http://mikrotik.moscow Новое в теме Уязвимость в разрешении DNS форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 05 Aug 2026 02:16:38 -0400 Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
Думаю, тебе стоит почитать https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router, особенно раздел про DNS Cache. Там подробно объясняется всё, что нужно учесть, прежде чем открывать доступ к своему роутеру из Интернета.
31.07.2020 08:09:00, jprietove.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423446 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423446 Fri, 31 Jul 2020 08:09:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
facepalm, глупец я. Всегда забываю проверить gravediggers.
31.07.2020 05:27:00, vecernik87.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423445 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423445 Fri, 31 Jul 2020 05:27:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
Всем привет. Посмотрите на дату этой темы. По какой-то причине alfred998 ответил в теме, которой полтора года. При этом m4rk так и не разместил свою конфигурацию. Похоже, он увидел это и просто ушёл из темы.
31.07.2020 04:42:00, Jotne.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423444 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423444 Fri, 31 Jul 2020 04:42:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
В стандартной конфигурации есть универсальное правило для сброса пакетов. Вам не должны быть нужны эти отдельные правила для сброса. Если они вам нужны, значит, у вас явно не хватает какой-то важной части (возможно, вы или кто-то другой её удалили). Чтобы проверить оригинальную, неизменённую defconf, выполните команду /system default-configuration print.

Среди многих остальных строк вы должны увидеть следующее (экспортировано из версии 6.47.1):

/ip firewall {
  filter add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked"
  filter add chain=input action=drop connection-state=invalid comment="defconf: drop invalid"
  filter add chain=input action=accept protocol=icmp comment="defconf: accept ICMP"
  filter add chain=input action=accept dst-address=127.0.0.1 comment="defconf: accept to local loopback (for CAPsMAN)"
  filter add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN"
  filter add chain=forward action=accept ipsec-policy=in,ipsec comment="defconf: accept in ipsec policy"
  filter add chain=forward action=accept ipsec-policy=out,ipsec comment="defconf: accept out ipsec policy"
  filter add chain=forward action=fasttrack-connection connection-state=established,related comment="defconf: fasttrack"
  filter add chain=forward action=accept connection-state=established,related,untracked comment="defconf: accept established,related, untracked"
  filter add chain=forward action=drop connection-state=invalid comment="defconf: drop invalid"
  filter add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="defconf: drop all from WAN not DSTNATed"
}

Как видите, в 6-й строке (5-е и последнее правило для цепочки input) сбрасываются все пакеты, которые приходят не из LAN. Насколько мне известно, это правило всегда там было. Если в вашей default-configuration этого нет, пожалуйста, выложите ПОЛНЫЙ результат команды, а не только часть.

Если в default-configuration это есть — значит, критическое правило каким-то образом было удалено из вашей текущей конфигурации. В таком случае я настоятельно рекомендую надёжно защитить маршрутизатор или даже полностью переустановить его с нуля.
31.07.2020 03:30:00, vecernik87.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423443 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423443 Fri, 31 Jul 2020 03:30:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
Неправильный ход, приятель! В стандартных правилах уже есть правило, которое сразу останавливает эту ерунду. Скорее всего, роутеры были скомпрометированы по другим причинам, а указанная проблема была только симптомом.

/ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1  
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related  
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
31.07.2020 02:00:00, anav.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423442 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423442 Fri, 31 Jul 2020 02:00:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
Можешь поделиться экспортом настроек файрвола (и фильтров, и правил NAT)? Возможно, ты делаешь dst-nat для DNS-запросов с WAN стороны в правилах NAT и разрешаешь пакетам с dst-nat в фильтрах. Твой WAN-интерфейс добавлен в список интерфейсов WAN (WAN interface-list)?
31.07.2020 01:55:00, martinclaro.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423441 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423441 Fri, 31 Jul 2020 01:55:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
Извини, но я вынужден согласиться с Marko. Стандартная конфигурация с добавленным сбросом для порта 53:

0    ;;; defconf: принимать established, related, untracked  
     chain=input action=accept connection-state=established,related,untracked  

1    ;;; сброс UDP 53  
     chain=input action=drop protocol=udp in-interface-list=WAN dst-port=53  

2    ;;; сброс TCP 53  
     chain=input action=drop protocol=tcp in-interface-list=WAN dst-port=53  

allow-remote-requests: нет  
nmap: Обнаружен открытый порт 53/udp на xx.xx.xx.xx  
Обнаружен открытый или фильтруемый порт 53/udp на xxx-xx4.xxx-xx.org (xx.xx.xx.xx), который на самом деле открыт
31.07.2020 00:35:00, alfred998.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423440 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423440 Fri, 31 Jul 2020 00:35:00 -0400 RouterOS Уязвимость в разрешении DNS RouterOS в форуме RouterOS.
Здравствуйте, я связываюсь с вами, потому что нашёл серьёзную уязвимость в последней версии Mikrotik. По сути, я заметил, что с моего Mikrotik отправлялось тысячи DNS-запросов на один и тот же домен «USADF.GOV». При анализе проблемы я обнаружил, что порт 53 UDP (DNS-сервис) открыт для всего мира, и в таком виде любой человек может использовать мой публичный IP для разрешения имён, как публичный DNS-сервис. Я также обнаружил эту проблему у других клиентов. Судя по всему, проблема связана с последней версией Mikrotik. Вы уже сталкивались с этим? Есть ли решение? Жду вашего ответа, желаю хорошего дня. С уважением, Марко.
05.02.2019 09:34:00, m4rk.]]> http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423439 http://mikrotik.moscow/forum/forum57/88099-uyazvimost-v-razreshenii-dns/message423439 Tue, 05 Feb 2019 09:34:00 -0500 RouterOS