Dickes Problem...

[mbanse]

Hallo Leute,

Ich habe ein Problem.
Ich habe ca. 60 User auf meinem Server.
Und jetzt bekomme ich andauernd Mails zurück die an eine Adresse an AOL geschickt worden sind, welches Postfach schon überfüllt ist.
Ich gehe in der Annahme das es eine Mailbombe sein soll, da in dem Anhang der Mail steht:

Received: from vsxxxx.vserver.de (xxxx.de [xx.xx.xx.xx]) by rly-yh03.mx.aol.com (v108.32) with ESMTP id MAILRELAYINYH38-2ba43becfaf27f; Fri, 06 Jan 2006 15:14:39 -0500
Received: by vsxxx.vserver.de (Postfix, from userid 30)
id 1FF6724D5118; Fri, 6 Jan 2006 21:14:37 +0100 (CET)
To: xxxx@aol.com
Subject: Du dreckige psychopatensau
MIME-Version: 1.0
From: xxxx@aol.com
Reply-To: xxxxx@aol.com
Content-Type: text/plain
Content-Transfer-Encoding: 7bit
Message-Id: <20060106201437.1FF6724D5118@vsxxxx.vserver.de>
Date: Fri, 6 Jan 2006 21:14:37 +0100 (CET)
X-AOL-IP: xx.xx.xx.xx
X-AOL-SCOLL-SCORE: 0:5:19799257:11811160
X-AOL-SCOLL-URL_COUNT: 0

Was mich darauf hindeuten lässt das es eine Mailbombe sein soll ist der Subject 'Du dreckige psychopatensau'.
Ich gehe davon aus das jemand über ein PHP Script versendet da als absender jeweils wwwrun@meinedomain.de angegeben ist.
Das Problem hatte ich schon einmal mit einem user dieser hatte ein einfachen phpmailer geschrieben und dann ca 90.000 (ja 90 tausend) mails an eine adresse geschickt die nicht existiert, welche dann alle zu mir zurück kamen. Damals habe ich diesen user dann ausfindig gemacht und gesperrt. Leider musste ich alle mails abrufen.

Hier noch ein paar logs aus der mail:

Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 1EF5A24D521A: from=<wwwrun@vsxxx.vserver.de>, size=453, nrcpt=1 (queue active)
Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 134A224D5226: from=<wwwrun@vsxxxx.vserver.de>, size=453, nrcpt=1 (queue active)
Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 1F27424D5230: from=<wwwrun@vsxxxx.vserver.de>, size=453, nrcpt=1 (queue active)
Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 1DD8224D525C: from=<wwwrun@vsxxxx.vserver.de>, size=453, nrcpt=1 (queue active)
Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 1863424D5263: from=<wwwrun@vsxxxx.vserver.de>, size=453, nrcpt=1 (queue active)
Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 10DBD24D526C: from=<wwwrun@vsxxxx.vserver.de>, size=453, nrcpt=1 (queue active)
Jan 6 21:49:43 121-clan postfix/qmgr[31104]: 1650A24D5280: from=<wwwrun@vsxxxx.vserver.de>, size=453, nrcpt=1 (queue active)

(hieraus auch der schluss von wo die nachrichten gesendet werden)
Gibt es eine Möglichkeit den versand von PHP Scripten aus zu unterbieten?
und was kann ich jetzt noch machen? Kann ich das Mail Script irgendwie ausfindig machtn?

Danke schonmal fürs lesen =)

 

[pesthoernchen]

Hi,

block doch die Bounces in dem Du in Postfix einen Filter einbaust. Dazu dann charakterische Strings raussuchen und diese in den Filter einbauen.

main.cf:

body_checks = pcre:/etc/postfix/body_pcre

body_pcre:

/dummerchen/ REJECT 554 bounce from you are rejected

Gruss C.

 

[mbanse]

Hey,

kannst mir das nochmal ein wenig genauer erklären?
Sorry habe mich bis jetzt erst mit allem anderen beschäftigt, leider noch nicht mit Mailserver.

THX schonmal

 

[Huschi]

Und jetzt bekomme ich andauernd Mails zurück die an eine Adresse an AOL geschickt worden sind, welches Postfach schon überfüllt ist.

Ist es ein AOL-Postfach im Schema von charleselegbed, charleses3229, charieses329, charleses3299, charieses329, etc. ?

Wenn ja, dann hast Du ein auf dem Server ein Formmailer-Script, welches eine Sicherheitslücke enthält.

huschi.

 

[mbanse]

Nein es ist eindeutig von (ich nehms mal an) einer Frau.
Da teilweise in den Mails sachen drinstehn wie:

"Es ist nicht mal schwierig dein AOL Account zu hacken, miststück"

und ähnliches.
Und kann man irgendwie da was machen? bzw das script ausfindig machen? Oder vll für die zukunft? das statt denn wwwrun der web benutzer da steht? Oder irgendwas was halt das script identifiziert?
Das wäre gut.

 

[mbanse]

Geht das irgendwie?
Ich google mich schon halb tot hilf mir doch einer *g

 

[pesthoernchen]

Ist die Empfängeradresse der Emails bei AOL immer die selbe? Wenn Du magst und das nötige Vertrauen hast kann ich dir das eben machen, also die Einrichtung der Filterregel. Ist ja kein großer Akt. Schick die entsprechenden Daten einfach an support@topnetworks.de

Gruss C.

 

[mbanse]

Ja ist immer die selbe,
aber es würde mich auch interessieren, wie ich sowas vorbeugen kann.
Also das es gar nicht erst soweit kommt das ein PHP Script Tausende Mails verschickt.
Und wenn das ich irgendwie herausfinden kann von welchem Script es versendet wurde (zb ne direkte Pfadangabe srv/www/webID im Header) oder ähnlich, das ich dann die oder den Entsprechenden user löschen bzw sperren kann.

 

[pesthoernchen]

Hi,

Logfiles des Apache und Mail-Daemon nach Gemeinsamkeiten vergleichen oder in den User-Verzeichnissen nach "mail" etc. suchen. Evtl. findest Du ja dann das Skript.

Gruss C.