ぐぐってみた。
ocn tech web / DNSの動作確認 / dig による動作確認。
seiichi@onion:~$ dig -x 211.116.2.111
; <<>> DiG 9.2.2 <<>> -x 211.116.2.111
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 14975
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0
;; QUESTION SECTION:
;111.2.116.211.in-addr.arpa. IN PTR
;; AUTHORITY SECTION:
2.116.211.in-addr.arpa. 10303 IN SOA nis.dacom.co.kr. dnsmaster.bora.net. 2003040201 21600 900 604800 43200
;; Query time: 37 msec
;; SERVER: 202.224.32.1#53(202.224.32.1)
;; WHEN: Thu Oct 20 08:44:50 2005
;; MSG SIZE rcvd: 113
dig をつかうと逆引きできるのね。
seiichi@onion:~$ grep Unrecognized /var/log/router.log | head | \
awk '{print $8'} | awk 'BEGIN{FS=":"}; {print "-x",$1}' > abc.txt
seiichi@onion:~$ dig -f abc.txt | grep "ANSWER SECTION" -A 2 | awk '/PTR/ {print $5}'
p3229-ipad33fukuokachu.fukuoka.ocn.ne.jp.
dabach2.bb.netvision.net.il.
ntszok034235.szok.nt.adsl.ppp.infoweb.ne.jp.
pm178.iac02.iatm00.kita-kyushu-ap.qtnet.ne.jp.
DSLa212.tochigi-ip.dti.ne.jp.
でも多くの ip address を dig -f でまとめて逆引きすると
; <<>> DiG 9.2.2 <<>> -x 211.236.141.175
;; connection timed out; no servers could be reached
なエラーが発生する。
一種の DoS?
man dig すると問い合わせに時間間隔をあたえる -T オプションの記述あるが、onion 上の dig には -T オプション実装されてない。
-T time
バッチモードで実行した時、連続した問い合わせの始まる時間間隔を秒で与えます。2 つ以上のバッチ dig コマンドの実行を大体同期することができるようになります。デフォルトは 0 です。
shell script でがんばる。
seiichi@onion:~$ grep Unrecognized /var/log/router.log | \
awk '{print $8'} | awk 'BEGIN{FS=":"}; {print "-x",$1}' > abc.txt
seiichi@onion:~$ head -3 abc.txt
-x 211.129.237.229
-x 212.143.166.164
-x 219.116.101.235
seiichi@onion:~$ a=`wc -l abc.txt | awk '{print $1}'`
seiichi@onion:~$ for i in `seq $a` ; do sleep 1; dig `cat abc.txt | head -$i | tail -1` ; done > abcd.txt
abcd.txt に dig の出力がはいってる。逆引きの設定してないと answer section ではなくて authority section で、その ip address を管理しているネームサーバの名前を回答する動作に見える。Check your DNS records with dig という文書によると
Along with the IP address the DNS record contains some other useful information. The authority section contains a list of name servers that are responsible for the domain name -- those that can always give an authoritative answer. Here we find two name servers listed, which are the name servers of the company with which the domain was registered.
ここ数日（アバウトだな）のポートスキャン上位 20 アドレスの発表。
（逆引きできる部門）
seiichi@onion:~$ grep -A 2 "ANSWER SECTION:" abcd.txt | \
awk '/PTR/ {print $5}' | sort | uniq -c | sort -r | head -20
54 PPPbf394.kanagawa-ip.dti.ne.jp.
41 i60-42-35-77.s02.a001.ap.plala.or.jp.
37 243.105.132.211.in-addr.arpa.mct.ne.jp.
28 f1a01-0084.din.or.jp.
24 z109.211-132-150.ppp.wakwak.ne.jp.
21 usr080.pial056-01.wpc.im.wakwak.ne.jp.
18 z101.211-132-155.ppp.wakwak.ne.jp.
12 PPPbf637.aichi-ip.dti.ne.jp.
10 zaqd3872c8d.zaq.ne.jp.
10 z87.211-132-148.ppp.wakwak.ne.jp.
10 HKRbm249.kanagawa-ip.dti.ne.jp.
9 PPPbf727.aichi-ip.dti.ne.jp.
8 YahooBB219004022082.bbtec.net.
8 L138129.ppp.dion.ne.jp.
7 z147.211-132-148.ppp.wakwak.ne.jp.
6 z113.211-132-145.ppp.wakwak.ne.jp.
6 m211-132-166-60.megafit.me-h.ne.jp.
6 g054144.ppp.asahi-net.or.jp.
6 PPPbm554.kanagawa-ip.dti.ne.jp.
6 PPPbf317.aichi-ip.dti.ne.jp.
ここ数日（アバウトだな）のポートスキャン上位 20 アドレスが属するネームサーバの発表。
（逆引きできない部門）
seiichi@onion:~$ grep -A 2 "AUTHORITY SECTION:" abcd.txt | \
awk '/SOA/ {print $5}' | sort | uniq -c | sort -r | head -20
79 ns1.apnic.net.
59 a.dns.kr.
57 nis.dacom.co.kr.
35 ns.cnc.ac.cn.
28 ins1.hananet.net.
21 ns2.nifty.com.
13 rev1.kornet.net.
12 ns1.kidc.net.
10 ns.sta.net.cn.
8 vns1.hinet.net.
6 dns-noc.zjhzptt.net.cn.
5 ns.shinbiro.com.
5 ns.pubnet.ne.kr.
4 ns1.tachynet.co.kr.
4 ns.uk.prserv.net.
4 ns.thrunet.com.
4 dns0.telstra.net.
4 auth01.ns.uu.net.
4 BITSY.MIT.EDU.
3 rns1.twnic.net.
dig の使い方を調べるにあたって参考にさせていただいたところ。
