[Diskussion:]Nameserver Trick löst Spam aus

[LinuxAdmin]

Quelle: http://www.heise.de/ix/Namens-Trick-...meldung/143123

Wow, ein "grep localhost /var/log/mail" zeigt, dass die Vietnamesen schon heftigst zu Gange sind.

Mein Postfix wehrt alles ab

 

[CentY]

Jop, da geht was wenn auch nicht all zuviel:

grep "helo: .localhost" /var/log/mail.info | wc -l
243

Aber nur aufm Secondary MX der Primary hat längst nicht soviele.

 

[Whistler]

Hier aktiv:

123.26.48.70
123.26.49.26
123.26.84.210
123.27.185.6
123.27.221.28
222.252.158.84
222.252.39.86
222.252.42.102
222.252.91.184
222.253.88.77
222.253.216.89
222.254.79.134
222.254.109.57
222.254.129.201
222.254.131.81
222.254.137.157
222.254.183.165

 

[djrick]

0
Aber ich verrate mal besser meine IP nicht

 

[JanJ]

Bei mir prasselt da auch einiges rein ...

Aber Spamdyke blockt zuverlässig ab.

 

[GwenDragon]

Die sind aber schon mindestens vor dem 1 August mit dem fake localhost am spammen.

 

[Lord Gurke]

Was mir gerade mal so einfällt:

Angenommen ich habe einen MySQL-Server, der an die öffentliche IP gebunden ist und habe dort Benutzern bloß die Verbindung von localhost aus gestattet - müsste man mit diesem Trick sich nicht auch als ein solcher Benutzer anmelden können?

 

[marneus]

@ GwenDragon: Ja, das mag schon sein, nur löst die IP bei diesem Trick, von den Angreifern auch auf localhost auf.

 

[Roger Wilco]

Angenommen ich habe einen MySQL-Server, der an die öffentliche IP gebunden ist und habe dort Benutzern bloß die Verbindung von localhost aus gestattet - müsste man mit diesem Trick sich nicht auch als ein solcher Benutzer anmelden können?

Nein, siehe http://dev.mysql.com/doc/refman/5.1/en/dns.html

 

[Whistler]

Den ersten Eintrag /var/qmail/bin/relaylock: mail from 222.253.5.149:2196 (localhost) hatte ich vor etwa einem Jahr.

Damals aber alle Jubeljahre (2008 ganze 23). Massiv geworden ist's erst jetzt.

Die fragliche Zone (5.253.222.in-addr.arpa) ist übrigens laut SOA (ja, den kann man beliebig setzen) am 9.10.2006 das letzte mal geändert worden.

 

[Ben.]

Auf meinen Servern ist auch nix los.

"Schade"

 

[GwenDragon]

@ GwenDragon: Ja, das mag schon sein, nur löst die IP bei diesem Trick, von den Angreifern auch auf localhost auf.

Ich habe schon verstanden, dass deren reverse DNS auf localhost auflöst. Das muss aber nicht zum Relaying führen.
Wer setzt denn bitte localhost in die Konfiguration für das erlaubte Relaying in den eigenen Mailservern?

 

[marneus]

Anscheinend genügend, sodass sich dieser "Trick" lohnt.

 

[haggybear]

Na dann kann ich das ja toppen:

grep "helo: .localhost" /var/log/mail.info | wc -l

4399

Wird zwar alles verworfen, aber es nervt. Werde mal an die iptables gehen! Danke für die Info.

Haggy