Exim "op hol"

[brinkie]

Hoi,

vraag... op één van mijn servers lijkt Exim af en toe behoorlijk op hol te gaan en een -verhoudingsgewijs- overmatige serverload is het gevolg hiervan. Op dit moment heb ik PRM ingesteld op het afschieten van Exim-processen zodra het aantal > 35 is om te voorkomen dat het uit de klauw loopt. Er waren momenten dat er gewoon 80, 90 processen liepen.. Op een andere server, met veel meer clienten gehost, heb ik dit probleem niet. De servers zijn identiek qua configuratie (op wat MySQL-tweaks na).

In de logs is het enige wat mij opvalt de stevige lading (bounce)spam die gestuurd wordt naar een aantal (vermeende) "catch-all" adressen (via DirectAdmin ingesteld dat ze allemaal naar de ::blackhole:: gaan). Dat was echter op die server al een tijdje zo. Het lijkt er op dat er (een paar) spammers actief zijn die als return-adres fake mailadressen gebruiken waardoor er dus vrij veel 'return-mail' komt op die domeinen.

Ik heb eerder een soortgelijk probleem gehad, maar toen was het te relateren aan een lek php-script op één bepaalde site. Na installatie van mod_secure op de servers zijn dat soort problemen verdwenen.

Weet niet of het gewenst is hier een gedeeltelijke log te plaatsen, in elk geval kan ik voor de liefhebber eventueel stukken logfile sturen?

Iemand een suggestie in welke richting ik het zou moeten zoeken? Iemand dit eerder gezien of meegemaakt?

[remotehands]

Log mail via PHP naar Exim:
http://wiredgorilla.com/main/modules.php?name=News&file=article&sid=292&mode=thread&order=0&thold=0
(geeft datum + volledig pad naar php-file die een e-mail stuurt)

Bij lekke scripts zie je vaak:
/home/httpd/vhosts/site.nl/httpdocs/map1/
Dan weet je het soms snel al, een script met een lek-include systeem is het vaak. Bij ?page= systemen doe je bijvoorbeeld.

tail access_log | grep `page=`
Zie je weleens:
?page=http://www.geocities.com/blabla/spamfile.txt

En in dit .txt-bestand staat vaak mailbomb/spam-code.

Hoeveel MB is je Exim queue/wachtrij? du -h /var/spool/exim/input

[brinkie]

De queue is 81 Mb... De rest zal ik morgen verder naar kijken.
Lijkt mij behoorlijk hoog.. Op de andere server, ter vergelijk, 35 Mb.


Log mail via PHP naar Exim:
http://wiredgorilla.com/main/modules.php?name=News&file=article&sid=292&mode=thread&order=0&thold=0
(geeft datum + volledig pad naar php-file die een e-mail stuurt)


Oke, ik heb dus inmiddels de nodige tijd besteed.. maar de spam_log blijft leeg, ik vind geen lekke scripts.. En Exim heeft enorm veel processen lopen:


exim (pid 18532 18533 18595 18697 18763 18772 18975 19045 19056 19103 19108 19110 19327 19331 19412 19449 19501 19556 19734 24020 24233 24256 24260 24278 24288 24339 24366 24410 24440 24442 24506 24550 24602 24611 24617 24649 24652 24735 24737 24740 24741 24742 24744 24766 24767 24812 24814 24827 24829 24832 24834 24835 24836 )

Normaliter zie/zag ik er slechts maximaal een 9 á 10 stuks op deze server. Op m'n andere server begint het probleem nu ook al te komen :eek: ik wordt hier echt helemaal leip van...

De serverload is niet zorgwekkend op dit moment, maar loopt soms op tot >5 en dat zie ik normaliter ook nooit, meestal is het < 1.00


top - 17:28:52 up 2:11, 1 user, load average: 0.14, 0.21, 0.16
Tasks: 93 total, 2 running, 91 sleeping, 0 stopped, 0 zombie
Cpu(s): 0.7% us, 2.0% sy, 0.0% ni, 92.7% id, 4.6% wa, 0.0% hi, 0.0% si
Mem: 1027148k total, 522952k used, 504196k free, 47612k buffers
Swap: 2096472k total, 0k used, 2096472k free, 268096k cached


Iemand nog suggesties? Want het wil er bij mij niet in dat er plotseling zoveel meer mail verwerkt moet worden, zonder aanwijsbare reden.. (bijv. doordat er opeens heel veel users bij zouden zijn gekomen).

Update: helaas is de oplossing die op WiredGorrilla stond niet zo'n goede. Mail ging gewoon door, maar bijv. m'n forum knalde er op want die kon geen mailberichten meer sturen wanneer mensen zich abboneerden op een antwoord.

[snaaps]

bovenstaande optie werkt niet omdat DA geen gebruik maakt van sendmail!

[brinkie]

bovenstaande optie werkt niet omdat DA geen gebruik maakt van sendmail!

Daar was ik inmiddels achter.

Ik heb urenlang, optisch, de server gemonitored. Een aantal gebruikers gevonden die spamassasin icm. hun email/catch all instellingen verkeerd hadden staan (loop!), daarnaast catch-all uitgezet bij een aantal gebruikers (die het toch alleen maar lieten 'afvangen' om vervolgens te deleten..) en tevens in de Exim config wat aanpassingen gedaan. Daarmee lijkt het probleem enigzins onder controle te komen. Helaas blijft er nog steeds veel (duizenden log-entries per uur) spam binnenkomen. Daar doe je verder echter niets tegen.. :mad:

Wat ik overigens zie in de logs is dat er ontzettend, echt gruwelijk veel, connecties worden gemaakt c.q. pogingen ertoe en/of mail verzonden wordt vanaf allerlei breedband verbindingen. Blijkbaar zijn er honderduizenden knurften op deze wereld waarvan de PC is geinfecteerd en als open relay dienen voor spammers. Wat er bij mij niet in wil is dat ISP's daar niet eens wat meer zouden tegen kunnen doen.

[Dillard]

Kijk eens met 'exiwhat' hoeveel en wat voor exim-processen er lopen als de server wegloopt.

[brinkie]

Bedankt voor de reacties zover. Wegens enorme drukte kan ik nauwelijks tijd vinden om te reageren..