Onderwerp: Spam problemen

Zo, mijn eerste bericht op webhostingtalk!

Ik heb al enige tijd een unmanaged dedicated server welke ik gebruik voor het hosten van mijn eigen projecten.
Ik kreeg enkele dagen geleden een abuse mail binnen dat mijn server spam stond te versturen, en ondertussen op verschillende blacklists is gekomen.

Nu ben ik dus op onderzoek uit gegaan, en het bleek dat mijn hele mail queue vol stond met berichten welke niet afgeleverd konden worden.
Hieronder een voorbeeld bericht:

Header:

Code:

1N4bUc-0004Cg-T5-H
mail 8 12
<>
1257085998 0
-ident mail
-received_protocol local
-body_linecount 34
-allow_unqualified_recipient
-allow_unqualified_sender
-frozen 1257086000
-localerror
XX
1
manigley@swissonline.ch

149P Received: from mail by mijnservernaam.nl with local (Exim 4.67)
	id 1N4bUc-0004Cg-T5
	for manigley@swissonline.ch; Sun, 01 Nov 2009 15:33:18 +0100
105  X-Failed-Recipients: jan_abdul@adni.net,
  jan_aberg@adni.net,
  jan_ahlen@adni.net,
  jan_alan@adni.net
029  Auto-Submitted: auto-replied
063F From: Mail Delivery System <Mailer-Daemon@mijnservernaam.nl>
028T To: manigley@swissonline.ch
059  Subject: Mail delivery failed: returning message to sender
052I Message-Id: <E1N4bUc-0004Cg-T5@mijnservernaam.nl>
038  Date: Sun, 01 Nov 2009 15:33:18 +0100

Body:

Code:

1N4bUc-0004Cg-T5-D
This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

  jan_abdul@adni.net
    all relevant MX records point to non-existent hosts
  jan_aberg@adni.net
    all relevant MX records point to non-existent hosts
  jan_ahlen@adni.net
    all relevant MX records point to non-existent hosts
  jan_alan@adni.net
    all relevant MX records point to non-existent hosts

------ This is a copy of the message, including all the headers. ------

Return-path: <manigley@swissonline.ch>
Received: from [127.0.0.1] (helo=mijnservernaam.nl)
	by mijnservernaam.nl with smtp (Exim 4.67)
	(envelope-from <manigley@swissonline.ch>)
	id 1N4bUc-0004Ce-Q3; Sun, 01 Nov 2009 15:33:18 +0100
Date: Sun, 1 Nov 2009 15:26:54 -0200
From: <manigley@swissonline.ch>
Reply-To: <manigley@swissonline.ch>
X-Priority: 3
Message-ID: <01ca5aff.0bbe0a64@mijnservernaam.nl>
To: <jan_abdul@adni.net>
Subject: we had to say
MIME-Version: 1.0
Content-Type: text/plain; charset=us-ascii
Content-Transfer-Encoding: 7bit

A rose for you 
http://spamurl.com

Log:

Code:

2009-11-01 15:33:18 Received from <> R=1N4bUc-0004Ce-Q3 U=mail P=local S=1721 T="Mail delivery failed: returning message to sender"
2009-11-01 15:33:20 SMTP error from remote mail server after RCPT TO:<manigley@swissonline.ch>: host mx.hispeed.ch [213.46.255.2]: 550 5.1.1 <manigley@swissonline.ch> recipient rejected MIJNIP is in RBL
2009-11-01 15:33:20 manigley@swissonline.ch F=<> R=lookuphost T=remote_smtp: SMTP error from remote mail server after RCPT TO:<manigley@swissonline.ch>: host mx.hispeed.ch [213.46.255.2]: 550 5.1.1 <manigley@swissonline.ch> recipient rejected MIJNIP is in RBL
*** Frozen (delivery error message)

Nu heb ik zelf even zitten rondkijken in het geheugen, en heb daar geen rare processen kunnen vinden.
In de map /tmp zitten ook geen scripts, en heb ik noexec gemount.
Er worden gigantisch veel spam mails verzonden dat ik niet de complete exim logs hier kan posten.

Wel heb ik een paar kleine voorbeeld van hoe de exim log eruit ziet:

Code:

2009-11-01 14:39:45 1N4aen-0007aX-Io ** ogwuf5@school.edu.ru F=<staff@aessepi.it>: all relevant MX records point to non-existent hosts
2009-11-01 14:39:45 1N4aen-0007aX-Io ** odipe17@school.edu.ru F=<staff@aessepi.it>: all relevant MX records point to non-existent hosts
2009-11-01 14:39:45 1N4aen-0007aX-Io ** ogoja@school.edu.ru F=<staff@aessepi.it>: all relevant MX records point to non-existent hosts
2009-11-01 14:39:45 1N4aen-0007aX-Io ** oddeh@school.edu.ru F=<staff@aessepi.it>: all relevant MX records point to non-existent hosts
2009-11-01 14:39:47 1N4aen-0007ac-NQ ** staff@aessepi.it F=<> R=lookuphost T=remote_smtp: SMTP error from remote mail server after RCPT TO:<staff@aessepi.it>: host mail.aessepi.it [64.5.53.193]: 550 <staff@aess$
2009-11-01 14:39:47 1N4aen-0007ac-NQ Frozen (delivery error message)
2009-11-01 14:40:02 H=hsi-kbw-091-089-137-002.hsi2.kabel-badenwuerttemberg.de (master) [91.89.137.2] incomplete transaction (connection lost) from <bushelqm@elsevier.com>
2009-11-01 14:40:02 unexpected disconnection while reading SMTP command from hsi-kbw-091-089-137-002.hsi2.kabel-badenwuerttemberg.de (master) [91.89.137.2] (error: Connection reset by peer)
2009-11-01 14:40:02 H=bard.polly.com.ua (streettuning) [91.214.16.42] incomplete transaction (connection lost) from <leanuu@gamblingplanet.org>
2009-11-01 14:40:02 unexpected disconnection while reading SMTP command from bard.polly.com.ua (streettuning) [91.214.16.42]

Het gaat allemaal over domeinen welke niet op mijn server draaien.

Ik heb wel even mijn eigen IP veranderd naar "MIJNIP" en mijn serverhostname naar "mijnservernaam.nl".

Iemand enig idee wat het zou kunnen zijn, ik denk dat er wel wat meer aan de hand is.

Begin eens met spamassassin installeren en het gebruiken van RBL's. Dat scheelt een hele hoop troep in je mail queue.

Oorspronkelijk geplaatst door Spyder01

Begin eens met spamassassin installeren en het gebruiken van RBL's. Dat scheelt een hele hoop troep in je mail queue.

Bedankt voor de snelle reactie!
SpamAssassin is al geinstalleerd sinds ik de server gebruik, RBL's heb ik volgens mij niet ingeschakeld maar dat ga ik even controleren

Heb je ook mail op bounce staan? Kan zijn dat ze naar niet bestaande accounts van je mail sturen met een nep adres zodat jij bounced naar de nep adressen.

Oorspronkelijk geplaatst door donkervoort

Bedankt voor de snelle reactie!
SpamAssassin is al geinstalleerd sinds ik de server gebruik, RBL's heb ik volgens mij niet ingeschakeld maar dat ga ik even controleren

Het scheelt je weer een paar commando's als spamassassin al geinstalleerd is. RBL's activeren (wel relevante gebruiken) scheelt je dan sowieso al een hoop meuk.

Oorspronkelijk geplaatst door Spyder01

Begin eens met spamassassin installeren

Hoe?
Spamassassin geinstalleerd is nog niet spamassassin geactiveerd....

Oorspronkelijk geplaatst door Geert-Jan

Hoe?
Spamassassin geinstalleerd is nog niet spamassassin geactiveerd....

Hij heeft een unmanaged server, dus mag aannemen dat de TS toch wel enige kennis heeft.

En geinstalleerd wil nog niet zeggen geactiveerd nee. Maar ik heb wel het idee dat de TS onderzoekend is en die dingen dus ook checkt. Komt de TS er niet uit, kunnen we hem altijd verder helpen.

Voorkauwen van alles gaat niet echt helpen

TS geeft aan dat zijn server spam aan het versturen is.. dat los je dus niet op met RBL/spamassassin.

Dat de mailqueue vol staat met berichten die niet afgeleverd kunnen worden KAN door bounces komen, kan ook door de spammer zijn die naar niet-afleverbare adressen stuurt.

Ik ben net even bezig geweest, en heb de RBL's geactiveerd. SpamAssassin is geinstalleerd, en is enabled.
Verder heb ik de volgende regel toegevoegd aan exim.conf:

Code:

bounce_return_message = false

Sinds de RBL's zijn geactiveerd en de bounce regel is toegevoegd, is het mailverkeer een heel stuk rustiger geworden.
Toch blijft er nog steeds het een en ander verschijnen in de mailqueue:

E-mail Header:

Code:

1N4dSy-0006av-Pb-H
mail 8 12
<>
1257093584 0
-ident mail
-received_protocol local
-body_linecount 8
-allow_unqualified_recipient
-allow_unqualified_sender
-frozen 1257093586
-localerror
XX
1
clairesears@holtrenfrew.com

153P Received: from mail by mijnservernaam.nl with local (Exim 4.67)
	id 1N4dSy-0006av-Pb
	for clairesears@holtrenfrew.com; Sun, 01 Nov 2009 17:39:44 +0100
051  X-Failed-Recipients: wordmill@striker.ottawa.on.ca
029  Auto-Submitted: auto-replied
063F From: Mail Delivery System <Mailer-Daemon@mijnservernaam.nl>
032T To: clairesears@holtrenfrew.com
059  Subject: Mail delivery failed: returning message to sender
052I Message-Id: <E1N4dSy-0006av-Pb@mijnservernaam.nl>
038  Date: Sun, 01 Nov 2009 17:39:44 +0100

Body:

Code:

1N4dSy-0006av-Pb-D
This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

  wordmill@striker.ottawa.on.ca
    all relevant MX records point to non-existent hosts

Log:

Code:

2009-11-01 17:39:44 Received from <> R=1N4dSy-0006aW-O2 U=mail P=local S=777 T="Mail delivery failed: returning message to sender"
2009-11-01 17:39:46 SMTP error from remote mail server after RCPT TO:<clairesears@holtrenfrew.com>: host mail.global.frontbridge.com [216.32.180.22]: 550 5.4.1 clairesears@holtrenfrew.com: Recipient address rejected: Access Denied
2009-11-01 17:39:46 clairesears@holtrenfrew.com F=<> R=lookuphost T=remote_smtp: SMTP error from remote mail server after RCPT TO:<clairesears@holtrenfrew.com>: host mail.global.frontbridge.com [216.32.180.22]: 550 5.4.1 clairesears@holtrenfrew.com: Recipient address rejected: Access Denied
*** Frozen (delivery error message)

Zoals hierboven te zien is; de e-mail body is nu "leeg" en bevat niet meer de orginele e-mail (dankzij de bounce regel die ik heb toegevoegd in de exim conf).

from mail by mijnservernaam.nl

Je eigen server staat te pompen, vermoedelijk via de gebruiker "send mail"

Kijk als de wiedeweer naar je /tmp, /var/tmp, en check de logfiles van je apache na.

Het is al wat laat, en ik heb een dag erop zitten, anders had ik wel kort willen kijken...

Helaas....het probleem is niet opgelost

@DiedX:
Ik heb gekeken in de tmp mappen, maar daar is helemaal niks te vinden. Ook geen verborgen files die er niet thuis zouden moeten horen.

In de apache logs kijken gaat wat lastig, aangezien elk domein zijn eigen logfile heeft (nu zijn het enkele honderden domeinen wat het vrij lastig maakt).

Iemand nog een idee?

Ik neem aan dat je gekeken hebt met ls -la?

En inzake de logfiles. Da's typisch k#t vanuit "ons" vakgebied: dit hoort erbij. Uitgaande van bijvoorbeeld Plesk is het typisch

grep POST /var/www/vhosts/*/logs/access.log. Daarmee doe je greppen op alle logfiles. (voor de lezer: ongetwijfeld zullen de paden alweer veranderd zijn, maar het idee lijkt me duidelijk?

Heb zitten rond kijken in de output van "grep post access.log", echter helaas niet veel duidelijker van geworden.
Ook in de apache error logs staat niet veel bijzonders

Toch blijft de spam maar komen en komen.

Oorspronkelijk geplaatst door donkervoort

Code:

2009-11-01 17:39:44 Received from <> R=1N4dSy-0006aW-O2 U=mail P=local S=777 T="Mail delivery failed: returning message to sender"

Een beetje apache zal geen lege afzender tonen, maar iets in de zin van apachegebruiker@systeemnaam.tld (en als je slim doet zorg je dat iedere virtualhost een eigen afzender gebruikt)

Je probleem zit toch echt in een lokaal script/bestand dat draait onder de gebruiker "mail". Kijk (indien aanwezig) in diens home directory en zoek op eerdergenoemde locaties naar bestanden van de gebruiker mail.

en schroef je beveiliging sowieso op

- Greylisting
- Mailscanner (clam/spamd)
- RBL listing

Dan heb je een aardige berg tegengehouden denk ik zo.

In je apache log zoeken naar mails die door PHP verzonden worden, of je zet bijv mail helemaal uit in je php.ini