Dotaz: Nekdo spamuje na serveru

[Patsy]

Prosim je nejaka cesta jak vystopovat na serveru script ktery posila spamy? Na jake procesy se podivat....? Slackware 9.0, Postfix system.

Odpovědi

[Petr]

Zeby: netstat s nejakym parametrem, treba: netstat -p :)

[Patsy]

Jenze jak poznam co z toho vypisu je spam

[Petr]

Nejspis se ti spam z toho PC siri pomoci SMTP protokolu, tudiz se podivat na procesy, ktere pracuji s portem 25,

[Josef Kufner]

a taky komunikuji po tcp, takze bude jeste fajn parametr --tcp

[Patsy]

Stale nemohu identifikovat uzivatele ktery posila spam... netstat je dobrej ale to bych to musel sledovat v jednom kuse... zrovna ve chvili kdy se posila spam. Muzu se jednoduse zeptat... co by jste delali vy kdyby jste vedeli ze z vaseho serveru tece spam... na co se podivat.. jake logy atd ? Jedine co mam je v mailq informace (Postfix mam ted vypnuty):

CA88D49EB      1156 Sun Jan 16 15:15:35  nobody@server.com
(delivery temporarily suspended: host mailin-01.mx.aol.com[205.188.156.185] refused to talk to me: 554 (RLY:B1) http://postmaster.info.aol.com/errors/554rlyb1.html)
                                         kwtaxi@aol.com

ale nebohu nikde identifikovat ktery uzivatel to poslal... Neco jsem prehledl ?

[Michal Čihař]

V logu MTA to není vidět?

[Patsy]

Kde naleznu MTA log ?

[Michal Čihař]

No nejdřív si zjistím jaké MTA mi tam běží a pak se kouknu kam loguje ... Třeba /var/log/exim4/mainlog nebo /var/log/mail.

[Petr Šobáň]

/var/log/maillog

No a pohledat tam ty podezřelé adresy

Dale bych pomocí iptables omezil přístup k postfixu pouze na prověřené IP a rozhraní pouze ze své sítě.

Případně pokud těch IP není moc postupně povolovat a prohlížet log.

[jm]

No, pokud ten spam posila skript umisteny na serveru, tak asi firewall nepomuze.

[Petr]

Proc by nemel fungovat, normalne odfiltruje vse odchozi na portu 25. Jenomze jestli je to nejakej postovni server, tak mu nejspis nebude odchazet i chtena posta...

[jm]

No to je vazne genialni reseni, zablokovat na mailserveru odchozi postu.

[unchallenger]

Tak buď používá nainstalovaný MTA -- ten umí logovat, kdo ho spouští, nebo si ho trochu vylepšíš, aby to dělal.

A pokud ne a posílá přímo, tak --match owner.

Nebo process accounting.

[Petr]

Zkus se podivat do manualove stranky od netstat, ted jsem tam koukl, a nasel jsem parametr -c (--coutinuous). Postup: nech nejakou dobu vypisovat informace do nejakeho souboru : "netstat -p -c --tcp > /tmp/wantedspam" a potom ho profiltruj

[Michal Čihař]

Co pořád máte s tím netstatem? Všechny informace ví MTA a buďto je loguje nebo se musí dát nastavit tak aby je logoval...

[Patsy]

Postovni server to neni, proste je tam jen Sendmail/postfix, aby to posilalo maily napr. z mail formularu atd.

Nekdo to posila zrejme pres PHP pomoci funkce mail(), jenze nemohu identifikovat uzivatele... odchazi to ze serveru jako nobody@server.com

[Patsy]

Pokud postfix stopnu a vypisu pres mailq ci z maillogu zjistim ID zpravy, muzu ji pak v /var/spool/postfix dohledat... tam je from, to, subject i text zpravy, presto jako odesilatel tam je nejaky nahodny napr hotmail a uzivatel nobody@server

[Michal Čihař]

Jako odesílatele si může každý napsat co chce... Prostě si zjisti jaký uživatel to odesílá ve /var/log/mail (aspoň tam loguje postfix tady):

postfix/pickup[6114]: 0D96E1EB06: uid=11031 from=<uzivatel>

Tam možná zjistíš, že to odesílá apache, tak zapnout suexec, případně vypnout posílání v php přes sendmail a vynutit lidi používat např. smtp s autentizací.

[Patsy]

"uid" je vzdycky "nobody", coz je v /etc/passwd: nobody:x:99:99:nobody. Toto uid se nemeni, je vzdy stejne (99)

[Petr]

Ja s nim nemam nic, jenom si myslim ze je to pres nej resitelne. (Nejsem si jist, jestli v logu MTA zjisti proces, kterej tu zpravu odeslal ... )

[Jan Kundrát (jkt)]

• CA88D49EB je postfixovo id zpravy. tudiz je ulozena v souboru typu /var/spool/postfix/deferred/C/CA88D49EB . prekvapeni, ze...
• precet sis to URL, kam te ten mx.aol.com odkazal?
• nemas nahodou postfixe nakonfigurovanyho jako open relay?

[Patsy]

Podarilo se mi zjistit UID procesu, ktery odeslal ze serveru email:

tcp        0      0 85.34.38.19:25          64.12.138.3:58228       ESTABLISHED 27182/smtpd

Jak pomoci tohoto UID ted mohu odhalit uzivatele ?

[jm]

Vy tam fakt mate open relay?!?!

[Jan Kundrát (jkt)]

a kde tam jako ma bejt uid? jestli myslis 27182, tak to je pid.

pokud budes chtit poradit, budes asi muset odpovedet na otazky, na ktery se te ptame...

[Smazáno]

Kde je jaký UID proboha?! Nebo už to neznamená User ID?

Pro začátek si najdi v /etc/postfix/main.cf (či kde to je ve slacku) řádek:

mynetworks_style = host

a ten odkomentuj. Zakomentuj ostatni mynetworks_style

Tím by postfix měl důvěřovat jen spojením iniciovaným ze stroje na kterým běží a zarazit relay. (Nicméně stejně doporučuju pořádně si přečíst: # TRUST AND RELAY CONTROL sekci zmíněnýho configuráku)

Tolik pro relátka zvenčí. Pokud je původcem toho spamu nějaký proces zevnitř, nedejpresidente obcházející postfix, tak je to hon na delších lánech...

[P]

mynetworks_style = host tam nastaven je... cili ted si nejsem jistej, jestli open relay je vyply nebo zaply.

[jm]

Jezis, dole pisu, jak to rychle a jednoduse zjistit, ale asi je to marny.

[P]

Sorry.......

vysledek:

Connected to relay-test.mail-abuse.org. Escape character is '^]'. /proj/maps/bin/in.relaytest: socket failed [Bad file descriptor] Connecting to IP ... Connection closed by foreign host.

[jm]

No, mate to nejak cely rozbity, tohle rozhodne neni normalni vysledek.

# telnet relay-test.mail-abuse.org
Trying 168.61.4.13...
Connected to Cygnus.Mail-Abuse.ORG.
Escape character is '^]'.
Connecting to xxx.xxx.xxx.xxx ...
>>> 220 ***.***.cz ESMTP
<<< HELO cygnus.mail-abuse.org

...

<<< QUIT
>>> 221 Bye
Tested host banner: 220 smtp.top-hosting.cz ESMTP
System appeared to reject relay attempts
Connection closed by foreign host.

[jm]

telnet relay-test.mail-abuse.org a podivat se na vysledek, ktery ja osobne vidim cerne.

[Patsy]

Nechtel by si nekdo vydelat ze by na to mrknul? Treba to je easy, treba ne, uz nevim jak na to...

Diky. mk@dobris.net Icq: 22132595

[Petr Šobáň]

Já teda nevím ale můj konfigurák v mé distribuci pokud do něj nezasahuju umožnuje posílat pouze z mistního PC.

Jinak fakt přečíst návod.

V konfiguráku povolit pouze místní přístup:

inet_interfaces = localhost

mydestination = $myhostname, localhost.$mydomain, localhost

mynetworks = 127.0.0.0/8

Jinak viz: Konfigurace postfixu

[P]

Problem je, pokud to tedy dobre chapu, tak ono to je posilano z localhostu... Proste nekdo bud zakaznik na tom serveru nebo nekdo z venku zneuzije skripty a posle to pres ne. Ale ten skript je na tom danem serveru, takze to = localhost....?

[jm]

Jak uz bylo vyse napsano, zakazte prislusnou funkci v PHP - pokud to teda opravdu neni open relay. Nechapu proc to tazateli pada pri nejakym telnetu...

[Smazáno]

No, zákazník na serveru?

vac:~$ host 85.34.38.19
19.38.34.85.in-addr.arpa domain name pointer host19-38.pool8534.interbusiness.it.

to mi spíš příjde, že si jen s něčím/někým hraje...

[Petr Šobáň]

No tak utnout přístup na localhost

Změnit hesla zrušit nepoužívané účty, zakázat apachovi používat funkci mail, su atd.......

Proskoumat kdo může spouštět shely které můžou spouštět mailové klienty a pod.....

Prostě apache je www server a funkce v php mail není nutná. případně spuštění těchto stránek povolit pouze po autorizaci, atd.....