Dotaz: Debian - odesílá server sám od sebe SPAM při přístupu na mé stránky?

[Rosz]

Mám nějaký problém se serverem a nevím si už dále rady. Na serveru běží apache2, php5, mysql a pošta (postfix, spamassassin, clamav, amavis) a ftp. Před pár dny se mi začalo stávat, že než naskočila webová stránka, trvalo to i 10 sekund, což by nebyl ještě takový problém jako to, že neodcházely maily, nebo byly doručovány až po několika hodinách. Stejný problém i s příchozími emaily. Zjistil jsem že je procesor na 100% neustále vytížen a o první místa ve vytížení se dělí apache2 a amavisd-new. Když nepomáhal ani restart serveru, hledal jsem dále a zjistil, že server neustále odesílá na portu 25 +-kolem 10 mailů/s. Po nahlédnutí do fronty se jednalo o odesilatele MAILER-DAEMON a druhý nejvíce www-data@mojedomena.net. Zkoušel jsem frontu smazat pomoci postsuper -d ALL, tak to bylo pár sekund OK, a za chvíli už zase začaly odcházet na portu 25 další maily. Za minutu dám znova smazat a už jich bylo zase 20 ve frontě. Kde může ten spam vznikat? Jelikož je to odesíláno z adresy www-data@..... tak tipuji, že to dělá nějaký skript v PHP nebo jinde v apači, jenže jak ho najít a proč se sám od sebe spouští? Kdyz stopnu apache2, tak zůstává fronta prázdná. Pokud se podívám do logů jednotlivých stránek, tak za chvíli, co zapnu apache2, se seznambot nebo googlebot podívá na všechny stránky, co tu mám uložené pod asi deseti doménami. Nevím jestli to může mít souvislost s tím, že se pak začnou odesílat ty maily, ale nejspíš jo.

Odpovědi

[David Karban]

Zdravím,

nejpravděpodobněji máte buď zranitelný, nebo napadený některý z webů. Odesílatel www-data@mojedomena.net znamená že jde o uživatele www-data ze serveru s hostname mojedomena.net, neboli Váš apache. MAILER-DAEMON je zase adresa odkud se standardně posílají nedoručenky, jde o maily, které se snažily být doručeny z www-data, ale nebylo kam je doručit.

Zkuste se podívat do logů apache na POST requesty, mohlo by tam být vidět přístupy na skript, kterým se spam posílá.

Případně někam nahrajte část logu z doby spamování, třeba se podaří identifikovat kterým skriptem se to odesílá i na dálku.

[Rosz]

Díky za pomoc, už jsem to skoro vzdával, až u jedné domény jsem opravdu v logu našel POST requesty na nějaký skript v TMP složce, ke které byly práva 777 a odněkud se tam dostaly zvláštní soubory a další složky. Po jejich smazání a úpravy práv se zdá být problém vyřešen. Škoda že za těch pár dnů už jsem na blocklistech některých serverů. Asi neexistuje nějaký rychlý způsob jak se z nich dostat, že?

[Petr Šobáň]

A teď ještě zjistit jak se to tam dostalo, a díru ucpat jinak to tam za chvíli máte znovu.

[David Karban]

Ideálně ještě zkuste v logu najít jak se tam dostali, bude to někde před záplavou POSTů. Jinak je tu velké riziko, že to tam opět bude nahráno a situace se bude opakovat.

Z většiny blacklistů je možné se odhlásit, ideálně zjistit na kterých jste ve vyhledávači blacklistace. Ale nedoporučuji odhlásit se předtím, než bude opravena chyba, kterou se tam dostali, blacklisty většinou umožní jen několik odhlášení, než Vás zablokují natrvalo.

[trekker.dk]

Ideálně ještě zkuste v logu najít jak se tam dostali, bude to někde před záplavou POSTů

Dobře se to hledá podle času modifikace toho "zvláštního" souboru - většinou přesně odpovídá nějakému POSTu v logu webserveru. Akorát člověk ty soubory nesmí hned smazat s tím, že má vyřešeno...

[Robert Kupka]

a odporucam tiez skontrolovat, ako sa mountuje /tmp. V kazdom pripade mountujte s flagmi "noexec" a "nosuid".

[blb]

v php se da zapnout pridani jmena souboru a cisla radky, ktery odesila mail, do hlavicek mailu