da ObiWan
 
dig @
8.8.8.8
 
google.com
 
 
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> @
8.8.8.8
 
google.com
 
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 7160
;; flags: qr rd ra; QUERY: 1, ANSWER: 12, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;
google.com
.                    IN      A
 
;; ANSWER SECTION:
google.com
.             299     IN      A       151.21.210.39
google.com
.             299     IN      A       151.21.210.24
google.com
.             299     IN      A       151.21.210.18
google.com
.             299     IN      A       151.21.210.53
google.com
.             299     IN      A       151.21.210.25
google.com
.             299     IN      A       151.21.210.46
google.com
.             299     IN      A       151.21.210.59
google.com
.             299     IN      A       151.21.210.38
google.com
.             299     IN      A       151.21.210.52
google.com
.             299     IN      A       151.21.210.45
google.com
.             299     IN      A       151.21.210.32
google.com
.             299     IN      A       151.21.210.31
 
;; Query time: 39 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Thu May 29 22:02:26 2014
;; MSG SIZE  rcvd: 220
 
 
 
 
 
dig +trace @
8.8.8.8
 
google.com
 
 
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> +trace @
8.8.8.8
 
google.com
 
; (1 server found)
;; global options: +cmd
.                       14741   IN      NS      
h.root-servers.net
.
.                       14741   IN      NS      
g.root-servers.net
.
.                       14741   IN      NS      
c.root-servers.net
.
.                       14741   IN      NS      
k.root-servers.net
.
.                       14741   IN      NS      
b.root-servers.net
.
.                       14741   IN      NS      
f.root-servers.net
.
.                       14741   IN      NS      
i.root-servers.net
.
.                       14741   IN      NS      
e.root-servers.net
.
.                       14741   IN      NS      
a.root-servers.net
.
.                       14741   IN      NS      
l.root-servers.net
.
.                       14741   IN      NS      
j.root-servers.net
.
.                       14741   IN      NS      
m.root-servers.net
.
.                       14741   IN      NS      
d.root-servers.net
.
;; Received 228 bytes from 8.8.8.8#53(8.8.8.8) in 319 ms
 
com.                    172800  IN      NS      
a.gtld-servers.net
.
com.                    172800  IN      NS      
b.gtld-servers.net
.
com.                    172800  IN      NS      
c.gtld-servers.net
.
com.                    172800  IN      NS      
d.gtld-servers.net
.
com.                    172800  IN      NS      
e.gtld-servers.net
.
com.                    172800  IN      NS      
f.gtld-servers.net
.
com.                    172800  IN      NS      
g.gtld-servers.net
.
com.                    172800  IN      NS      
h.gtld-servers.net
.
com.                    172800  IN      NS      
i.gtld-servers.net
.
com.                    172800  IN      NS      
j.gtld-servers.net
.
com.                    172800  IN      NS      
k.gtld-servers.net
.
com.                    172800  IN      NS      
l.gtld-servers.net
.
com.                    172800  IN      NS      
m.gtld-servers.net
.
;; Received 488 bytes from 199.7.83.42#53(199.7.83.42) in 338 ms
 
google.com
.             172800  IN      NS      
ns2.google.com
.
google.com
.             172800  IN      NS      
ns1.google.com
.
google.com
.             172800  IN      NS      
ns3.google.com
.
google.com
.             172800  IN      NS      
ns4.google.com
.
;; Received 164 bytes from 192.42.93.30#53(192.42.93.30) in 270 ms
 
google.com
.             300     IN      A       74.125.232.136
google.com
.             300     IN      A       74.125.232.132
google.com
.             300     IN      A       74.125.232.135
google.com
.             300     IN      A       74.125.232.133
google.com
.             300     IN      A       74.125.232.128
google.com
.             300     IN      A       74.125.232.130
google.com
.             300     IN      A       74.125.232.142
google.com
.             300     IN      A       74.125.232.137
google.com
.             300     IN      A       74.125.232.131
google.com
.             300     IN      A       74.125.232.129
google.com
.             300     IN      A       74.125.232.134
;; Received 204 bytes from 216.239.36.10#53(216.239.36.10) in 34 ms
 
 
 
 
 
Da pc con bind9 server attivo
 
dig +trace @
127.0.0.1
 
google.com
 
 
; <<>> DiG 9.6-ESV-R4 <<>> +trace @
127.0.0.1
 
google.com
 
; (1 server found)
;; global options: +cmd
.                       500488  IN      NS      
b.root-servers.net
.
.                       500488  IN      NS      
h.root-servers.net
.
.                       500488  IN      NS      
f.root-servers.net
.
.                       500488  IN      NS      
e.root-servers.net
.
.                       500488  IN      NS      
a.root-servers.net
.
.                       500488  IN      NS      
k.root-servers.net
.
.                       500488  IN      NS      
j.root-servers.net
.
.                       500488  IN      NS      
c.root-servers.net
.
.                       500488  IN      NS      
i.root-servers.net
.
.                       500488  IN      NS      
l.root-servers.net
.
.                       500488  IN      NS      
d.root-servers.net
.
.                       500488  IN      NS      
g.root-servers.net
.
.                       500488  IN      NS      
m.root-servers.net
.
;; Received 244 bytes from 127.0.0.1#53(127.0.0.1) in 1 ms
 
com.                    172800  IN      NS      
h.gtld-servers.net
.
com.                    172800  IN      NS      
g.gtld-servers.net
.
com.                    172800  IN      NS      
d.gtld-servers.net
.
com.                    172800  IN      NS      
k.gtld-servers.net
.
com.                    172800  IN      NS      
a.gtld-servers.net
.
com.                    172800  IN      NS      
l.gtld-servers.net
.
com.                    172800  IN      NS      
e.gtld-servers.net
.
com.                    172800  IN      NS      
f.gtld-servers.net
.
com.                    172800  IN      NS      
b.gtld-servers.net
.
com.                    172800  IN      NS      
m.gtld-servers.net
.
com.                    172800  IN      NS      
j.gtld-servers.net
.
com.                    172800  IN      NS      
i.gtld-servers.net
.
com.                    172800  IN      NS      
c.gtld-servers.net
.
;; Received 488 bytes from 192.5.5.241#53(
f.root-servers.net
) in 40 ms
 
google.com
.             172800  IN      NS      
ns2.google.com
.
google.com
.             172800  IN      NS      
ns1.google.com
.
google.com
.             172800  IN      NS      
ns3.google.com
.
google.com
.             172800  IN      NS      
ns4.google.com
.
;; Received 164 bytes from 192.35.51.30#53(
f.gtld-servers.net
) in 182 ms
 
google.com
.             300     IN      A       74.125.232.137
google.com
.             300     IN      A       74.125.232.135
google.com
.             300     IN      A       74.125.232.142
google.com
.             300     IN      A       74.125.232.128
google.com
.             300     IN      A       74.125.232.132
google.com
.             300     IN      A       74.125.232.131
google.com
.             300     IN      A       74.125.232.130
google.com
.             300     IN      A       74.125.232.133
google.com
.             300     IN      A       74.125.232.134
google.com
.             300     IN      A       74.125.232.136
google.com
.             300     IN      A       74.125.232.129
;; Received 204 bytes from 216.239.38.10#53(
ns4.google.com
) in 119 ms
 
 
 
 
 
-- 
+---------------------------------------------------------------------------+
|Al termine delle elezioni,la madre superiora fa la conta dei voti:         |
|DC, DC, DC,... PPP. Chiama subito suor Maddalena per le spiegazioni...     |
|Si era rotta la punta della matita, ed ho scritto: PORCA PUTTANA LA PUNTA! |
+-----#8---------------------Campagna contro le pubblicita` idiote.---------+

 
google.com
.             299     IN      A       151.21.210.39
 
interessante; quindi un lookup diretto verso 8.8.8.8 per i records A
riporta IP di libero mentre nel caso di trace o di resolver locale i
lookups riportano indirizzi corretti; sembra quasi che "qualcosa" stia
intercettando le queries ricorsive verso 8.8.8.8 ed in qualche modo
faccia hijack delle stesse
 

 faccia hijack delle stesse
 
 
Thu, 29 May 2014 15:32:02 +0000
PING 
google.com
 (173.194.35.40) 56(84) bytes of data.
google.com
.             299     IN      A       151.21.210.82 (@
8.8.8.8
)
google.com
.             90      IN      A       173.194.113.238 (@router)
google.com
.             182     IN      A       173.194.37.105
(@
208.67.222.222
)
 
 
Thu, 29 May 2014 15:52:02 +0000
PING 
google.com
 (173.194.113.225) 56(84) bytes of data.
google.com
.             299     IN      A       151.21.210.88 (@
8.8.8.8
)
google.com
.             39      IN      A       173.194.113.225 (@router)
google.com
.             300     IN      A       151.21.210.38 (@
208.67.222.222
)
 
 
Thu, 29 May 2014 16:12:02 +0000
PING 
google.com
 (173.194.35.6) 56(84) bytes of data.
google.com
.             299     IN      A       151.21.210.103 (@
8.8.8.8
)
google.com
.             21      IN      A       173.194.35.6 (@router)
google.com
.             280     IN      A       74.125.228.238
(@
208.67.222.222
)
 
 
Thu, 29 May 2014 16:32:06 +0000
PING 
google.com
 (74.125.232.131) 56(84) bytes of data.
google.com
.             299     IN      A       151.21.210.31 (@
8.8.8.8
)
google.com
.             28      IN      A       74.125.232.131 (@router)
google.com
.             183     IN      A       173.194.37.130
(@
208.67.222.222
)
 
Thu, 29 May 2014 16:52:02 +0000
PING 
google.com
 (173.194.113.238) 56(84) bytes of data.
google.com
.             299     IN      A       151.21.210.25 (@
8.8.8.8
)
google.com
.             90      IN      A       173.194.113.238 (@router)
google.com
.             18      IN      A       173.194.116.131
(@
208.67.222.222
)
 
 
Thu, 29 May 2014 17:52:02 +0000
PING 
google.com
 (173.194.35.9) 56(84) bytes of data.
google.com
.             299     IN      A       151.21.210.88 (@
8.8.8.8
)
google.com
.             21      IN      A       173.194.35.9 (@router)
google.com
.             300     IN      A       151.21.210.103
(@
208.67.222.222
)
 
 
 
Non solo per i dns di google, ma se guardi all'inizio del post, il giochetto
agisce anche per quelli di opendns, in modo contemporaneo od alterno.
Aggiungo, che avendo nel router i dns canonici di libero (almeno credo), se
faccio "dig 
google.com
" senza specificare altri, ottengo sempre i risultati
corretti.
Rebootando il router (quindi con ip nuovo), non sempre si risolve.
 
Comunque i 108 ip di libero nel range 151.21.210.1-254 mostrano sempre pagine
clone di google!
Aprendo l'index.html (con wget), si ottengono files di 12K non tutti uguali (un
centinaio di bytes di differenza), e viene scaricato un cookie diverso.
 
 
-- 
+---------------------------------------------------------------------------+
|       Velocita' e alcool uccidono. Fatti una pera che e' meglio.          |
+-----#11--------------------Campagna contro le pubblicita` idiote.---------+

 (@
208.67.222.222
)
 
Questo sopra ï¿œ il primo warn della giornata del 29, ma aggiungo che pochi
minuti prima (Thu, 29 May 2014 15:15:01 +0000) avevo avuto un cambio dell'ip
al nuovo numero 151.61.219.244.
Il mese scorso una delle numerazioni col problema era 151.61.193.150.
 
 
-- 
+---------------------------------------------------------------------------+
| >Antonio wrote:                                                           |
| >Salve, se ho un numero di ip , come posso entrare e che prg. devo usare  |
| >per l'ingresso grazie 1000                                               |
| Buitoni EasyCracker 0.7.1                                                 |
+-----#12-----------------------Campagna contro bimbiminkia idioti.---------+

 cookie diverso.
 
sarebbe interessante catturare una sessione intera, incluso il traffico
DNS e quello HTTP (pagine, cookies, scripts...) mi chiedo se la cosa
sia voluta oppure se...
 

 versione; giusto per sicurezza
 
per chiarire, mi è venuto il dubbio che il problema possa essere dovuto
al firmware del router; magari mi sbaglio ma...
 

 al firmware del router; magari mi sbaglio ma...
 
Quando risuccede, magari apro una sessione di whireshark, faccio un paio di
registrazioni e le metto su pastebin ot similia, poi in secondo tempo
ri-flasho il router.
Strana perï¿œ la concomitanza del cambio ip e la comparsa del problema.
Dal mese scorso quando ho incominciato di indagare, ci sono stati diversi cambi
ip, sia voluti dal provider, che accidentali (donna pulizie che con la scopa,
stacca ups ed il resto dell'ambaradan).
Resta il fatto dell'evidente anomalia dei 108 ip di libero che visualizzano la
pagina di google che ci arrivi se hai i dns di google o opendns, ed il fatto
che non sia sistematico, ossia va a periodi...
E caso strano proprio ieri si parlava di problemi di spam massivo proprio da
caselle di libero...
Non escludo a priori il firmware del modem, ma prima di cambiarlo (non ci sono
aggiornamenti), voglio essere un cincinino piï¿œ sicuro...
 
 
-- 
+---------------------------------------------------------------------------+
|    ero li assorto nei miei pensieri e uno mi ha chiesto l'ora... ho       |
|    dovuto sparargli una fucilata... stavo meditando... e che cazzo!       |
+-----#14--------------------Campagna contro le pubblicita` idiote.---------+

 (non ci sono aggiornamenti), voglio essere un cincinino piú sicuro...
 
beh, ti fai un backup della config attuale, "ri-flashi" (ok, è brutto)
con il firmware attuale e ricarichi la config; per lo meno potrai
escludere un elemento :) per il resto... si, direi che una sniffatina
potrebbe essere interessante (ma anche il source delle pagine "google"
ritornate da quegli IP)
 
 


Se metti nel browser quell'ip viene la pagina di google..
e se fai un telnet sulla 80 viene sta roba
Trying 151.21.210.82...
Connected to 151.21.210.82.
Escape character is '^]'.
GET /
HTTP/1.0 302 Found
Cache-Control: private
Content-Type: text/html; charset=UTF-8
Location: 
http://www.google.it/?gfe_rd=cr&ei=g6qIU5__NOna8gf72IG4Cg
 
Content-Length: 258
Date: Fri, 30 May 2014 15:57:55 GMT
Server: GFE/2.0
Alternate-Protocol: 80:quic
 
<HTML><HEAD><meta http-equiv="content-type" content="text/html;charset=utf-8">
<TITLE>302 Moved</TITLE></HEAD><BODY>
<H1>302 Moved</H1>
The document has moved
<A HREF="
http://www.google.it/?gfe_rd=cr&amp;ei=g6qIU5__NOna8gf72IG4Cg
">here</A>.
</BODY></HTML>
 
che a occhio è quello che spunta telnettando su google com (non ho libero)
 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 

 libero)
 
Si ma... CHE SENSO HA ?
 
 

 Si ma... CHE SENSO HA ?
 
chiarisco; so che senso /potrebbe avere/ ma ...
 

 chiarisco; so che senso /potrebbe avere/ ma ...
 
Prendendo riferimento a quanto detto precedentemente da Leonardo Serni, ho
fatto un confronto dei certificati:
 
openssl s_client -connect 
google.com:443
 -showcerts
Certificate chain
 0 s:/C=US/ST=California/L=Mountain View/O=Google Inc/CN=*.
google.com
 
   i:/C=US/O=Google Inc/CN=Google Internet Authority G2
 
openssl s_client -connect 
151.21.210.82:443
 -showcerts
Certificate chain
 0 s:/C=US/ST=California/L=Mountain View/O=Google Inc/CN=
google.com
 
   i:/C=US/O=Google Inc/CN=Google Internet Authority G2
 
La prima parte del certificato differisce alquanto, la parte dell'ente
certificatore corrisponde, ma a parte questo sembrano entrambi veri (a
occhio)....
 
Sembrerebbe un mirror...
Ma ricordo che il mese scorso c'era un doodle che si vedeva nella pagina
originale, mentre mancava nel fake...
 
-- 
+---------------------------------------------------------------------------+
|   togliere virus lo trovo degradante, faccio il tecnico informatico e     |
|   non il servizio spurgo.                                                 |
+-----#16--------------------Campagna contro le pubblicita` idiote.---------+

Mi sto collegando ad Internet usando Open Internet di Wind e rilevo di nuovo il comportamento segnalato nei DNS.
 
Risposta da un server non autorevole:
Nome:    
www.google.it
 
Addresses:  2a00:1450:4002:804::1017
          151.21.210.24
          151.21.210.18
          151.21.210.45
          151.21.210.52
          151.21.210.46
          151.21.210.39
          151.21.210.59
          151.21.210.25
          151.21.210.31
          151.21.210.38
          151.21.210.32
          151.21.210.53
 
E' possibile che siano mirror di google che Wind ha messo sulla sua rete e intercetta le chiamate ai DNS per redirigere su questi server.
Ci ho fatto caso perché funzionano ad intermittenza e quindi ogni tanto 
www.google.it
 non funziona.

 
 
 
Uhm.
 
Prove di DNS64 con risultati a farfalle?
 
Non che abbia molto senso comunque (in particolare se non hai IPv6
nativo e solo quello), ma � quali l'unica ragione che mi venga in mente.
 
L'hijacking come dici tu � l'altra, ma suonerebbe abbastanza strana.
 
Non mi risulta che Google permetta/supporti l'uso di "mirror locali" di
alcun tipo e, se lo facesse, eseguirebbe redirezione direttamente sugli
authoritative, certo non inviterebbe nessuno a falsificare la
risoluzione DNS (con il risultato di rompere qualsiasi implementazione
di DNSSEC che decidano di implementare ad un certo punto).

Il fatto che la query di 
www.google.it
 (usando i DNS infostrada) mi ritorni tutti IP di libero/infostrada mi dice che loro ti rimandano su un qualche tipo di proxy almeno. Probabilmente dopo il collasso di rete che hanno avuto, hanno creato una rete di proxy per fare cache di quanto possibile.

Facendo una query direttamente sui soliti DNS open ottengo questi risultati,
quindi le richieste verso i DNS sono intercettate
 
C:\WINDOWS\system32>nslookup 
www.google.it
 8.8.8.8
Server:  
google-public-dns-a.google.com
 
Address:  8.8.8.8
 
Risposta da un server non autorevole:
Nome:    
www.google.it
 
Addresses:  2a00:1450:4002:800::1017
          151.21.210.39
          151.21.210.24
          151.21.210.45
          151.21.210.38
          151.21.210.53
          151.21.210.46
          151.21.210.52
          151.21.210.25
          151.21.210.18
          151.21.210.59
          151.21.210.31
          151.21.210.32
 
Le stesse query fatte da rete NON WIND danno questi risultati:
RETE TISCALI
; <<>> DiG 9.8.4-rpz2+rl005.12-P1 <<>> 
www.google.it
 @
8.8.8.8
 
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38029
;; flags: qr rd ra; QUERY: 1, ANSWER: 16, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;
www.google.it
.                 IN      A
 
;; ANSWER SECTION:
www.google.it
.          276     IN      A       82.85.144.152
www.google.it
.          276     IN      A       82.85.144.148
www.google.it
.          276     IN      A       82.85.144.153
www.google.it
.          276     IN      A       82.85.144.158
www.google.it
.          276     IN      A       82.85.144.157
www.google.it
.          276     IN      A       82.85.144.167
www.google.it
.          276     IN      A       82.85.144.187
www.google.it
.          276     IN      A       82.85.144.172
www.google.it
.          276     IN      A       82.85.144.163
www.google.it
.          276     IN      A       82.85.144.183
www.google.it
.          276     IN      A       82.85.144.177
www.google.it
.          276     IN      A       82.85.144.162
www.google.it
.          276     IN      A       82.85.144.178
www.google.it
.          276     IN      A       82.85.144.173
www.google.it
.          276     IN      A       82.85.144.168
www.google.it
.          276     IN      A       82.85.144.182
 
;; Query time: 68 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Mon Jul 28 16:45:15 2014
;; MSG SIZE  rcvd: 287
 
RETE OVH
; <<>> DiG 9.8.1-P1 <<>> 
www.google.it
 @
8.8.8.8
 
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 182
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 0
 
;; QUESTION SECTION:
;
www.google.it
.                 IN      A
 
;; ANSWER SECTION:
www.google.it
.          299     IN      A       173.194.40.215
www.google.it
.          299     IN      A       173.194.40.223
www.google.it
.          299     IN      A       173.194.40.207
www.google.it
.          299     IN      A       173.194.40.216
 
;; Query time: 11 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Mon Jul 28 16:47:27 2014
;; MSG SIZE  rcvd: 95


Caching di traffico *HTTPS*???
 
 
 

 
 
No, � una boiata e la ritiro. Per una duplice ragione, a dire il vero,
ma � irrilevante, dato che quegli IP presentano la homepage di google
qualsiasi cosa gli si domandi.
 
Anche in HTTPS e con il certificato giusto.
 
Sembra che facciano tunneling/NAT/proxying di qualche tipo, ma il senso
mi sfugge dato che sul traffico HTTP non possono intervenire.
 
Peratro � curioso che, mentre "il vero Google" redirige tutto ad HTTPS,
'sti sistemi non lo fanno e accettano di lavorare anche in HTTP (cosa
che Google ha smesso di fare circa 4 o 5 anni fa, se la memoria non mi
inganna).
 
 
Il che sembra escludere la possibilit� che la gestione sia operata da
google stessa, o che si tratti di un semplice tunneling/proxying per la
reale pagina di google; almeno in http...
 
 
Boh...

mi sfugge dato che sul traffico HTTP non possono intervenire.
 
Se vuoi unirti al club: <sdsho991e72m9l6i3...@L.Serni>
 
Leonardo
 
-- 
 
Questi non hanno speranza di morte; e la lor cieca vita e' tanto bassa,
Che 'nvidiosi son d'ogne altra sorte. Fama di loro il mondo esser non lassa;
Misericordia e Giustizia li sdegna; non ragioniam di lor, ma guarda e passa.

hanno creato una rete di proxy per fare cache di quanto possibile.
 
Dovrebbero avere amici bòni all'NSA, o almeno presso Verisign...


 
www.google.it
.          276     IN      A       82.85.144.152
 
[cut]
 
inetnum:        82.85.144.128 - 82.85.144.191
netname:        TISCALI-GOOGLE
 
il che ha già un senso.
 
Invece quelli di libero non tanto, risultano degli IP dial-up :)
si saranno dimenticati di aggiornare qualcosa...
 
Gabriele
 
 


 
Spero di avere news a giorni sull'argomento da Wind stessa, speriamo sia la 
volta buona.
 
ciao
Gabriele
 


 
Forse interpreto male, ma perché lì è scritto "
twitter.com
 appears incorrect: 
199.16.156.198, 199.16.156.70, 199.16.156.38, 199.16.156.102" ?
Sono valori corretti mi pare.
 
Start: 29/lug/2014 11.54.56
;; Query: 
twitter.com
 ,type = A , class = IN
 
;; QUESTION:
twitter.com
, type = A    , class = IN
 
;; ANSWERS:
twitter.com
	39 	IN 	A 	199.16.156.6
twitter.com
	39 	IN 	A 	199.16.156.38
twitter.com
	39 	IN 	A 	199.16.156.70
twitter.com
	39 	IN 	A 	199.16.156.198
twitter.com
	39 	IN 	A 	199.16.156.102
twitter.com
	39 	IN 	A 	199.16.156.230
 
Gabriele

 tratti di un sistema per filtrare i siti "censurati" ?
 
Pensai anch'io, per questo volevo chiudere il discorso.
Perï¿œ da parecchio tempo, tengo sotto controllo 24/24 i vari ip dinamici a cui
sono connesso, e non mi ï¿œ ricapitata la cosa che segnalai all'inizio.
Una cosa che confermo, ï¿œ che cambiando ip, spesso il problema sparisce, per cui
presumo che non sia tutta la rete di libero interessata.
Una cosa, che ho visto propio un paio di giorni fa, ï¿œ che se apro uno dei 108
ip di libero (151.21.210.xxx) che clonano google, non mi fa aprire gmail e mi
da errore (prima mi appariva la pagina di login).
Comunque, la pagina di google fasulla, non mi ha mai mostrato i dongle, che si
vedono accedendo alla pagina reale.
 
-- 
+---------------------------------------------------------------------------+
|     ma che te frega dei virus e l'illegalita', l'importante e' vedere     |
|     22 miliardari drogati che corrono appresso a na palla.                |
+-----#15--------------------Campagna contro le pubblicita` idiote.---------+

 rete di libero interessata. 
 
considerando l'altro test (dig +trace ...) che fornisce risultati
corretti, tendo ad ipotizzare che ci sia qualcosa che intercetti SOLO
il traffico DNS e che, di questo, agisca solo su quello con il flag di
ricorsione attivo, ossia quello verso un resolver; per confermare o
smentire la cosa basterebbe avere un DNS ricorsivo installato sulla
connessione "libero" e, quando si verifica il problema provare ad usare
tale DNS per effettuare alcune queries, se è come penso, il DNS locale
dovrebbe essere in grado di funzionare senza problemi
 
 
 



un secondo approccio potrebbe essere quello di installare un DNS da
qualche parte e pubblicarlo, quindi, nel momento in cui si verifica il
problema, avviare queries verso tale DNS e poi controllare i logs di
quest'ultimo per vedere se effettivamente le queries ... sono arrivate
 

 reale pagina di google; almeno in http...
 
 
Ciao,
 
la risposta è "si tratta di server caching".
 
 
Gabriele

la risposta è "si tratta di server caching".
 
Um.
 
...com'e', che non mi torna mancopegnnente? :-D
