Massaal spam verstuurd via onze server (hoe te achterhalen?)

[londoneye]

Mijn server verstuurt sinds een paar uur spam. Zie hieronder de maillog van een voorbeeld e-mail (via maillog het bestand uit de mess-directory van qmail gevonden).

Received: (qmail 10828 invoked by uid 48); 25 Aug 2006 05:49:48 +0200
Date: 25 Aug 2006 05:49:48 +0200
Message-ID: <20060825034948.10827.qmail@server03.citus.nl>
To: rem@mit.edu
Subject: National Credit Union Administration - Card Confirmation
From: administration@ncua.gov <administration@ncua.gov>
Content-Type: text/html

From-adres is altijd hetzelfde, maar to adres is altijd iets anders @mit.edu.

Zoals je ziet, is Qmail aangeroepen door uid 48:

apache:x:48:48:Apache:/var/www:/sbin/nologin

Voila! We hebben Apache gevonden...

Hoe gaat mijn zoektocht verder? Hoe achterhaal ik meer? Hoe weet ik nu van welke site de mails zijn verstuurd?

[smurf]

je zal ze moeten loggen: http://www.webhostgear.com/232_print.html

[londoneye]

Super! Appreciate it :-)

WHT! Even better than Google :-P (Ben echt 20 min aan 't zoeken geweest naar zo'n optie alleen op Google zelf al)

*Update*
Zou de userid er wel bij staan als het via SMTP gestuurd werd? Hoe zou je dan spam tegenhouden dan? En hoe staat het er dan? invoked from network? invoked from smtp?

*Update*
Qmail heeft een binary /usr/sbin/sendmail :-(
Dat zou niet werken, ik zal verder Googlen om zo'n artikel voor Qmail te kunnen vinden.

[smurf]

Het werkt met qmail hoor, je moet gewoon de zaken die over exim gaan er niet bij nemen. oplossing werlt perfect. Je zal zien in de logs vanuit welke locaties er gemailed wordt.

[londoneye]

Als ik die perl-regels boven de binary regels van /usr/sbin/sendmail plak... dan werkt /usr/sbin/sendmail toch niet meer? Het gaat hier om een binary... daar kan ik toch niet zelf in gaan scripten?

My bad... moest nieuwe sendmail maken en sendmail.hidden was meer dan een backup... daar stuurt de nieuwe sendmail de verwerkte (gelogde) opdrachten naartoe.

Tnx :-) Better reading next time.

I love logging and monitoring shit.

[root@server03 httpdocs]# php test.php
sh: /usr/sbin/sendmail: /usr/local/bin/perl: bad interpreter: No such file or directory
X-Powered-By: PHP/4.4.1
Content-type: text/html
[root@server03 httpdocs]# nano /usr/sbin/sendmail
[root@server03 httpdocs]# whereis perl
perl: /usr/bin/perl /usr/share/man/man1/perl.1.gz
[root@server03 httpdocs]# nano /usr/sbin/sendmail
[root@server03 httpdocs]# php test.php
X-Powered-By: PHP/4.4.1
Content-type: text/html
[root@server03 httpdocs]# tail /var/log/spam_log
Sat Aug 26 16:42:12 CEST 2006 - /home/httpd/vhosts/pad.net/httpdocs -  [root@server03 httpdocs]#

Rara welke regel heb ik moeten aanpassen in /usr/sbin/sendmail :-)

[NetGuardian]

Kan je dat from adres niet gewoon blocken?

[smurf]

Is ook een optie maar dan heb je de oorzaak nog niet gevonden hé.

[Deimos]

Je moet zoals er staat je bestaande binary hernoemen. Vervolgens een nieuw bestand aanmaken sendmail. Waar je de perl code ingooit en goed chmod etc. etc. Log bestand aanmaakt en voila het werkt..

[londoneye]

Works perfectly idd :-)