Portál AbcLinuxu, 13. června 2021 21:42


Dotaz: napadený POSTFIX

2.5. 11:07 dejvic | skóre: 2
napadený POSTFIX
Přečteno: 541×
Odpovědět | Admin
Ahoj vsem, hned na zacatek, nejsem extra znalec linuxu. Mam vlastni UBUNTU server, na kterem mam domenu a maily. Bohuzel posledni dny my nekdo asi napadl postfix a rozesila mraky mailů. Vraci se mi pak tisice mailu zpet s predmetem "Mail delivery system"

Byla by dobra duse, ktera by mi pomohla se te havěti zbavit.

Moc diky za typy a rady. David
Nástroje: Začni sledovat (1) ?Zašle upozornění na váš email při vložení nového komentáře.

Odpovědi

2.5. 11:12 Ignotus | skóre: 6
Rozbalit Rozbalit vše Re: napadený POSTFIX
Odpovědět | | Sbalit | Link | Blokovat | Admin
Som presvedčený že niekto rád pomôže, ale bez logov to bude len veštenie z krištáľovej gule ...
MMMMMMMMM avatar 2.5. 11:13 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
Odpovědět | | Sbalit | Link | Blokovat | Admin
Ve /var/log/maillog bys mohl vidět, co kdo kam rozesílá. ;-) (teda nemám Ubuntu, ale CentOS, mělo by to být stejné)
Linux Dokumentační Projekt - PDF ke stažení
MMMMMMMMM avatar 2.5. 11:20 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
( pro začátek by mohlo pomoci třeba cat /var/log/maillog | grep "sasl_username" atd )
MMMMMMMMM avatar 2.5. 11:30 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
(do třetice dodám, že vůbec nemusí jít o průnik do poštovního systému, např. uhodnutí uživatelského hesla - nám v práci taky poslední dobou začaly některé servery hlásit plno delivery reportů jednomu našemu zaměstnanci, jehož e-mailovou schránku zneužili nějací Rusáci ke spamu - jednodušší servery nám to vrací, a to i přes nasazená opatření jako striktní DKIM, SPF a DMARC)

Proto si zkontroluj svou IP adresu serveru zde: http://multirbl.valli.org/ - pokud jde o průnik, určitě už budeš na blacklistu
2.5. 12:08 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
cat /var/log/mail.log | grep "sasl_username" - nevypíše nic.
2.5. 13:30 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
Příloha:
přikládám jeste cca půl hodinový výpis mail.log. Jinak bych vám to tu zahltil :-( od rána má log cca 250MB
MMMMMMMMM avatar 2.5. 13:36 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
Máš to tam krásně napsáno, např.:
May  2 06:33:09 mail postfix/qmgr[1813]: 8E62BC4F51D: from=<obchod at dvcomputer dot cz>, size=28275, nrcpt=15 (queue active)
May  2 06:33:09 mail postfix/smtp[23130]: 4FC5EC47C9C: to=<alden_cabradilla40@yahoo.com>, relay=mta6.am0.yahoodns.net[98.136.96.75]:25
MMMMMMMMM avatar 2.5. 13:45 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
May  2 06:33:32 mail postfix/smtpd[23455]: connect from unknown[192.168.2.1]
Z této IP adresy to leze. Asi máš Postfix nastavený tak, aby posílal poštu nejen autentizovaným uživatelům, ale i IP adresám z LAN? Zakázal bych posílat z IP adresy 192.168.2.1 a pak zjistit, co je na té stanici špatně (infikovaný web?)
3.5. 08:49 trekker.dk | skóre: 71
Rozbalit Rozbalit vše Re: napadený POSTFIX
Ten web ani nemusí být nutně infikovaný, jen na něm třeba může být nějaký kontaktní formulář "napište nám", který vyplňují boti.
Quando omni flunkus moritati
2.5. 13:46 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
díky, já vím, že je to odesílané přes můj mail, proto se ptám, zda-li je ochoten někdo poradit případně jak tomu zabránit? Komplet změna hesel, v emailu, na serveru jako uživatel i root má též změněné heslo. Jinak používám ISPCONFIG pro správu.
2.5. 16:03 j
Rozbalit Rozbalit vše Re: napadený POSTFIX
Hele, jak uz ti tu radili, predne ten srv (=postfix) stopni. Zjevne v tom plaves takze to je nejrychlejsi rychly reseni.

Souhlasim s tema co rikaj, ze ti srv jako takovej nejspis nikdo nehacknul. Ve skutecnosti to vypada, ze tvuj problem je spis uvnitr tvy site.

Dal, ten log je teda dost chudej, protoze je v tom skorem prd.

A jestli chces jakkoli poradit, tak sem postni konfiguraci toho postfixu. Tzn to co najdes typicky nekde v /etc/postfix/ a to main.cf + master.cf.

---

Dete s tim guuglem dopice!
2.5. 11:31 Peter Golis | skóre: 62 | blog: Bežné záležitosti | Bratislava
Rozbalit Rozbalit vše Re: napadený POSTFIX
Odpovědět | | Sbalit | Link | Blokovat | Admin
To je "rodinný" server ktorý mal otvorený port 25 do celého internetu, a povolil odosielanie emailu bez autorizácie odosielateľa?

Ten už asi bude na blacklistoch z ktorých to dostať je asi trochu fuška...
2.5. 12:09 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
http://multirbl.valli.org/lookup/213.226.245.17.html
MMMMMMMMM avatar 2.5. 12:20 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
Z toho usuzuju, že ke kompromitaci nedošlo. IP adresa by už byla na více blacklistech, myslím na těch skutečných pořádných jako Spamhaus nebo Spamcop. ;) Takže mrknout do /var/log/mail.log a podívat se, kdo co kam odesílá. Hint: mrknout do delivery reportu, není tam přiložena kopie původní zprávy? Tam musí být vidět, přes jaký server ten spam prošel.
2.5. 12:29 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
Příloha:
tady posílám zdroj zprávy co se vratila. Jinak jich přislo cca 40000 za 3 dny.
MMMMMMMMM avatar 2.5. 12:46 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
Received: from mankbsd (unknown [192.168.2.1])
        (Authenticated sender: obchod (at) dvcomputer (dot) cz)
Posláno to bylo z účtu obchod@... Pokud by došlo ke kompromitaci, hned bych změnil heslo tohoto účtu.
2.5. 12:56 Peter Golis | skóre: 62 | blog: Bežné záležitosti | Bratislava
Rozbalit Rozbalit vše Re: napadený POSTFIX
Text vráteného bol ohľadne ponuky na "true love from Ukraine". A to nevyzerá byť regulérnou ponukou firmy dvcomputer. Takže poznámka na zmenu hesla je vcelku fajn, len by som ešte pridal otázku či zákazník dvcomputer má nejaké zabezpečenie pred vírusmi a inou elektrickou chamraďou.
2.5. 13:23 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
Heslo bylo změněno hned. Zabezpečení před viry - myslíš na serveru? či PC který má nainstalovaného email klienta?
2.5. 13:45 Peter Golis | skóre: 62 | blog: Bežné záležitosti | Bratislava
Rozbalit Rozbalit vše Re: napadený POSTFIX
Pokiaľ si to heslo zmenil, a oznámil zákazníkovi ktorý má nakazenú topológiu, tak si to heslo odchytí keylogger a je to akoby bez zmeny.

Ešte že mám celkom dobrého poskytovateľa emailu. Ten mi odfiltruje skoro všetko čo prichádza nielen z open relay serverov.
2.5. 13:48 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
heslo změněno, ale nikde jsem nikomu nic nehlásil. Jde o můj vlastní server a mou vlastní emalovou adresu.
MMMMMMMMM avatar 2.5. 13:51 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
Je možné, že má Postfix nastavený tak, aby umožnil stanicím v LAN posílat i bez autentizace, viz IP 192.168.2.1...
2.5. 14:53 Peter Golis | skóre: 62 | blog: Bežné záležitosti | Bratislava
Rozbalit Rozbalit vše Re: napadený POSTFIX
Samozrejme že áno. Podľa IPky to vyzerá byť NAT za garážou. Ale či to tak je, to vie niekto iný.
2.5. 16:57 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
ano server je u me doma, není bohužel nikde v datacentru.
3.5. 23:44 lertimir | skóre: 63 | blog: Par_slov
Rozbalit Rozbalit vše Re: napadený POSTFIX
To patrně není ani napadený, ale blbě zkonfigurovaný postfix. Pořád jsi nenapsal, co je za systém 192.168.2.1?? POSTFIX nemusí být jediný špatně zkonfigurovaný systém. Totiž pokud je 192.168.2.1 adresa na vnitřním rozhraní vstupního routeru (jako první adresa v rozsahu 192.158.2.0/24), tak ti patrně někdo vlezl do routeru a operuje odsud, a problém je větší.
2.5. 20:17 j
Rozbalit Rozbalit vše Re: napadený POSTFIX
Klidne to muze bejt i s auth. Ta je ti totiz hovno platna, kdyz mas na stanici nejakou ves. A ta ves nemusi byt zadny uberkod, staci kdyz to umi zavolat mailto, a ty tam mas klienta s typicky ulozenym heslem nebo pouzivas klidne i nejakej zpusob kterej si prebira tvuj login do systemu (ldap/ad/radius/... ).

Jakmile je user opravnenej maily posilat, neni nic snazsiho nez pustit primitivni scriptik a muzes mailovat dle libosti. Zpomalovac pocitace kterej ti nekdo bude cpat jakozto antivir na to vubec neprijde.

---

Dete s tim guuglem dopice!
2.5. 13:20 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
heslo to bylo prvni co jsem menil, hned jak to začalo chodit. Ale chodí to už cca 5 den.
2.5. 12:39 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
Příloha:
ještě přikládám tu originál poštu co asi rozesílají, kde jsou komplet info.
2.5. 12:18 Filip Jirsák | skóre: 68 | blog: Fa & Bi
Rozbalit Rozbalit vše Re: napadený POSTFIX
Odpovědět | | Sbalit | Link | Blokovat | Admin
E-mailový server se nedá provozovat bez docela detailních znalostí. Musíte rozumět tomu, jak funguje SMTP protokol, odkud a kam se e-maily posílají.

Z toho vašeho popisu není jasné ani to, zda jde o nějaký problém, nebo je to běžný e-mailový provoz. To, že chodí falešné zprávy o nedoručení, je totiž naprosto běžná věc.

Takže bych doporučil server vypnout, ať případně nerozesílá další nevyžádané e-maily, a pak si najít někoho, kdo provozu poštovního serveru rozumí a kdo to bude spravovat. Když to neuděláte, bude váš server akorát spamovat internet a postupně se dostane (oprávněně) na blacklisty. A to bez ohledu na to, zda už teď spamuje nebo ne.
MMMMMMMMM avatar 2.5. 13:55 MMMMMMMMM | skóre: 43 | blog: unstable | Valašsko :-)
Rozbalit Rozbalit vše Re: napadený POSTFIX
Odpovědět | | Sbalit | Link | Blokovat | Admin
Asi jako první věc, co bych udělal, než se podaří problém vyřešit, je shodit postfix, aby nemohl rozesílat, příkaz
systemctl stop postfix
;)

Neznám ISPConfig, netuším, jak se tohle konfiguruje. Ale měl by sis ve chvilce nastudovat Postfix a zaměřit se na autentizaci uživatelů a parametr
mynetworks_style
atd. Bohužel nevím, co víc poradit. Chce to opravdu mít nějaké znalosti, když provozuješ poštovní server.
Linux Dokumentační Projekt - PDF ke stažení
Jendа avatar 2.5. 16:34 Jendа | skóre: 77 | blog: Jenda | JO70FB
Rozbalit Rozbalit vše Re: napadený POSTFIX
Odpovědět | | Sbalit | Link | Blokovat | Admin
Pro zamezení tohoto problému v budoucnu doporučuji nastavit postfwd/check_policy_service a omezit počet mailů třeba na 100 za hodinu. Nestane se ti pak, že v případě kompromitace nějakého účtu/stanice rozešleš milion spamů. Funguje to tak, že do konfigurace postfixu dáš
smtpd_recipient_restrictions = check_policy_service inet:127.0.0.1:10040
následně při každém mailu se postfix připojí na uvedenou adresu a pošle informace o tom mailu. A ty mu odpovíš action=DEFER nebo OK nebo DUNNO podle toho, jestli mail povoluješ, a někde bokem si počítáš, kolik mailů jsi za poslední hodinu pro daný účet povolil, a když to přesáhne, tak ho zablokuješ a přivoláš admina.
Zavádzanie údajov s pomenovanými dátovodmi
2.5. 16:59 dejvic | skóre: 2
Rozbalit Rozbalit vše Re: napadený POSTFIX
Příloha:
přikládám svůj main.cf
3.5. 08:46 trekker.dk | skóre: 71
Rozbalit Rozbalit vše Re: napadený POSTFIX
Když už to běží lokálně, tak bych volil spíš unix socket než 127.0.0.1. Ale tak jako tak bych řekl, že v tuhle chvíli je to pro tazatele vyšší dívčí :-)
Quando omni flunkus moritati

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.