misbruikt iemand mijn server? (mail spoofing?)

shellaccount@xs2:~% telnet voorbeeldhost.xs4all.nl 25
Trying 80.127.x.x…
Connected to voorbeeldhost.xs4all.nl.
Escape character is '^]'.
220 voorbeelddomain.xs4all.nl ESMTP Sendmail Ready; Fri, 29 Dec 2006 12:23:34 -0500
HELO Notebookadvies
250 voorbeeldhost.xs4all.nl Hello xs2.xs4all.nl [194.109.21.3], pleased to meet you
MAIL FROM: blaataap@example.org
250 2.1.0 blaataap@example.org... Sender ok
RCPT TO: testaccountje@example.org
550 5.7.1 testaccountje@example.org... Relaying denied. Proper authentication required.
quit
221 2.0.0 voorbeeldhost.xs4all.nl closing connection
Connection closed by foreign host.
shellaccount@xs2:~%


Oké, geen open relay dus.
(Ik geloof dat ik het zo goed heb getest? :))


Sander-:
Heb jij wat resources voor dat majordomo probleem? :)

FF een vraag: heb jij deze server thuis staan?
Want anders kan je hostname niet je servername zijn...

Je hostname = de naam die je krijgt van je provider hè...
(dus bij @home bijv. CM11111-a.maast.lb.home.nl)

Want vanaf die hostname wordt er mail verstuurd; dus blijkbaar -zoals ik denk- vanaf jouw thuis-pc, met dank aan spyware (ed)...
(Dit probleem kom ik vaker tegen op mn werk...en 9 vd 10 keer staat er écht spyware op de pc...die bij @Home er ook voor zorgen dat ze afgesloten kunnen worden - vanwege een te grote hoeveelheid spam-berichten die ongemerkt worden verstuurd...omdat de spyware zelf poort 25 opent, zonder gebruik te maken van jouw externe mailclient...)

Citaat:

---

Oorspronkelijk geplaatst door Str@nger

FF een vraag: heb jij deze server thuis staan?
Want anders kan je hostname niet je servername zijn...

Je hostname = de naam die je krijgt van je provider hè...
(dus bij @home bijv. CM11111-a.maast.lb.home.nl)

Want vanaf die hostname wordt er mail verstuurd; dus blijkbaar -zoals ik denk- vanaf jouw thuis-pc, met dank aan spyware (ed)...
(Dit probleem kom ik vaker tegen op mn werk...en 9 vd 10 keer staat er écht spyware op de pc...die bij @Home er ook voor zorgen dat ze afgesloten kunnen worden - vanwege een te grote hoeveelheid spam-berichten die ongemerkt worden verstuurd...omdat de spyware zelf poort 25 opent, zonder gebruik te maken van jouw externe mailclient...)

---

Bij XS4all kan dit wel.
(je mag namelijk zelf je hostname bepalen ;))

En nee, het wordt vanaf voorbeeldomain.nl verstuurd, en die draait alleen op de server.

Dit is geen spyware.
(anders vind ik het nogal vreemd dat ze in m'n logs van de server staan, maar niet in die van m'n pc ;))

gebruik je een contact formulier op die site?

Ja, op een van m'n domains (die op dit moment behoorlijk onder aanval is) wel.


Maar de server mailt nu zowel via site1 (zonder contract form, en daar begon het gezeur ook mee) en nu ook via site2 welke wel een contract form heeft.


Als iemand trouwens weet hoe ik Majordomo helemaal uit krijg ... heel graag ... want ik loop nu honderde mailtjes per uur te versturen ...
Echt triest dat er van die figuren zijn die dit doen ... mja dat was al bekend :(


Ik heb al het volgende gedaan:

/usr/bin/perl -pi -e "s/\, \/etc\/mail\/aliases.majordomo//" /etc/mail/sendmail.mc


cd /etc/mail
make all
/etc/rc.d/init.d/sendmail restart

Je zou zeggen, dan is majordomo uit :o

Paar keer gezien op Cobaltje/Marjordomo, was telkens iemand die als afzendadres 1 van onze klanten hun domeinen gekozen had.

Dankzij het return-path (majordomo-owner@dat-domein) krijgt onze klant dan alle failures van de 'lijst'. Was ook nooit vanaf onze IP's gestuurd.

Niet veel tegen te doen, buiten een scriptje schrijven dat dit opvangt en /dev/null doet als er zo'n return naar de 'owner' komt. Niet echt bevordelijk als de klanten zelf ook lijsten gebruiken...

Owk, maar mag ik je toch m'n logs pm'en?
Want volgens mij komen ze wel van mijn server af.

Igg, ik zie dat er dingen gedaan worden vanaf mijn server.

(bijv.

warnings:
apache set sender to info@site2.nl using -f: 1 Time(s)
mail set sender to Majordomo-Owner@www.site1.nl using -f: 1 Time(s)


Dus, het lijkt erop dat niemand de mail van mij spoofed... maar daar hoop ik wel op, want dan komt mijn ip tenminste niet op de blacklists :)
(maar het blijf vervelend natuurlijk :))

P.S. Ik had dus majordomo al uitgezet via het bovenstaande command, toen leek het ook even te stoppen, nu begon paar uurtjes geleden het gezeur weer, en heb ik weet dat majordomo afsluit commando gegeven (dat is het toch?) en nu is het weer "even?" over ... ik krijg nu igg geen mailtjes dat berichten niet bezorgd konden worden.


Ik snap er niks meer van :(

Als je majordomo niet wil gebruiken kan je het beter volledig weghalen, dat is trouwens ook een grondbeginsel van server/computer beheer: verwijder wat je niet nodig hebt.

Vervolgens ook de aliases weg en een knappe jongen die het dan nog misbruikt :)

Spoofen kan je gedeeltelijk bestrijden door txt records spf in de dns te zetten.

Ja, alleen ik ben alles zon beetje zelf aan het leren, het gaat al redelijk goed :) Maar ik weet bijv. nog niet hoe je majordomo verwijderd, ik hem al wel veel @ google gezocht, maar weinig info icm majordomo en bluequartz of centos.

Alleen de overbekende regel:

/usr/bin/perl -pi -e "s/\, \/etc\/mail\/aliases.majordomo//" /etc/mail/sendmail.mc


cd /etc/mail
make all
/etc/rc.d/init.d/sendmail restart

Welke dus de allias weghaalt (maar majordomo zelf niet)

als jij het wel weet, of samen met me wilt zoeken --> Graag :)

Citaat:

---

[root@srv1 mail]# grep majordomo sendmail.*
sendmail.mc:dnl # removed /etc/mail/aliases.majordomo
[root@srv1 mail]# ls
access helpfile sendmail.mc
access.db local-host-names submit.cf
aliases mailertable submit.cf.bak
aliases.db mailertable.db submit.mc
aliases.majordomo Makefile trusted-users
aliases.majordomo.db popip.db virthosts
domaintable poprelay.conf virtusertable
domaintable.db sendmail.cf virtusertable.db
fix_sendmail_header.mc sendmail.cf.bak virtusertable.owm
[root@srv1 mail]#

---

Even een LS gedaan op de map waar ik ook de allias weg heb gehaald, er staan dus nog 2 aliases.majordomo files, die ook maar weg? Of kan dat kwaad icm sendmail ? :) Denk het zelf niet, maar jullie zijn de experts :)


Owja, ff Vi gedaan op aliases.majordomo

Citaat:

---

# >>>>>>>>>> The program "newaliases" must be run after
# >> NOTE >> this file is updated for any changes to
# >>>>>>>>>> show through to sendmail.
#
majordomo: "|/usr/local/majordomo/wrapper majordomo"
owner-majordomo: admin
majordomo-owner: owner-majordomo

---

btw. ik kan mijn dns aanpassen en er txt inzetten, wat moet er dan precies komen te staan? :)

Weer wat dichter bij het probleem.

Majordomo is nu dus uit (igg de alias is er niet meer)

Toch mail ik nog, hoewel veel van de mailtjes gespoofed zijn (Ik krijg dan zon non-deliverable mailtje terug met een ander send ip erin dan mijn server)

Mail ik toch nog naar mensen die ik NIET ken via mijn server.
Ik heb mijn maillogs via de bluequartz admin er eens op na geslagen, maar die zijn op een vreemde manier incompleet? (vandaag een massmail via phpbb gedaan, maar stuk of 40 van de 296 gemailde staan in de logs)

anyway, dit pikte ik er o.a. tussen uit:

info@mijndomain.nl - - [03/Jan/2007:20:06:04+0100] "GET /locost7@gmail.com/" 200 1155 "http://www.mijndomain.nl/" "http://gmail.com/"

Ik ken heel die locost7 niet :( !!!

Ik mail dus wel degelijk lijkt het.
Echter staan geen van de zogenaamde door mij verzonden mailtjes, inclusief die hierboven vermelde als SEND in mijn openwebmail

Iemand nog een idee? Want deze server moet Zondag naar een colo … als ik daar echter een grote spambox ophang heb ik daar niet zoveel zin in.

:(