Onderwerp: Spam via mijn server, wat te doen?

Ik heb al een dag lang last van iemand die spam via mijn server verzend. Nu kom ik er maar niet achter waar het precies zit en mijn vraag is dus nu welke stappen ik moet volgen om de server dicht te timmeren zodat er niet meer spam uitgaat zeg maar.

Ik heb sendmail uitgeschakeld.
De ip adressen die ik via OSSEC HIDS binnen kreeg als warnings toegevoegd aan de hosts.deny lijst.

Volgens mij gaat er nu niets meer uit, of kan dat nog steeds?

Ik heb nog wel veel dan deze regels in de maillog:
postfix/smtp[22256]: C39961003F16: to=<kevinboomartin@aol.com>, relay=mailin-04.mx.aol.com[64.12.138.88], delay=37183, status=deferred (host mailin-04.mx.aol.com[64.12.138.88] said: 421-: (DYN:T1) http://postmaster.info.aol.com/errors/421dynt1.html 421 SERVICE NOT AVAILABLE (in reply to end of DATA command))

Weet niet precies wat deze regel betekend, maar ben een beetje ten einde raad. Dus hoop dat iemand mij hier verder kan helpen?

Je kan eenvoudig checken of je mailserver nog mail accepteerd van niet ge-authoriseerde hosts dmv http://www.abuse.net/relay.html of een van de vele andere open relay testers.

Je kan natuurlijk ook ff telnetten naar je eigen smtp server en mail proberen te sturen naar willekeurige domeinen.

Je moet iig zorgen dat je mailserver alleen mail accepteerd van de door jou opgegeven domeinen, maar das vrij logisch... toch?

Dit heb ik al gechecked en dat gaat allemaal goed zonder fouten.

Ik denk dus dat er ergens een lek in een php pagina zit die misbruikt wordt. Maar hoe kom je erachter in welke pagina dat zit. Is daar een script voor, of kan dit op een andere manier gecontroleerd worden?

Als je er voor gezorgt hebt dat alle webpagina's onder een verschillend userid draaien, kun je zien welke user het verstuurd heeft. In alle andere gevallen kun je dus in ieder geval zien dat het door de user waar apache onder draait verstuurd wordt. (Bij debian www-data).

Verder geef je overigens aan sendmail gestopt te hebben. Echter laat je vervolgens een log regel zien van Postfix :S

Ook als postfix gestopt is, kun je de queue bekijken met het commando mailq. Waarschijnlijk staat er nog wel een berg in de queue. Als alles wat daar in staat spam is, kun je je hele queue leeg gooien met 'postsuper -d ALL'

Met Exim heb je de mogelijkheid om exim.conf uit te breiden met zoiets als "log_selector = +all" waarmee je o.a. in maillog het volgende kan terughalen:

X-Source: /bin/sh
X-Source-Args: sh -c /usr/sbin/sendmail -t -i
X-Source-Dir: domein.ext:/public_html

Je kan daarmee achterhalen waar het lekke script staat. (Niet altijd mogelijk overigens)
Ik weet niet of die optie bestaat voor Postfix?

Die X-source is precies wat ik moet hebben ja. Alleen is dat er bij mij op te zetten door een patch (van Wido PCextreme) te draaien. Echter is de uitleg voor Debian/Ubuntu en werk ik met CentOS en krijg ik het niet voor elkaar .

Ik ga in ieder geval even zoeken of dat ook bij Postfix mogelijk is.

Ik heb dit niet gevonden voor Postfix. Iemand misschien nog een andere mogelijkheid om dit te doen?

Jorem, neem ff via pm contact met me op, ik wil wel ff naar je server kijken als je wilt?

Bedankt VinceSTM. Ben nu zelf alle mailformulieren al aan het controleren. Mocht ik daar niks in vinden dan neem ik meteen contact met je op.

Controleer de logfiles van alle domeinnamen. Als bepaalde pagina's veel worden opgevraagd (.php, .pl of .cgi) dan weet je wat het probleem is.

In je php.ini je sendmail vervangen door dit:

www leetmimic.nl/sendmail.phps

En dan zorgen dat de paden kloppen, dan zie aan de hand van de gelogde mailinhoud welke site loopt te spammen.

Oorspronkelijk geplaatst door Jorem

Ik heb dit niet gevonden voor Postfix. Iemand misschien nog een andere mogelijkheid om dit te doen?

Apache module server-status (http://<server>/server-status/) wil ook wel eens helpen bij het vinden van de schuldige. Veel dezelfde requests die open blijven staan duiden meestal op heftig gebruik van een script/pagina.

De module dient meestal nog wel geconfigureerd te worden in de httpd.conf en in een virtualhost.

httpd.conf:
LoadModule status_module libexec/mod_status.so
ExtendedStatus On

virtualhost:
<Location /server-status>
SetHandler server-status
</Location>

Het is verstandig niet iedereen toegang tot deze pagina te geven.

Ik had sinds een paar dagen een zelfde probleem. Het bleek dat een script dat veel gebruikt wordt door GAMERS misbruikt werd als spamscript.

Kijk eens op je VWAR ergens vind in een van de domeinen.

Ik heb zowel het mailscript als ook een uitgaand bericht onderschept waaruit een en ander is gebleken

pcextreme heeft hiervoor nu een patch draaien waar je allerlij info inziet als hij de mail verstuurd zo ook van welk php scriptje het komt

Ik zoek eigenlijk een programma waarmee ik kan zien wel script gebruikt wordt om mail (spam) te verzenden op een windowsserver. Zoals al aangegeven heb ik ook diverse prolemen gehad met bijvoorbeeld VWAR dat gebruikt werd om spam te verzenden. Hier ben ik achter kunnen komen door lang te zoeken.