Bekijk Volledige Versie : Warning: X emails have been sent yesterday by USER
Drumstick_nl
05/12/11, 10:39
Vanaf vrijdag krijg ik al e-mails een server van ons waar (Centos5)directadmin opdraait.
De melding is Warning: X emails have been sent yesterday by USER
Nu heb ik deze gebruiker al verwijderd en opnieuw aangemaakt, met een ander accountnaam. Alleen blijf dit account veel e-mails versturen. Maar er draait een website op.
Nu heb ik de server al geupdate en het root account gewijzigd. Alleen blijf er emails de deur uitgaan via dat account.
Iemand nog tips wat ik nog kan doen?
Iemand nog tips wat ik nog kan doen?
...kijken welk script dit verstuurd.
Drumstick_nl
05/12/11, 11:14
Script kan ik niet achterhalen. Er draait ook geen site nu op.
Logs ja daar wordt ik niet wijzer van.
Yourwebhoster
05/12/11, 11:26
Script kan ik niet achterhalen. Er draait ook geen site nu op.
Logs ja daar wordt ik niet wijzer van.
Als de e-mails in de log /var/log/exim/mainlog F=<gebruikersnaam@servernaam.tld> heeft dan komt dit vrijwel zeker van de webserver. Heeft ie dit niet dan kan je zien welk e-mail account het veroorzaakt, de afzender van de vele e-mails is het e-mail account die in DirectAdmin staat. Je zou het wachtwoord kunnen wijzigen indien dit niet opzettelijk is.
Script kan ik niet achterhalen. Er draait ook geen site nu op.
Logs ja daar wordt ik niet wijzer van.
Ook al eens gedacht aan shell scripts?
doe eens cat /var/log/exim/mainlog | grep <gebruikersnaam>
Als daar jouw servernaam bij staat zoals Yourwebhoster zegt dan weet je dat het sowieso van de server af komt. Daarna kan je kijken als PHP de dader is (in /var/log/httpd/domains/).
Drumstick_nl
05/12/11, 12:21
In de logs op de server kom ik het volgende tegen w00tw00t.at.ISC.SANS.DFind
Zal daar wat mee te maken hebben?
Yourwebhoster
05/12/11, 12:24
http://bit.ly/vXCi2C
Je zit in de apache logs te kijken en niet die van exim.
Drumstick_nl
05/12/11, 12:30
Ik heb de logs van de exim ook bekeken. De emails komen van mijn server.
Toen ging ik verder kijken toen kwam ik w00tw00t.at.ISC.SANS.DFind tegen
Ik ga nog even verder uitzoeken wat w00tw00t.at.ISC.SANS.DFind precies is.
Ik heb dit laatst bij een OScommerce shop gehad. Bleek toen dat de title tag van de default index.html herschreven was en extern een stuk java ophaalde. Misschien dat je dat is zou kunnen nakijken.
Drumstick_nl
05/12/11, 14:12
Ik heb dit laatst bij een OScommerce shop gehad. Bleek toen dat de title tag van de default index.html herschreven was en extern een stuk java ophaalde. Misschien dat je dat is zou kunnen nakijken.
Er heeft een webwinkel opgedraaid. Maar deze wordt niet meer gebruikt. Dus ik heb hem een nieuwe account voor de site aangemaakt. De oude verwijderd. Maar toch blijft er spam verstuurd worden.
Het is nog niet opgelost.
Yourwebhoster
05/12/11, 14:13
Er heeft een webwinkel opgedraaid. Maar deze wordt niet meer gebruikt. Dus ik heb hem een nieuwe account voor de site aangemaakt. De oude verwijderd. Maar toch blijft er spam verstuurd worden.
Het is nog niet opgelost.
je hebt een nieuwe account met precies dezelfde data/websites en e-mail accounts met dezelfde wachtwoorden aangemaakt?
Drumstick_nl
05/12/11, 14:15
je hebt een nieuwe account met precies dezelfde data/websites en e-mail accounts met dezelfde wachtwoorden aangemaakt?
Ik heb het account verwijderd. Nieuw account aangemaakt niet deze zelfde naam gebruikt. Data heb ik niet terug gezet, de mail gebruikte ze niet.
Dan zal je moeten zoeken via welke (andere) weg dit account gebruikt wordt / toegang tot is verkregen.
Yourwebhoster
05/12/11, 14:20
Met het DA account zelf kan je ook e-mails versturen, dus als je daarmee gaat inloggen met bijvb roundcube dan kan dat ook. In de logs zou je ook de onderwerpen van de e-mails moeten kunnen vinden, wat zijn deze?
Drumstick_nl
05/12/11, 14:40
Emailaccount is leeg. Maar de mails worden verstuurd onder het oude account @domeinnaam.nl Deze mailbox bestaat niet meer.
Die hoeft niet te bestaan als het via een lek script verzonden wordt.
Ga eens naar je exim.conf onder LOG_SELECTOR en voeg het volgende toe voor zover nog niet aanwezig:
+arguments \
+subject \
+received_recipients \
Misschien dat je dan wat beter in je exim.log kunt terugvinden welk stukje script precies het euvel veroorzaakt.
Drumstick_nl
05/12/11, 18:44
Die hoeft niet te bestaan als het via een lek script verzonden wordt.
Ga eens naar je exim.conf onder LOG_SELECTOR en voeg het volgende toe voor zover nog niet aanwezig:
+arguments \
+subject \
+received_recipients \
Misschien dat je dan wat beter in je exim.log kunt terugvinden welk stukje script precies het euvel veroorzaakt.
+arguments \ stond er nog niet tussen.
Deze heb ik toevoegd.
Het lijkt er op dat het nu is opgelost.
Iedereen bedankt voor jullie hulp
Dat +arguments zal het probleem niet oplossen, maar het zal je helpen te bepalen welk script lek is.
In de headers krijg je namelijk een regel X-PHP-Script: etc. Daarin staat dan welke script of in elk geval welke directory bezig is met het versturen van de mails.
Drumstick_nl
06/12/11, 18:25
Dat +arguments zal het probleem niet oplossen, maar het zal je helpen te bepalen welk script lek is.
In de headers krijg je namelijk een regel X-PHP-Script: etc. Daarin staat dan welke script of in elk geval welke directory bezig is met het versturen van de mails.
Gister zag ik dit ook staan X-PHP-Script: www.domein.nl/admin/backups/zbbs.php for IP
Alleen kwam ik er ook achter dat dit 1 december verstuurd was. Dus het had even de tijd om door exim te verwerken denk ik. Maar alles draait nu weer goed.
Yourwebhoster
06/12/11, 18:40
Gister zag ik dit ook staan X-PHP-Script: www.domein.nl/admin/backups/zbbs.php for IP
Alleen kwam ik er ook achter dat dit 1 december verstuurd was. Dus het had even de tijd om door exim te verwerken denk ik. Maar alles draait nu weer goed.
Dan zal het waarschijnlijk in je exim queue gestaan hebben, ofwel Mail Queue Administration in DirectAdmin.