Onderwerp: [SPOED] E-mail Loop

waarschijnlijk draaid er ergens een shell scriptje dat steeds email blijft sturen , of je wachtrij van exim zit vol met email die steeds blijft retry'en om mail weg te krijgen.

Origineel geplaatst door sander
waarschijnlijk draaid er ergens een shell scriptje dat steeds email blijft sturen , of je wachtrij van exim zit vol met email die steeds blijft retry'en om mail weg te krijgen.

Er staan geen mails in de queue op mijn server, ook heb ik aan de hand van de traffic-statistieken en de mail logs uitgesloten dat de mails vanuit ons systeem worden verzonden.

Ik heb de klant inmiddels laten weten dat ik hem bij deze zaak verder niet KAN helpen.

Ik zou nog wel graag reacties krijgen als iemand weet wat de eerder geposte headers aangeven.

Ruud

De ontvanger met even wat slaag krijgen met de cluebat en patch KB835734 installeren. Lijkt me zo, afgaande op

Delivered-To: virtualdomains-mspop3connector.buro@DOMEIN.NL
X-Envelope-To: mspop3connector.buro@domein.nl

En PS (niet alleen richting jou maar naar iedereen die iets dergelijks doet) : Stop eens met het mungen van belangrijke informatie. Post alle gegevens volledig of post niks.

Origineel geplaatst door ChemicalWH
Ongeacht aan wie de mail verzonden is , de bovenstaande headers komen ongeveer terug in elke mail.. Wil dit zeggen dat alles daadwerkelijk van hem uit komt?

Ruud

Een Delivered-To header zegt niet wie het verstuurd heeft, maar wie het ontvangt.
Kijk eens naar de Received headers.

Naja, de klant heeft aangegeven ten einde raad te zijn en alles ervoor over te hebben om dit probleem asap op te lossen: hierbij dus een volledige header: (alleen de ontvangers verwijdert)


In elke header, ongeachte aan welke ontvanger, komen maaslandbeheer en archjoosten terug.


Graag reacties..




Return-Path: <demacom@demacom.com>
Received: from maildrop1.e-factory.nl ([unix socket])
by maildrop1 (Cyrus v2.2.10) with LMTPA;
Fri, 16 Sep 2005 10:05:55 +0200
X-Sieve: CMU Sieve 2.2
Received: from smtp2-tx.e-factory.nl (smtp2.e-factory.nl [193.254.255.150])
by maildrop1.e-factory.nl (8.12.11/8.12.11) with ESMTP id j8G85LfL002237
for <ontvanger@maildrop1.e-factory.nl>; Fri, 16 Sep 2005 10:05:21 +0200
Received: from smtp2.e-factory.nl (smtp2.e-factory.nl [193.254.255.150])
by smtp2-tx.e-factory.nl (8.12.11/8.12.11) with ESMTP id j8G84cc3031540
for <ontvanger@maildrop1.e-factory.nl>; Fri, 16 Sep 2005 10:05:18 +0200
Received: from gollum.cambrium.nl (mx1.cambrium.nl [217.19.16.130])
by smtp2.e-factory.nl (8.12.11/8.12.11) with SMTP id j8G84awr031536
for <info@ontvanger.nl>; Fri, 16 Sep 2005 10:04:36 +0200
Received: (qmail 11317 invoked from network); 16 Sep 2005 08:04:33 -0000
Received: from 217-19-28-73.dsl.cambrium.nl (HELO maaslandbeheer.nl) (217.19.28.73)
by gollum.cambrium.nl with SMTP; 16 Sep 2005 08:04:33 -0000
Received: from mail pickup service by maaslandbeheer.nl with Microsoft SMTPSVC;
Fri, 16 Sep 2005 10:00:14 +0200
Delivered-To: 286-o.g@maaslandbeheer.nl
Delivered-To: archjo@vuurwerk.nl
Delivered-To: virtualdomains-mspop3connector.buro@archjoosten.nl
X-Envelope-To: mspop3connector.buro@archjoosten.nl
Original-Recipient: rfc822;oprey@tip.nl
X-ClientAddr: 213.51.128.196
Delivered-To: archjo@vuurwerk.nl
Delivered-To: virtualdomains-buro@archjoosten.nl
X-Envelope-To: buro@archjoosten.nl
From: "Camerabewaking DEMACOM" <demacom@demacom.com>
To: ONTVANGERS,
"IMB Recipient 596" <mspop3connector.buro@archjoosten.nl>
Date: Fri, 16 Sep 2005 10:00:14 +0200
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit
Message-ID: <000001c5ba94$ab46d7c0$0100a8c0@Maaslandbeheer.loc al>
Content-Type: multipart/related;
boundary="----=_NextPart_000_0027_01C5BA44.5FBA1420"
X-Mailer: Microsoft Office Outlook, Build 11.0.5510
Thread-index: AcW6M44nhWDmimRsR5ugv+G6MBc1AQ==
X-MIMEOLE: Produced By Microsoft MimeOLE V6.00.3790.181
X-AntiAbuse: This header was added to track abuse, please include it with any abuse report
X-AntiAbuse: Primary Hostname - angela.chemicalwebhosting.com
X-AntiAbuse: Original Domain - archjoosten.nl
X-AntiAbuse: Originator/Caller UID/GID - [0 0] / [47 12]
X-AntiAbuse: Sender Address Domain - demacom.com
X-Source:
X-Source-Args:
X-Source-Dir:
X-Versatel-Spam-DNSBL: NO
X-Versatel-Spam-DNSBL-Info: Mail filtered by Versatel DNSBL system
Content-Class: urn:content-classes:message
Importance: normal
X-AntiVirus: checked by Vexira Anti Virus 1.56.3, vdb: 8.867
Priority: normal
X-OriginalArrivalTime: 15 Sep 2005 21:01:28.0890 (UTC) FILETIME=[A46451A0:01C5BA38]
X-AtHome-MailScanner-Information: Neem contact op met support@home.nl voor meer informatie
X-AtHome-MailScanner: Found to be clean
Subject: "Camerabewaking" Zekerheid in uw organisatie? Wij bieden u deze mogelijkheid!
X-dwhs_secure-MailScanner-Information: Please contact the ISP for more information
X-dwhs_secure-MailScanner: Found to be clean
X-MailScanner-From: demacom@demacom.com
X-Spam-Status: NO, hits=-4.70 required=5.00
X-Versatel-Spam-DNSBL: NO
X-Versatel-Spam-DNSBL-Info: Mail filtered by Versatel DNSBL system
X-AntiVirus: checked by Vexira Anti Virus 1.56.3, vdb: 8.867
X-Virus-Scanned: by e-factory Virus Scanner
X-Virus-Scanned: by Barracuda Spam Firewall at web3.nl
Status: O
X-Scanned-By: milter-spamc/0.20.282 (smtp2.e-factory.nl [193.254.255.150]); Fri, 16 Sep 2005 10:05:21 +0200
X-Scanned-By: by e-factory Spam Scanner
X-Spam-Flag: NO
X-Spam-Level:

Received: from 217-19-28-73.dsl.cambrium.nl (HELO maaslandbeheer.nl) (217.19.28.73)
by gollum.cambrium.nl with SMTP; 16 Sep 2005 08:04:33 -0000
Received: from mail pickup service by maaslandbeheer.nl with Microsoft SMTPSVC;

Ik denk dat hier het probleem zich voordoet, lange leve de pop3connectors... :-/

Omdat de e-mail relayed wordt door een uitgaande SMTP van de provider, Cambrium.nl, kan je dit niet blokken op IP adres.
Blok de afzendadressen, neem contact op met Cambrium.nl (telefonisch en/of per mail). Verder kan je niets doen.

//EDIT PS: Zie mijn eerder vermelde link naar de patch.

Bij archjoosten.nl hadden ze een Small Business Server 2003 welke door een kennis een beetje werd onderhouden, ik heb ze de patch laten installeren en hoop hiermee het probleem te hebben opgelost. mocht het probleem hiermee niet verholpen zijn zal ik ook nog contact met het maaslandbeheer.nl opnemen.

Deze specifieke mail was door maaslandbeheer.nl verstuurd, gezien het Message-ID

Message-ID: <000001c5ba94$ab46d7c0$0100a8c0@Maaslandbeheer.loc al>

Maar als archjoosten.nl over een niet gepatchte SBS2003 server beschikte, dan zijn zij mede oorzaak van het probleem.
Waarschijnlijk is hetzelfde bij Maaslandbeheer.nl aan de hand.

Hopen dat het probleem opgelost is, succes.

Origineel geplaatst door Digiover
Deze specifieke mail was door maaslandbeheer.nl verstuurd, gezien het Message-ID
Maar als archjoosten.nl over een niet gepatchte SBS2003 server beschikte, dan zijn zij mede oorzaak van het probleem.
Waarschijnlijk is hetzelfde bij Maaslandbeheer.nl aan de hand.

Hopen dat het probleem opgelost is, succes.

jij denkt dat de mail door 2 partijen in een loop doorgestuurd werd ? Ik zal nog even contact opnemen met maaslandbeheer.nl dan, just in case.

ik heb net cambrium aan de lijn gehad, ze zullen het ook onderzoeken.

Ruud

het is natuurlijk mogelijk dat er het volgende is gebeurt:

zowel archjoosten als maaslandbeheer zijn in het bezit van een sbs2003 server, en worden nauwelijks geupdate (geen beheerder of contract hiervoor). Het is mogelijk (denk ik) dat deze 2 partijen samen een loop hebben gevormt.

partij 1 ontvangt de mail.. stuurt lokaal en extern door naar alle mensen, inclusief partij2

partij 2 ontvangt de mail.. stuurt lokaal en extern door naar alle mensen, inclusief partij 1

En dat in een loop :-/ dat klinkt logisch nietwaar?

Ik ben nu in gesprek met een persoon welke de patch ook bij maaslandbeheer zal installeren..


Ik hoop echt dat dit zo opgelost kan worden.

Ruud

Wij hebben het gehad met een tiental, of meer, SBS servers. Toen zijn er letterlijk honderduizenden e-mails richting onze servers gestuurd:
http://www.vevida.com/NL/nieuws_over...ategorie=1#129
(zie het grafiekje)

Dus je "partij 1 vs partij 2" gedachte kan zeer goed kloppen ja. partij 1 ontvangt de e-mail, stuurt het door naar alle eerdere ontvangers en blijft het doorsturen (berichten blijven immers in de queue-folder staan). Partij 2 ontvangt de e-mail, stuurt het naar alle (dezelfde) ontvangers door. Berichten blijven in de queue-folder. Partij 1 ontvangt weer een mail, stuurt het door, etc, etc, etc.

Zodra alle servers gepatched of offline zijn is het probleem opgelost. Succes.

Beide servers zijn zullen gepatched zijn binnen het uur.

Ik zal binnenkort een compleet verslag posten van de gang van zaken want dit is echt het meest interesante wat ik in mijn hosting cariere heb meegemaakt


Ruud

Origineel geplaatst door ChemicalWH
Ik zal binnenkort een compleet verslag posten van de gang van zaken want dit is echt het meest interesante wat ik in mijn hosting cariere heb meegemaakt

Haha, ik vond het een van de meest irritante

Maar: door dat akkefietje zijn hier en daar wat balletjes opgegooid dat (hopelijk binnenkort) tot interessante zaken gaat / kan gaan leiden. Meer kan ik er nog niet over zeggen, maar "we" zijn bezig om er voor te zorgen dat dergelijke problemen snel(ler) en rechtstreeks opgelost kunnen gaan worden.

ik ben bang dat er nog een 3e verstuurder is..

Helaas niet meer bereikbaar, morgen en maandag nog maar eens proberen dan.


Ruud

inmiddels heb ik al 4 bedrijven uit de lijst van ontvangers gevonden met de betreffende bug van sbs2003.

langzaam maar zeker traceer ik ze allemaal wel. Zodra de ontvangers de mails blokkeren komen ze direct terug naar demacom.com, zo kan ik dus heel makkelijk vanuit de exim_mainlog zien waar de meeste vandaan kopen.

voorbeeld:
2005-09-16 10:40:34 1EGBlq-0004JP-4u <= <> H=(relay.versatel.net) [62.250.3.110] P=smtp S=148454

^^ en die dan 5000 keer of zo


2005-09-16 11:49:27 1EGCq3-0002Dh-EP <= <> H=(oprey.nl) [82.169.38.223] P=esmtp S=150166 id=nXgffHr1q00000492@oprey.nl

oprey komt maar liefst 20.000 keer in de log voor.


en zo gewoon even doorzoeken tot er niets meer binnenkomt


Ruud