Bekijk Volledige Versie : Spam versturen
Ik krijg het idee vanuit logboeken dat mijn directadmin centos server spam verstuurd.
Is het mogelijk om te zien hoe dit verstuurd word? via een bepaald smtp account, of dat iets zich op de server heeft genesteld.
Hoe kan ik dit het beste oplossen ?
Mvg Leon de Vries
Je zou blacklists eens kunnen checken (bv. http://www.mxtoolbox.com/blacklists.aspx)
Kijk ook eens naar rare services/scripst wat lopen e.d.
Wat je kan doen is de mail queue checken. Als er spam wordt verstuurd staat deze meestal propvol. Daarnaast kun je een limit instellen per account, check de kb van DA hiervoor: http://help.directadmin.com/item.php?id=81.
De mail que staat inderdaad veeel te vol,
is paar honderd mb, dat kan nooit.
Wat kan ik nu gaan doen, zal er waarschijnlijk een rare service lopen op mijn server, of zal iemand een virus op zijn pc hebben die mail verstuurd.
Je zou ook even het volgende kunnen doen om te zien wat je exim aan het doen is:
cd /var/log/exim
eximstats mainlog > stats.txt
less stats.txt
Als je queue volstaat, kun je vaak inderdaad ook via de Directadmin panel zelf even in de mailqueue kijken welk domein veel voorkomt.
De mail que staat inderdaad veeel te vol,
is paar honderd mb, dat kan nooit.
Wat kan ik nu gaan doen, zal er waarschijnlijk een rare service lopen op mijn server, of zal iemand een virus op zijn pc hebben die mail verstuurd.
Is meestal een email form of scriptlek op een website die op de server staat en een spamrun veroorzaakt. Hier de KB van DA om de mail queue te legen: http://help.directadmin.com/item.php?id=112
Thunderbite
11/01/10, 19:55
cd /var/log/exim
eximstats mainlog > stats.txt
less stats.txt
Beetje of topic maar is er een manier om die stats gemaild te krijgen elke n8? Best interessant om in de gaten te houden.
Thanks,
Mark
Beetje of topic maar is er een manier om die stats gemaild te krijgen elke n8? Best interessant om in de gaten te houden.
Thanks,
Mark
Dit kun je doen door middel van logwatch.
Centos / redhad
yum install logwatch
Debian / ubuntu
apt-get install logwatch
Vergeet dan niet de config aan te passen, zodat die de stats log van exim meeneemt.
Beetje of topic maar is er een manier om die stats gemaild te krijgen elke n8? Best interessant om in de gaten te houden.
Thanks,
Mark
Is vast wel iets voor te scripten :)
@TS je kunt ook even kijken of er veel FTP connecties zijn van verschillende IP adressen. Het is op dit moment namelijk de mode om via gehackte FTP accounts (doordat de gebruiker een backdoor op zijn server heeft) index files van domeinen te voorzien van een IFRAME.
De nieuwste trend is dan ook dat er een perl script wordt geladen die eventjes draait om zo te kunnen spammen. Daarna wordt het verwijderd. Hou je logs dus even in de gaten
De mail que, stond bomvol die heb ik nu geleegd, maar nu moet ik de oorzaak nog vinden.
Is er een mogelijkheid om het directadmin account te achterhalen ?
En om te kijken of die dmv een php scriptje gaat of dmv de smtp server en een virus ?
Jullie hebben me erg geholpen tot nu toe!.
Ik heb eerst exim maar even afgesloten, want spam versturen is niet echt mijn bedoeling
Groeten Leon
De mail que, stond bomvol die heb ik nu geleegd, maar nu moet ik de oorzaak nog vinden.
Is er een mogelijkheid om het directadmin account te achterhalen ?
En om te kijken of die dmv een php scriptje gaat of dmv de smtp server en een virus ?
Jullie hebben me erg geholpen tot nu toe!.
Ik heb eerst exim maar even afgesloten, want spam versturen is niet echt mijn bedoeling
Groeten Leon
Exim start standaard automatisch weer op in DA ;) Tenzij je dat hebt uitgeschakeld.
Had je bovenstaande al geprobeerd om het te achterhalen?
Als je hulp nodig hebt, mag je wel een PM sturen eventueel.
Daarnaast kun je een limit instellen per account,
Hoe doe je dat Milan?
Deze instelling is toch serverwide, en de limit in /etc/virtual/limit geldt dan toch voor iedere gebruiker, en niet dat je voor iedere gebruiker een aparte limit in kunt stellen?
cPanel heeft deze functie wel, DA toch niet?
Ik heb de stat.txt die ik genereerd heb even geupload op een andere server:
http://www.bestandenversturen.com/stats.txt (is behoorlijk groot, let op) (hij is nog bezig met uploaden)
Ik heb de mail que leeg gehaald, en ik ga nu proberen om even de inlog ip's van ftp accounts te vinden.
Draaien er ook gekke perl scripts trouwens?
Ik kan niks vinden, ik heb met ps naar de draaiende services gekeken, maar hoe kan ik naar draaiende perl scripts kijken ? ps. het stats.txt bestand is geupload.
Verder heb ik in de proftpd log bestanden niks merkwaardigs gevonden (er stond ook amper wat in)
Top 50 sending hosts by message count
-------------------------------------
Messages Bytes Average Sending host
11110 46MB 4341 local
Ziet er naar uit dat er iets lokaal verstuurd voor zover ik kan zien.
Dat zou dus een perl script oid kunnen zijn.
Controleer dus even op gekke logins via ftp oid.
Eventueel zou je de localhost kunnen verwijderen uit de RELAY_HOSTS file. Maar probeer het eerst te vinden.
Localhost verwijderen zou niet de beste optie zijn, aangezien php dan ook geen mail meer kan versturen neem ik aan?
Tevens zie ik helemaal geen rare logins via ftp, en ik kan verder geen draaiende perl scripts vinden, misschien nog tips hoe ik deze kan vinden ? Ik weet alleen hoe ik dmv ls de draaiende proccessen kan laten zien.
Groeten Leon
Bedankt voor de hulp!
Hoe doe je dat Milan?
Deze instelling is toch serverwide, en de limit in /etc/virtual/limit geldt dan toch voor iedere gebruiker, en niet dat je voor iedere gebruiker een aparte limit in kunt stellen?
cPanel heeft deze functie wel, DA toch niet?
Daar bedoel ik een limit van bijvoorbeeld 200 mails per account. Niet dat het per account nog eens apart is in te stellen.
In de httpd log's (die ik trouwens ook aardig klein vind, ) kan ik ook geen vele aanroepen van een php script vinden die het zou kunnen veroorzaken.
Iemand nog ideen om het probleem te achterhalen?
Heb je je exim ook aangepast dat de script die het verstuurd heeft in de header opneemt?
Localhost is alleen lastig achterhalen hoor. Dat kan zoveel zijn helaas.
Welke ftp log kijk je in trouwens?
Ik bekijk de ftp log via dit:
/var/log/proftpd
Ik heb exim nog niet aangepast, dat stond achter de zelfde link waarin stond hoe ik de que kon legen ?
Beetje of topic maar is er een manier om die stats gemaild te krijgen elke n8? Best interessant om in de gaten te houden.
Thanks,
Mark
Kijk eens in /etc/cron.daily/exim daarin staat een voorbeeld (In ieder geval als je Debian gebruikt).
Je kunt in je exim.conf even in de LOG_SELECTOR het volgende toevoegen:
+arguments \
+subject \
+received_recipients \
Op die manier wordt er meer informatie aan een email meegestuurd. Waaronder bijvoorbeeld ook het script dat de mail verstuurd heeft.