Автор Тема: Сервер рассылает спам с определенных адресов! (Прочитано 1194 раз)

djrust · « : 21 Октября 2016, 18:53:01 »

Добрый вечер!
Есть проблема(сервер postfix +dovecot)

Пожаловался определенный пользователь на то что приходят ошибки доставки сообщений

Смотрю лог отправки,а там 1000 сообщений от user1@domen.ru user2@domen.ru

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]


root@mail:/usr/bin# postcat -q 2D79BD4804C
*** ENVELOPE RECORDS deferred/2/2D79BD4804C ***
message_size:            1665             205               1               0            1665
message_arrival_time: Fri Oct 21 18:22:19 2016
create_time: Fri Oct 21 18:22:19 2016
named_attribute: rewrite_context=local
sender_fullname:
sender: user1@doman.ru
original_recipient: segalme@aol.com
recipient: segalme@aol.com
*** MESSAGE CONTENTS deferred/2/2D79BD4804C ***
Received: by mail.domain.ru (Postfix, from userid 10134)
        id 2D79BD4804C; Fri, 21 Oct 2016 18:22:19 +0300 (MSK)
Received: from allcarecyd.com (webhost.t3ga.com [192.163.24.76])
        (Authenticated sender: user1@doman.ru)
        by mail.domain.ru (Postfix) with ESMTPSA id A763BD43953
        for <segalme@aol.com>; Fri, 21 Oct 2016 18:22:18 +0300 (MSK)
Date: Fri, 21 Oct 2016 11:22:17 -0400
To: segalme@aol.com
From: Crystal <user1@doman.ru>
Reply-To: Crystal <user1@doman.ru>
Subject: 2 Pending  SexHookup Request
Message-ID: <149a3899c8c337c6bfd568da834a3ebd@allcarecyd.com>
X-Mailer: PHPMailer 5.2.14 (https://github.com/PHPMailer/PHPMailer)
MIME-Version: 1.0
Content-Type: multipart/alternative;
        boundary="b1_149a3899c8c337c6bfd568da834a3ebd"
Content-Transfer-Encoding: 8bit

This is a multi-part message in MIME format.

--b1_149a3899c8c337c6bfd568da834a3ebd
Content-Type: text/plain; charset=us-ascii

I have something wet and waxy for you

Wanna take your d@ck and fill my mouth with it

There is some moist in my panties currently

If you come to me, I will show you more than just pictures

I bet you will miss me


--b1_149a3899c8c337c6bfd568da834a3ebd
Content-Type: text/html; charset=us-ascii

<html>
<body>
<br><br>
I have something wet and waxy for you

Wanna take your d@ck and fill my mouth with it

There is some moist in my panties currently
<br><br>
<a href="http://pretty-smile.tw/global.php?z=144&Fsr=DzrXJNBaSyjAk5F2tbf&Dtf=7fp&74UT=Be">If you come to me, I will show you more than just pictures</a>
<br><br>
I bet you will miss me

</body>
</html>

Получается,что оправляет phpmailer
Как его теперь отловить? и найти путь скрипта?

Я даже пользователей почты удалил,толку 0...очередь забивается

victor00000 · « **Ответ #1 :** 21 Октября 2016, 19:28:32 »

djrust,
без программа php для спам.
пойдёт iptables.

djrust · « **Ответ #2 :** 21 Октября 2016, 20:33:11 »

Понять бы,что вы написали)))

victor00000 · « **Ответ #3 :** 21 Октября 2016, 21:08:24 »

http://www.remoteshaman.com/programming/php/php-zashhita-ot-spamerov-stopforumspam-na-primere-foruma-phpbb

AnrDaemon · « **Ответ #4 :** 21 Октября 2016, 21:19:23 »

Цитата: djrust от 21 Октября 2016, 18:53:01

Пожаловался определенный пользователь на то что приходят ошибки доставки сообщений

Смотрю лог отправки,а там 1000 сообщений от user1@domen.ru

Получается,что оправляет phpmailer
Как его теперь отловить? и найти путь скрипта?

Я даже пользователей почты удалил,толку 0...очередь забивается

Надо не очередь смотреть, а логи.
Откуда письмо отправили? Может, у вас опен релей?

Пользователь добавил сообщение 21 Октября 2016, 21:19:47:

Цитата: djrust от 21 Октября 2016, 20:33:11

Понять бы,что вы написали)))

Он понапишет… ты его слушай больше.

djrust · « **Ответ #5 :** 21 Октября 2016, 21:21:26 »

Цитата: AnrDaemon от 21 Октября 2016, 21:19:23

Откуда письмо отправили? Может, у вас опен релей?

Проверял,вроде нет!
http://www.test-smtp.com

Фигачат только два адреса

Цитировать

Код: [Выделить]
Oct 21 21:12:04 mail postfix/anvil[30014]: statistics: max connection rate 10/60s for (smtp:89.111.178.67) at Oct 21 21:03:14 Oct 21 21:12:04 mail postfix/anvil[30014]: statistics: max connection count 1 for (smtp:61.178.63.245) at Oct 21 21:02:55 Oct 21 21:12:04 mail postfix/anvil[30014]: statistics: max cache size 4 at Oct 21 21:03:45 Oct 21 21:12:11 mail postfix/smtpd[11816]: warning: 190.228.29.221: hostname mx29221.godns.net verification failed: Name or service not known Oct 21 21:12:11 mail postfix/smtpd[11816]: connect from unknown[190.228.29.221] Oct 21 21:12:14 mail postfix/smtpd[11816]: D739AD4F751: client=unknown[190.228.29.221], sasl_method=LOGIN, sasl_username=user1@domen.ru Oct 21 21:12:15 mail postfix/cleanup[11385]: D739AD4F751: message-id=<f6cb917e314fcc1dae96c40a80c71117@paradigmadesarrollos.com> Oct 21 21:12:15 mail postfix/qmgr[29995]: D739AD4F751: from=<user2@domen.ru>, size=1490, nrcpt=1 (queue active) Oct 21 21:12:15 mail postfix/pickup[12001]: CA995D4F753: uid=10134 from=<user2@domen.ru> Oct 21 21:12:15 mail postfix/pipe[11984]: D739AD4F751: to=<shaban_omr@hotmail.com>, relay=autoresponder, delay=1.2, delays=1.2/0/0/0.04, dsn=2.0.0, status=sent (delivered via autoresponder service) Oct 21 21:12:15 mail postfix/qmgr[29995]: D739AD4F751: removed Oct 21 21:12:15 mail postfix/cleanup[11767]: CA995D4F753: message-id=<f6cb917e314fcc1dae96c40a80c71117@paradigmadesarrollos.com> Oct 21 21:12:15 mail postfix/qmgr[29995]: CA995D4F753: from=<user2@domen.ru>, size=1602, nrcpt=1 (queue active) Oct 21 21:12:15 mail postfix/error[12100]: CA995D4F753: to=<shaban_omr@hotmail.com>, relay=none, delay=0.1, delays=0.07/0/0/0.03, dsn=4.4.2, status=deferred (delivery temporarily suspended: lost connection with mx1.hotmail.com[65.55.33.119] while sending RCPT TO) Oct 21 21:12:16 mail postfix/smtpd[11816]: disconnect from unknown[190.228.29.221] Oct 21 21:12:16 mail postfix/smtpd[12014]: warning: 190.228.29.221: hostname mx29221.godns.net verification failed: Name or service not known Oct 21 21:12:16 mail postfix/smtpd[12014]: connect from unknown[190.228.29.221] Oct 21 21:12:20 mail postfix/smtpd[12014]: 57A15D4F752: client=unknown[190.228.29.221], sasl_method=LOGIN, sasl_username=user1@domen.ru Oct 21 21:12:21 mail postfix/cleanup[11385]: 57A15D4F752: message-id=<450521f25ff3e1638c55d304ae8fbbcf@paradigmadesarrollos.com> Oct 21 21:12:21 mail postfix/qmgr[29995]: 57A15D4F752: from=<user2@domen.ru>, size=1506, nrcpt=1 (queue active) Oct 21 21:12:21 mail postfix/pickup[12001]: 47643D4F78B: uid=10134 from=<user2@domen.ru> Oct 21 21:12:21 mail postfix/pipe[11984]: 57A15D4F752: to=<marks192192192@gmail.com>, relay=autoresponder, delay=1.2, delays=1.2/0/0/0.03, dsn=2.0.0, status=sent (delivered via autoresponde r service) Oct 21 21:12:21 mail postfix/qmgr[29995]: 57A15D4F752: removed Oct 21 21:12:21 mail postfix/cleanup[11767]: 47643D4F78B: message-id=<450521f25ff3e1638c55d304ae8fbbcf@paradigmadesarrollos.com> Oct 21 21:12:21 mail postfix/qmgr[29995]: 47643D4F78B: from=<user2@domen.ru>, size=1618, nrcpt=1 (queue active) Oct 21 21:12:21 mail postfix/smtpd[12014]: disconnect from unknown[190.228.29.221] Oct 21 21:12:21 mail postfix/smtp[12104]: 47643D4F78B: to=<marks192192192@gmail.com>, relay=gmail-smtp-in.l.google.com[64.233.165.27]:25, delay=0.52, delays=0.04/0/0.09/0.39, dsn=2.0.0, sta tus=sent (250 2.0.0 OK 1477073541 y84si1771771lfa.69 - gsmtp) Oct 21 21:12:21 mail postfix/qmgr[29995]: 47643D4F78B: removed Oct 21 21:12:22 mail postfix/smtpd[11816]: warning: 190.228.29.221: hostname mx29221.godns.net verification failed: Name or service not known Oct 21 21:12:22 mail postfix/smtpd[11816]: connect from unknown[190.228.29.221] Oct 21 21:12:25 mail postfix/smtpd[11816]: 079C1D4F752: client=unknown[190.228.29.221], sasl_method=LOGIN, sasl_username=user1@domen.ru Oct 21 21:12:25 mail postfix/cleanup[11385]: 079C1D4F752: message-id=<765c4cac7d947add0b9144ca08c366d7@paradigmadesarrollos.com> Oct 21 21:12:25 mail postfix/qmgr[29995]: 079C1D4F752: from=<user2@domen.ru>, size=1492, nrcpt=1 (queue active) Oct 21 21:12:25 mail postfix/pickup[12001]: EC4F4D4F78B: uid=10134 from=<user2@domen.ru> Oct 21 21:12:25 mail postfix/pipe[11984]: 079C1D4F752: to=<blckpssn2@aol.com>, relay=autoresponder, delay=1.2, delays=1.2/0/0/0.04, dsn=2.0.0, status=sent (delivered via autoresponder servi ce) Oct 21 21:12:25 mail postfix/qmgr[29995]: 079C1D4F752: removed Oct 21 21:12:25 mail postfix/cleanup[11767]: EC4F4D4F78B: message-id=<765c4cac7d947add0b9144ca08c366d7@paradigmadesarrollos.com> Oct 21 21:12:25 mail postfix/qmgr[29995]: EC4F4D4F78B: from=<user2@domen.ru>, size=1604, nrcpt=1 (queue active) Oct 21 21:12:26 mail postfix/error[12097]: EC4F4D4F78B: to=<blckpssn2@aol.com>, relay=none, delay=0.07, delays=0.05/0/0/0.02, dsn=4.7.1, status=deferred (delivery temporarily suspended: hos t mailin-01.mx.aol.com[64.12.88.132] refused to talk to me: 421 4.7.1 : (DYN:T1) https://postmaster.aol.com/error-codes#421dynt1) Oct 21 21:12:26 mail postfix/smtpd[11816]: disconnect from unknown[190.228.29.221] Oct 21 21:12:26 mail postfix/smtpd[12014]: warning: 190.228.29.221: hostname mx29221.godns.net verification failed: Name or service not known Oct 21 21:12:26 mail postfix/smtpd[12014]: connect from unknown[190.228.29.221]

Karl500 · « **Ответ #6 :** 21 Октября 2016, 21:25:10 »

Цитировать

Received: from allcarecyd.com (webhost.t3ga.com [192.163.24.76])
(Authenticated sender: user1@doman.ru)

Это, скорее всего, означает, что указанный пользователь скомпрометирован...

UPD: и лог о том же говорит:

Код: [Выделить]

Oct 21 21:12:14 mail postfix/smtpd[11816]: D739AD4F751: client=unknown[190.228.29.221], sasl_method=LOGIN, sasl_username=user1@domen.ru

djrust · « **Ответ #7 :** 21 Октября 2016, 21:27:07 »

Цитата: Karl500 от 21 Октября 2016, 21:25:10

Это, скорее всего, означает, что указанный пользователь скомпрометирован...

Не удивительно,если очередь за час забивается 500та письмами)))

Karl500 · « **Ответ #8 :** 21 Октября 2016, 21:28:42 »

"скомпрометирован" - это значит, что с точки зрения сервера, это вполне легитимные письма: "утек" пароль пользователя.

djrust · « **Ответ #9 :** 21 Октября 2016, 21:29:24 »

Цитата: Karl500 от 21 Октября 2016, 21:28:42

"скомпрометирован" - это значит, что с точки зрения сервера, это вполне легитимные письма: "утек" пароль пользователя.

Я их удалил совсем))))А он все равно фигачит
первым делом менял пароль....

Как найти дырку? или скрипт?

Karl500 · « **Ответ #10 :** 21 Октября 2016, 21:31:00 »

Что значит "фигачит"? Очередь очистили?

djrust · « **Ответ #11 :** 21 Октября 2016, 21:34:43 »

Что делал:
Увидел большую очередь командой postqueue -p . Сейчас она у меня

Код: [Выделить]

root@mail:/etc/postfix#  mailq | grep Request
-- 225 Kbytes in 123 Requests.

Потом удаляю postsuper -d ALL. Перезапускаю сервис

"Фигачит",непрерывно отправляет - в минуту по два письма.

Сейчас уже так

Код: [Выделить]

root@mail:/etc/postfix#  mailq | grep Request
-- 234 Kbytes in 129 Requests.

Я даже web-server(apache2) остановил,результат тот же

Я просто думаю,что скрипт на самом сервере установлен. А не извне по паролю рассылают

Хмммм...закрыл 25 порт из вне ,спамить перестало

Открыл снова,полет нормальный...Буду смотреть

AnrDaemon · « **Ответ #12 :** 21 Октября 2016, 22:15:20 »

Не надо думать! (Нет, думать, конечно, надо, но только после того, как все исходные данные перепроверены!)
Надо читать логи. В логах у тебя явно написано, что отправка происходит под именем конкретного пользователя с внешнего адреса.
Т.е. пользователь куда-то слил свой пароль. Например, в какой-то кафешке на вебморду заходил, либо вирусню подцепил.

Karl500 · « **Ответ #13 :** 21 Октября 2016, 22:53:36 »

либо его тупо брутфорснули, либо попался на какую-то разводку (типа "ваша квота исчерпана, чтобы увеличить квоту - перейдите по ссылке", а там - ввод логина и пароля). Куча вариантов, на самом деле.

djrust · « **Ответ #14 :** 21 Октября 2016, 23:53:11 »

Цитата: AnrDaemon от 21 Октября 2016, 22:15:20

Т.е. пользователь куда-то слил свой пароль. Например, в какой-то кафешке на вебморду заходил, либо вирусню подцепил.

Это все так...
Не понятно было почему смена пароля не помогла и удаление этих пользователей...
Надо опять их создать и посмотреть...

Цитировать

В логах у тебя явно написано, что отправка происходит под именем конкретного пользователя с внешнего адреса

Я этого прочитать не смог((((К сожалению...

Цитировать

Oct 21 21:12:14 mail postfix/smtpd[11816]: D739AD4F751: client=unknown[190.228.29.221], sasl_method=LOGIN, sasl_username=user1@domen.ru

Хотя да....

Цитата: Karl500 от 21 Октября 2016, 22:53:36

либо его тупо брутфорснули, либо попался на какую-то разводку (типа "ваша квота исчерпана, чтобы увеличить квоту - перейдите по ссылке", а там - ввод логина и пароля). Куча вариантов, на самом деле.

Это пользователь розничного магазина.Не исключаю,что где то у них вирусня...

Форум русскоязычного сообщества Ubuntu

Автор Тема: Сервер рассылает спам с определенных адресов! (Прочитано 1194 раз)

djrust

Сервер рассылает спам с определенных адресов!

victor00000

Re: Сервер рассылает спам с определенных адресов!

djrust

Re: Сервер рассылает спам с определенных адресов!

victor00000

Re: Сервер рассылает спам с определенных адресов!

AnrDaemon

Re: Сервер рассылает спам с определенных адресов!

djrust

Re: Сервер рассылает спам с определенных адресов!

Karl500

Re: Сервер рассылает спам с определенных адресов!

djrust

Re: Сервер рассылает спам с определенных адресов!

Karl500

Re: Сервер рассылает спам с определенных адресов!

djrust

Re: Сервер рассылает спам с определенных адресов!

Karl500

Re: Сервер рассылает спам с определенных адресов!

djrust

Re: Сервер рассылает спам с определенных адресов!

AnrDaemon

Re: Сервер рассылает спам с определенных адресов!

Karl500

Re: Сервер рассылает спам с определенных адресов!

djrust

Re: Сервер рассылает спам с определенных адресов!