spam via mailanable

[JanSmit]

Hoi allemaal,

ik heb een klein probleem met een spammer die via een domein op mijn server bulk spam verstuurd. Nu denk ik dat het een eigen domein is van mij, echter weet ik het niet zeker (zitten ook wat klantjes op). De zender van de berichten is namelijk mijn eigen mailadres en dus ontvang ik de mail notificaties indien een mailbox niet bereikt wordt. Ik heb al rondgekeken in de logs, maar nergens kan ik vinden waar dit vandaan komt. De logs vertellen me alleen dat het via mijn mailenable server gaat en dat ie het goed keurd. Op de server staat tevens plesk die de relay zo heeft ingesteld dat alleen geauthenticeerde gebruikers en de eigen server (127.0.0.0) mag versturen. Hierdoor neem ik dus aan dat het vanaf een domein op de server gaat. Er draaien veel joomla sites op en denk dat de spammer een gaatje heeft gevonden. Heel zeker weet ik dit niet want indien een mail verkeerd verstuurd wordt kan plesk ook mijn email adres gebruiken voor notificaties.

Iemand een idee hoe ik kan uitvinden welk domein deze mails verstuurd. Andere tips zijn ook welkom.

server wind. 2008
Plesk versie 9.2

Gr en alvast bedankt

JAn

[GlobalServe]

Check eens je php.ini, daar staat het reply adres wat moet worden gebruikt als een script mail verstuurd. Wanneer dit aan staat gaat het script de postmaster gebruiken van je mailenable.

Blokkeer even de smtp connector op 127.0.0.1, zo zal er geen spam meer worden verstuurd.

[JanSmit]

in de php.ini onder de windows map staat inderdaad mijn email adres. Als ik die daar weghaal (leeg maak dus) kan ik dan meer zien in de logs. Dus dat de sender een ander mailadres wordt?.

zou graag het domein aanpakken wat het verstuurd.

bedankt voor je reactie

gr

Jan

[GlobalServe]

Je moet die lijn commenten, dat deze niet wordt gebruikt.
Dan zal je eens in de log moeten gaan zien, welke application pool de mails naar mailenable stuurt. Zo kan je dan gaan zien welke website voor de spam zorgt.

[JanSmit]

Ok ga ik proberen. De spammer stuurd 1x perdag zo rond 2 uur in de middag de mails. Ik zie dus morgen pas welk domein het is. Laat het wel even weten of het gelukt is.

dank voor je berichtje en tips

Gr

Jan

[webstekker]

Soms geven die spammers geen afzender adres mee en wordt de algemene vanuit je php.ini gebruikt. Dan helpt dit truukje soms om de sitenaam in in het afzender adres te zetten:

1. Maak een bestand “prepend.php” aan binnen je php installatie map.
2. Zet de volgende code er in: “<?php ini_set('sendmail_from', 'php@' . $_SERVER['HTTP_HOST']); ?>”
3. Pas binnen je php.ini de “auto_prepend_file = ” aan naar “auto_prepend_file = C:\phpMapOpJeServer\prepend.php”.
4. Restart IIS (of de appPools).

Kijk daarna in de headers van een spambericht of er nu mogelijk een sitenaam als afzender staat. Als je de veroorzaker hebt gevonden kan je de “auto_prepend_file = ” weer terugzetten in de php.ini.

[pid]

** KNIP **

Ondanks dat ik niet de TS ben, hartelijk bedankt hiervoor.

Soms is het erg lastig te achterhalen waar SPAM vandaan komt, jou code-snippet heb ik in iedergeval opgeslagen!