Dotaz: SPAMujici web - jak jej odhalit?

[Petr]

Ahoj,

mám na serveru problém, že některý z desítek webu odesílá spam pres SMTP servery google a Yahoo. Můj server je v hlavičce emailu uvedeny jako místo odeslání a následně je penalizován formou zavedení na nějaký blacklist.

Jelikož nejsou emaily odesílány pres lokální smtp server, tak nemám jak zjistit, který web je původcem.

Můžete mi, prosím, poradit? Na serveru mi běží Debian 6.

Děkuji.

Petr

Odpovědi

[majales]

Zdravím, Asi bych volil cestu Iptables s logováním odchozího provozu, případně přesměrovat všechny odchozí dotazy na smtp na lokální smtp. Určitě bych zakázal provoz na všech portech a povolil je to co povoleno být má. Odesílání mailu by určitě mělo jít pouze přes lokální smtp abyste mohl hlídat kdo a co je posíláno. To co vás zajímá pak bude v mail.log.

[MMMMMMMMM]

Jak vypadá hlavička takového spamu?

[Petr]

Hlavička vypadá následovně. Není odesláno přes SMTP mého serveru, takže v žádném logu nedohledám. Vlastní IP adresu jsem nahradil "xx" - jinak je hlavička kompletní. Příjemce jsem taky musel nahradit - zpráva s emailem nejde odeslat.

> Delivered-To: -
> Received: by 10.220.70.82 with SMTP id c18csp37581vcj;
>         Sat, 18 Oct 2014 04:06:45 -0700 (PDT)
> X-Received: by 10.180.211.70 with SMTP id
> na6mr5289687wic.3.1413630404985;
>         Sat, 18 Oct 2014 04:06:44 -0700 (PDT)
> Return-Path: <->
> Received: from 77-xx-xx-xx.static.masterinter.net (77-xx-xx-
> xx.static.masterinter.net. [77.xx.xx.xx])
>         by mx.google.com with SMTP id
> l1si4349358wjb.38.2014.10.18.04.06.44
>         for <->;
>         Sat, 18 Oct 2014 04:06:44 -0700 (PDT)
> Received-SPF: none (google.com: - does not
designate
> permitted sender hosts) client-ip=77.xx.xx.xx;
> Authentication-Results: mx.google.com;
>        spf=neutral (google.com: - does not
designate
> permitted sender hosts) smtp.mail=-
> Ludlow-Remus-Barbarian: 326b44ae8
> Colonized-Wickedness: yawn
> MIME-Version: 1.0
> Message-ID: <9BCE____________________________Ea4FP>
> From: Chuck <->
> Content-Type: text/html; charset=UTF-8
> Recollected-Interleave: 6A5B66DF565DC9
> To: - <->
> Subject: Demonwryter Buyq GreatMedj Onlinec
> Date: Sat, 18 Oct 2014 13:06:44 +0000
> Content-Transfer-Encoding: 7bit

[Andrej]

Nechápu, proč někdo blacklistuje jen na základě hlavičky mailu. Pokud ten mail nemá platný DKIM podpis (což zcela jistě nemá, pokud ho vytvořil někdo cizí), musí být jasné, že jeho původ neodpovídá tomu, co tvrdí hlavička.

[Jendа]

Podle mě blacklistují na základě IP adresy, ze které pocházelo TCP spojení, kterým se tam ten spam napajpoval.

[AraxoN]

Ak je ten mail odosielaný cez PHP funkciu mail() tak tej je možné prikázať aby logovala názov skriptu, cez php.ini:

mail.log = /var/log/php-mail.log

Ďalšie zaujímavé nastavenia tu: manuál

[Jendа]

No to by asi posílalo přes lokální SMTP, ne? Tohle se bude spíš připojovat přímo na jejich SMTP.

[AraxoN]

Ehm, my bad... zle som prečítal dotaz.

[Jendа]

Nejlepší (i z jiných důvodů) by bylo spouštět různé weby pod různým uživatelem.

Pak by taky šlo tipnout, jakou funkcí se ten web připojuje, a overridnout ji (dělá se to někde v PHP configu, existuje soubor, který se „includuje“ jako hlavička všech skriptů a v něm ta funkce jde předefinovat) třeba na loguj(); skutečná_funkce(). Tím můžeš zaznamenat i přímo jméno skriptu.

[Filip Jirsák]

To, že ty weby mohou navazovat spojení do internetu, je záměr? Lepší by myslím bylo povolit jim jenom definované operace, tj. třeba jen odesílání e-mailů přes vlastní SMTP server.

[Petr]

To není záměr. Funkce mail() jde zablokovat, ale připojení na cizí SMTP servery? Nevím, jak bych je měl zablokovat?

Díky

[Jendа]

Tipuju, že ti tam někdo nahrál PHP skript, který dělá exec("echo HELO.. RCPT .. MAIL FROM.. SPAM SPAM SPAM | telnet mail.yahoo.com 25").

[Petr]

Exec mám u všech zakázaný.

[MMMMMMMMM]

fce fsockopen :) kdysi jsem si napsal takový malý fake mailer v php...

[Filip Jirsák]

Pro skupinu, která obsahuje uživatele, pod kterými běží weby, bych úplně zakázal navazování TCP/IP spojení a odesílání UDP a ICMP paketů. Např. přes iptables, nebo to předpokládám jde přes SElinux. Pokud mají mít weby možnost komunikovat třeba s databází nebo vaším SMTP serverem, tyto výjimky bych explicitně povolil.

[Josef Kufner]

Nebo je nechal jít přes unixový socket.

[Max]

1) definovat si, co php může a co ne.
2) apache "mod_status" je řešením, jak zákeřný skript objevit
Zdar Max

[cold]

1) rozhodne zapnout mail.log = /var/log/php-mail.log 2) pokud bezi kazdy web pod svym userem tak to pujde najit v mail.logu, pripadne staci vylistovat mailq vsechny spamy ve fronte (podle odesilatele, prijemce a mnozstvi jde urcite poznat co je spam a co neni) staci si vzit par kusu ID emailu a projit mail.log a nakonec z toho vypadne kde co jak spamuje

muze to jit primo z webu kde je malware, v tom pripade to nemusi byt v php-mail.logu - nepouziva to vzdycky funkci mail(), reseni existuje skenovanim webu vcetne modulu pro apache ktery nedovoli ten malware ani nahrat na server

druha varianta jsou infikovane widle uzivatele ktery ma na serveru mailbox - malware ma pristup k funkcnimu loginu pres outlook uzivatele, tohle se da resit jedine zmenou hesla k tomu mailboxu a pak to oznamite uzivateli az si vycisti pocitac

Urcitym resenim muze byt omezeni poctu odchozich emailu ze serveru pres postfix-policyd (postfix-cluebringer), jenze ono to stejne zustane viset na serveru ve fronte k odeslani a obcas staci ze serveru odejde par kusu spamu nebo emailu s viry a server je na blacklistu posta + spamy to se resi vsude porad dokola