Dotaz: Spam pres php script.

[Petr]

Mam problem se spamem pres nejakou diru v nejakem scriptu. Toto ale nechci ted resit to je jiny problem. Potrebuji poradit s timto:

Na serveru kde mam php kompilovane ze zdrojaku, mam pred kompilací v ext/standard/mail.c nastaveno

fprintf(sendmail, "To: %s\n", to);
fprintf(sendmail, "Subject: %s\n", subject);
a pridanou novou radku"
fprintf(sendmail, "X-Script-Filename: %s\n", zend_get_executed_filename(TSRMLS_C));

Ma to za efekt ze pak krasne zjistim ve /var/spool/postfix/...blabla, ktery script spamuje.. jelikoz je tam pridana radka: X-Script-Filename:/cesta/ke/scriptu

Ovsem nevim si rady na serveru kde je php instalovany z rpm (FC6), jak zjistim ktery script ma diru (ktery je pouzit pro spam.)

Mate nekdo zkusenost ?

Odpovědi

[Pavel Stárek]

No to podle toho, co na té FC6 běží v tom PHP. Jestli nějaký vlastní redakční systém, například, nebo nějaký "velký" open source projekt, například phpBB apod. Z těchto informací se toho nedá moc zjistit. Také může být nějaká "dírka" v samotném Fedořím PHP -> jsou nainstalovány všechny vydané updaty?

[Peter Šantavý]

No v krajnom pripade by sa dalo to vyhladat aj "rucne", napr. v case aktualneho spamovania:

netstat -tcun | grep EST | grep ":80 " > netstatinfo.txt

...vytvorit dost dlhu casovu vzorku do netstatinfo.txt, ktoreho analyzou mozeme vytipovat nejake podozrive spojenia, napr.: 123.456.789.1

grep "123.456.789.1" *_log

...odtial je len krocik k info typu:

http://www.nejaky_hostovany_web.sk/.../index.php?xyz=http://h1.ripway.com/enviando/lwr.txt

...a k oprave konkretneho skriptu.

[Petr]

Problem vyresen .. a to vytvorenim vlastniho RPM kde se predtim provedl patch php5-mail-header.patch.

Plna spokojenost !! Nyni vidim krasne v poslanem mailu: X-PHP-Script:domena.com/cesta/ke/scriptu.php