Onderwerp: SPAM - Is deze mail via apache of via SMTP gestuurd?

Voorbeeld e-mail:

Code:

Received: (qmail 8585 invoked from network); 7 Apr 2007 11:43:57 +0200
Received: from 22.3e.5446.static.theplanet.com (HELO VPS75) (70.84.62.34)
  by 193.142.84.141 with SMTP; 7 Apr 2007 11:43:57 +0200
From: "Gcxj" <hfj@server03.mijnserver.nl>
To: "sunjin" <sunjin@sohu.com>
Subject:
 =?GB2312?B?1+7Qwrj2yMvL+bXDy7C3qLnmtqi8sMbkttTW0LjfytXI69XftcTTsM/sODE0?=
 =?GB2312?B?Nw==?=
Date: Sat, 7 Apr 2007 17:45:37 +0800
MIME-Version: 1.0
Content-Type: text/plain
Content-Transfer-Encoding: base64
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1106
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106

Is deze mail gestuurd via Apache of SMTP? Ik snap niet dat zulke mails ervoor zorgen dat mijn mail-queue helemaal vol staat. (7000 e-mails)

Het lijkt alsof alle spam komt van iets@server03.mijnserver.nl? Het gaat hier op een Plesk-server met relaying "authorization required SMTP/POP3".

Apache kan geen mail versturen.
Je kunt niet opmaken via wat het verstuurd word, de headers worden vaak voor een deel ook gefaked.

Het lijkt er wel op dat het via een bug in een website mogelijk is om mail te versturen.

Ik log alle mail die via PHP (jij je zin ) wordt verstuurd. Hier staat een lijst in van 500 regels. Het lijkt haast onmogelijk dat deze mails via PHP zijn verstuurd.

Verder zijn de bovenste headers voor zover ik weet altijd op de waarheid berust, aangezien ze al door Qmail zijn gegenereerd.

Als een site op je server een lek heeft kunnen er vrolijk mails worden verstuurd door PHP heen. Mails worden inderdaad heel vaak gefaked. Het kan goed zijn dat jou mail vanaf een hele andere server afkomstig is, met fefakte headers waardoor het lijkt dat deze mail door jou server is verstuurd.

Ik haal deze mail uit /var/qmail/queue/0/*
(95% van deze mail is zo, base64-encoding en afzender iets@serverhostname)

Alle php-mail wordt gelogged.

Kan het niet zo zijn dat de SMTP-server alle mail accepteert met server03.mijnserverhostname.nl als afzender? Zie ook:

Code:

[root@server03 control]# cat /var/qmail/control/me
server03.mijnserverhostname.nl
[root@server03 control]#

Hoe log je dan e emails die verstuurd worden?

Zie http://www.sumith.net/faqs/exim.html en eventueel http://www.webhostgear.com/232_print.html.

Bij de laatste is het overzichtelijk uitgelegd, alleen bevat het script daar fouten (het werkt wel, maar met enkele beperkingen; alles wordt op 1 regel beschreven e.d.)

Dit is een vervanging van /usr/sbin/sendmail, waarbij de echte sendmail naar /usr/sbin/sendmail.hidden gezet wordt. Alle e-mail komt aan op sendmail, wordt gelogged (zoveel en hoe je maar wil) en wordt vervolgens doorgestuurd naar /usr/sbin/sendmail.hidden

maar.. wat staat er dan bijvoorbeeld in je logfile over bovenstaande mail?

Je kunt dacht ik zorgen dat het verplicht is een BESTAAND email adres op te geven als afzender

Okeeee, ik zal wel gewoon /usr/local/psa/var/log/maillog in de gaten houden.

Qmail lijkt veillig:

Code:

[root@server02 root]# telnet 193.142.84.140 25
Trying 193.142.84.140...
Connected to 193.142.84.140 (193.142.84.140).
Escape character is '^]'.
220 server03.mijnserverhostname.nl ESMTP
helo btich
250 server03.mijnserverhostname.nl
mail from: bitch@server02.mijnserverhostname.nl
250 ok
rctp to: info@mijnserverhostname.nl
502 unimplemented (#5.5.1)
rcpt to: blackberry@mijnserverhostname.nl
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)
mail from: mami@server03.mijnserverhostname.nl
250 ok
rcpt to: blackberry@mijnserverhostname.nl
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)
rcpt to: sunjin@sohu.com
553 sorry, that domain isn't in my list of allowed rcpthosts (#5.7.1)

Code:

Apr 15 13:34:44 server03 qmail: 1176636884.343138 new msg 5341512
Apr 15 13:34:44 server03 qmail: 1176636884.343171 info msg 5341512: bytes 8063 from <lxdh@server03.mijndomein.nl> qp 32197 uid 2020
Apr 15 13:34:44 server03 qmail: 1176636884.347523 starting delivery 34: msg 5341512 to remote aidetuanqi1@yahoo.com.cn
Apr 15 13:34:44 server03 qmail: 1176636884.347543 status: local 0/10 remote 2/20
Apr 15 13:34:46 server03 qmail: 1176636886.799338 delivery 33: success: 32.97.110.152_accepted_message./Remote_host_said:_250_2.0.0_l3FBYjOh005491_Message_accepted_for_delivery/
Apr 15 13:34:46 server03 qmail: 1176636886.799495 status: local 0/10 remote 1/20
Apr 15 13:34:46 server03 qmail: 1176636886.799514 end msg 5341474

User 2020 is "qmaild". Wat word ik hieruit wijzer? Ik zie geen extra regel in /var/log/spam_log, dus hij is niet via PHP gestuurd.

Wordt mailman weleens gebruikt voor spamming purposes? Of zal dit hier waarschijnlijk buiten staan? Ik heb wel een oude versie (nog niet geupdate):

Code:

[root@server03 log]# rpm -qa | grep mailman
mailman-2.1.5.1-25.rhel3.5
psa-mailman-configurator-8.1.1-cos3.build81070322.16
[root@server03 log]# yum update mailman
Gathering header information file(s) from server(s)
Server: CentOS-3 - Addons
Server: Atomic Rocket Turtle - 3 - Atomic PSA-Compatible RPMS
Server: CentOS-3 - Base
Server: CentOS-3 - Extras
Server: CentOS-3 - Updates
Finding updated packages
Downloading needed headers
Resolving dependencies
Dependencies resolved
I will do the following:
[update: mailman 3:2.1.5.1-25.rhel3.7.i386]
Is this ok [y/N]: n
Exiting on user command.
[root@server03 log]#

Oorspronkelijk geplaatst door blackberry

Wordt mailman weleens gebruikt voor spamming purposes? Of zal dit hier waarschijnlijk buiten staan? Ik heb wel een oude versie (nog niet geupdate):

Er zijn verschillende veiligheidslekken bekend in Mailman. Kijk't even na zou ik zo zeggen : http://secunia.com/search/?search=mailman

Waarom update je mailman gewoon niet? Een update is er tenslotte niet voor niets...