Dotaz: Nekdo pouziva muj server jako open relay

[OgeeN]

Zdravim vsechny,
stala se mi nemila vec. Nekdo zacal muj mailovy server pouzivat k rozesilani spamu. V logu se najednou objevilo ze uzivatel www-data (muj uzivatel pod kterym bezi apache) posila maily na vsechny strany. Zaroven mi zacaly chodit stiznosti na muj server. Jako postaka pouzivam postfix spolu s amavisd-new+spamassassin+nod32, ktery postu preposila na mercury mail server na stroji s netware5, ktery ji pak rozdeluje do schranek.
Nevim kde bych mel zacit s hledanim problemu.

Dik za kazdou pomoc

Prikladam konfiguracni soubor postfixu:

cat main.cf
smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

# Uncomment the next line to generate "delayed mail" warnings
delay_warning_time = 4h

myhostname = gate.sps-pi.cz
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = gate.sps-pi.cz, localhost, localhost.localdomain, localhost
relay_domains = $mydestination, sps-pi.cz
mynetworks = 127.0.0.0/8, 172.16.0.0/16, 172.17.0.0/16
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all

message_size_limit = 52428800

transport_maps = hash:/etc/postfix/transport

content_filter = smtp:[127.0.0.1]:10024

smtpd_recipient_restrictions =
permit_mynetworks,
reject_invalid_hostname,
reject_non_fqdn_hostname,
reject_non_fqdn_sender,
reject_non_fqdn_recipient,
reject_unknown_sender_domain,
# reject_unknown_recipient_domain,
reject_unauth_pipelining,
reject_unauth_destination,
reject_rbl_client relays.ordb.org,
reject_rbl_client opm.blitzed.org,
#reject_rbl_client list.dsbl.org,
reject_rbl_client sbl.spamhaus.org,
permit

smtpd_sender_restrictions =
check_sender_access hash:/etc/postfix/accessgate:/etc/postfix#


Odpovědi

[h7]

Nekdo ti hacknul apache (asi pres php) a nejspise nejakym skriptem posila maily. Oprav derave skripty.Nepouzivas nahodou phpnuke? :-] h7

[Ondřej Čečák]

Nemusi to byt nutne hack, pravdepodobne je na webu jenom neosetreny skrip posilajici emaily, ktereho nekdo zneuziva.

[svaca]

Rekl bych ze problem je uplne nekde jinde .... Podle te konfiguraceten server neni open relay (coz zjistis v logu) ani pres NEJ NEJDE spam (coz zjistis v logu) ale problem je v tom (mel jsem to i ja), ze fucking windows stanice jsou zavirovane a zaskriptovane a PRIMO pres port 25 posilaji spamy aniz by o tom nekdo vedel .... )

1. zkontroluj celou vnitrni sit a pokud mas proxy SMAZ cache ...
2. ZAKAZ z vnitrni site ven port 25 a VSECHNA posta musi jit pres mailserver ...

[petr_p]

Takze windows SMTP klient se pripoji na TCP port 25 a postfix do logu napise, ze posta byla lokalne odeslana uzivatelem www-data?

[jm]

No, to je prece uplne logicke...

[svaca]

ne, vetsinou je to tak, ze se to forwarduje primo, NEJDE to tedy pre 25 kde je mail server a v logu postfixu NENI tim padem nic ... No a protoze si za NATem, tak je ten spam venku definovany jako vnejsi adresa serveru kde bezi postfix - pokud je mailserver na NATu na routeru a ODNESE nasledky mailserver .... proste ZAKAZ forward v vnejsku ven na 25 - tim padem vsichni kdo chteji posilat postu MUSI mit v klientech nastavenou adresu mailserveru .... ten retezec bude vypadat takto:

iptables -A FORWARD -o eth0 -p tcp --dport 25 -j DROP

kde eth0 je vnejsi interface (WAN)

[jm]

CLovece, prestan tady sirit bludy... Tohle je evidentne neosetreny formular na webu, nevim k cemu tady nesmyslne sachovat s iptables, ne zadne zavirovane Windows. Ach jo.

[svaca]

Bud tak laskav a trosku si prostuduj zakladni principy, abys aspon pochopil jak jsou veci svazane dohromady, nez se zacnes zesmesnovat ...

Tohle je realita.

[eudyptes]

no než bych tu mluvil o základních principech, bylo by dobre si přečíst původní příspěvek. OgeeN píše, že se mu v logu objevuje množství odeslaných mailů od uživatele www-data. takže vaše připomínky

... ani pres NEJ NEJDE spam (coz zjistis v logu) ...

nejsou moc na místě. Osobně se domívám, že se bude jednat pouze o neošetřený php script.

[OgeeN]

Vyřešeno (už docela davno). Utocnik uhodl heslo k studentskemu FTP a uploadnul na studentske www stranky php script kterym pak rozesilal spam. Studentsky server byl pak presunut na jiny pocitac a odriznut od internetu.
Dik vsem za reakce

[jm]

Bud tak laskav a trosku si prostuduj zakladni principy, abys aspon pochopil jak jsou veci svazane dohromady, nez se zacnes zesmesnovat ...

Samozrejme, Utlouk na zavirovanych Windows stanicich se logne pod uctem www-data na mailserver - shell /bin/false tomu vubec neprekazi - a z localhostu zacne hromadne spamovat. Jezkovy zraky. Precti si prosimte puvodni dotaz.

[svaca]

Ano, jenze stale to NEMUSELO jit pres postfix .... To je jedno zda spamuje Apache, ci windows, MTA s tim preci nemusi mit nic spolecneho - ja mel taky tohovou podobnou situaci

[svaca]

I kdyz pravda, ze v pripade apache by mu nepomohl ani ten zapis v iptables ...

[macrek]

ja tiez predpokladam ze je problem niekde inde
nie je nutne hacknut apache, aby bolo mozne cez neho posielat maily...
Pozri si logy z apacha, a grepuj: CONNECT

odporucam si pozriet:
http://www.abclinuxu.cz/forum/show/16337
a prejst si google.... pravdepodobne bude stacit zapnut apache bez proxy...

[tomasgn]

pravdepodobne spatne napsane php skripty a nastaveni v php.ini . neni neco zajimaveho v /tmp ?

[AloneInTheDark]

Nevím jak ten apache a scripty, ale možna bys měl ještě nastavit ještě smtpd_sender_restrictions v main.cf , ale asi to bude stejně naprd, když to posílá lokální apache. Snad jedině dohledat podle času kdy byl nějaký závadný mail odeslán zkusit najít podle logu apache které scripty/stránky se zrovna používaly a zkusit najít chybu v nich.