qmail Probleme

mschreck

New Member
Hallo,

ich weiß wirklich nicht mehr weiter. Bekomme jeden Tag über 15.000 Mails von yahoo.com.tw oder gmail.com oder hinet.net etc..

Habe schon Stunden mit einem Profi (kannte allerdings nur postfix) versucht den Kram zu unterbinden - ohne Erfolg.

Kann mir jemand sagen, woher und wie diese Mails an meinen Server gekommen sind:

Code:
 --------------
MESSAGE NUMBER 7869135 
 --------------
Received: (qmail 6327 invoked from network); 24 Aug 2010 22:55:25 +0200
Received: from 22.97.35.59.broad.st.gd.dynamic.163data.com.cn (HELO sijhbr.com) (59.35.97.22)
  by h685447.serverkompetenz.net with SMTP; 24 Aug 2010 22:55:24 +0200
Message-ID: <91db56492041411c88571acba3226aca@af125f4e311b44a6a5575270f2753e1e>
Date: Tue, 24 Aug 2010 20:54:31 GMT
Mime-Version: 1.0
X-mailer: Foxmail 6, 5, 164, 24 [de]
X-Priority: 3
From: =?utf-8?B?IOe6jOe9leimi+e1leiJsumHkeeZvOe+juWls+iiq+WFp+WwhDIg?= <hghjaomhsfb@googlegroups.com>
To: houare0610@yahoo.com.tw
Subject: =?BIG5?B?xPJ+qHV+qKMgtbQgpuJ+qvd+tW8grPwgpGsgs1F+pLogrmd+MiChR35ufmIgYn5iIHAgdiB1fm8g?=
Content-Type: multipart/alternative;
	boundary="=====003_Dragonf8c4f75271014c0ba5760ceedc85cecd_====="

--=====003_Dragonf8c4f75271014c0ba5760ceedc85cecd_=====
Content-Type: text/plain;
	charset="BIG5"
Content-Transfer-Encoding: quoted-printable


--=====003_Dragonf8c4f75271014c0ba5760ceedc85cecd_=====
Content-Type: text/html;
	charset="BIG5"
Content-Transfer-Encoding: quoted-printable

<html>=0D=0A=0D=0A<head>=0D=0A<meta=20name=3D"GENERATOR"=20content=3D"Micros=
oft=20FrontPage=205.0">=0D=0A<meta=20name=3D"ProgId"=20content=3D"FrontPage.=
Editor.Document">=0D=0A<meta=20http-equiv=3D"Content-Type"=20content=3D"text=
/html;=20charset=3Dbig5">=0D=0A<title>qIed=20Qqa=20tjG=20aUYy強&#29255=
;上架 變態女教師兩&#3134=
8;中出上松初下馬lLZI=20OGJO=20MfB=20=
Wpkc</title>=0D=0A</head>=0D=0A=0D=0A<body>=0D=0A=0D=0A<p=20align=3D"center"=
>=0D=0A<font=20face=3D"=BC=D0=B7=A2=C5=E9"=20size=3D"6">=0D=0A<a=20href=3D"h=
ttp://9tqybkpjj.mxaer.com#@.cxrivcszczfw.com"=20style=3D"text-decoration:=20=
none">=0D=0A<font=20color=3D"#FFFFFF">hhTX=20CUaTdt=20lDkW=20JXQMR=20PlTbEwP=
=20CURit=20YqUcGtf=20KssQZN</font><br>=0D=0A<font=20color=3D"#FF0000">&#2437=
5;片上架 變態女教師&#208=
41;穴中出上松初下馬</font><b=
r>=0D=0A<font=20color=3D"#FFFFFF">GYXhqHD=20kCJPUi=20SwaGgUue=20mCGHGRDo=20v=
FJ=20BOMjHDQ=20HubrW=20adgPd</font><br>=0D=0A<font=20color=3D"#FFFFFF">rcYMJ=
Jqp=20jSMnRau=20OcYT=20ToLra=20bXDzDZ=20AANhzIa=20rMP=20MyjMya</font><br>=0D=
=0A<font=20color=3D"#FFFFFF">YAXCoD=20OzZtip=20dIvp=20bChSPvYZBSqlZ=20LMY=20=
wkPzZl=20YGjaLYg=20DKtEX</font><br>=0D=0A<font=20color=3D"#FFFFFF">PQrVBsBS=20=
LiSWO=20UjnlvHKgK=20gTLMxUDTDT=20BPEYMm=20qaxboBDQc=20xFDhOKhJb=20NLMoaHjvH<=
/font><br>=0D=0A</a>=0D=0A</font>=0D=0A<font=20face=3D"=BC=D0=B7=A2=C5=E9">=0D=
=0A<a=20href=3D"http://n177ybkpjj.zerodio.com#@.vpcryeochkk.com">=0D=0A<font=
=20color=3D"#CC33FF"=20size=3D"6">我有興趣立&#=
x5373;前往</font></a><font=20color=3D"#FFFFFF">sOGe=20hIFCGQu=20=
onJuaOMgy=20DPSgopXZgVBjAyo=20sQi=20vdfkQnZdC=20hBqNXgr=20hEHXaCBPnLlzX</fon=
t><br>=0D=0A</a></font><u><br>=0D=0A=A1@</u></p>=0D=0A=0D=0A</body>=0D=0A=0D=
=0A</html>
--=====003_Dragonf8c4f75271014c0ba5760ceedc85cecd_=====--


Ich habe so ziemlich alles versucht. Würde mich sehr freuen, wenn jemand helfen könnte. Einfach fragen, welche Infos noch benötigt werden.

Vielen Dank im Voraus!

Michael
 
Vielen Dank für die Links. Mache mich dann mal ans Werk!

Aber: wäre ein Austausch von qmail und postfix hier nicht einfacher? Oder hat postfix die gleichen Schwächen?

Ich will in jedem Fall wissen, wie diese Mails auf den Server kommen..

Kann das jemand erklären?
 
Hier ist der Auszug (kann ich nichts mit anfangen...):

Code:
Aug 24 22:55:22 h685447 qmail-queue: dwlib[6275]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Aug 24 22:55:22 h685447 qmail-queue: dwlib[6275]: scan: the message(drweb.tmp.qmBQqJ) sent by iisrevn@googlegroups.com to shepooxoox@yahoo.com.tw should be passed without checks, because contains uncheckable addresses
Aug 24 22:55:22 h685447 qmail-queue: dwlib[6283]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Aug 24 22:55:22 h685447 qmail-queue: dwlib[6283]: scan: the message(drweb.tmp.2dZbN3) sent by juxxk@nkrhmqeiqud.com to randylee543@yahoo.com.tw should be passed without checks, because contains uncheckable addresses
Aug 24 22:55:23 h685447 qmail-queue: dwlib[6291]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Aug 24 22:55:23 h685447 qmail-queue: dwlib[6291]: scan: the message(drweb.tmp.l1dr71) sent by pohahreezu@ms77.hinet.net to babal200@yahoo.com.tw should be passed without checks, because contains uncheckable addresses
Aug 24 22:55:25 h685447 qmail-queue: dwlib[6321]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
[COLOR="Red"]Aug 24 22:55:25 h685447 qmail-queue: dwlib[6321]: scan: the message(drweb.tmp.FHEQtC) sent by hghjaomhsfb@googlegroups.com to houare0610@yahoo.com.tw should be passed without checks, because contains uncheckable addresses[/COLOR]
Aug 24 22:55:26 h685447 qmail-queue: dwlib[6334]: mail: all addreses are uncheckable - need to skip scanning (by deny mode)
Aug 24 22:55:26 h685447 qmail-queue: dwlib[6334]: scan: the message(drweb.tmp.ztWrnF) sent by pzbltl@ms88.hinet.net to cmc0827888@yahoo.com.tw should be passed without checks, because contains uncheckable addresses

Plesk Version: 7.5.4
(Wird wohl nix, oder?)

Also die beiden Sachen installieren?

Wenn es sein muss, kille ich den Server auch komplett und installiere neu. Ich will ja einfach nur wissen, woher die Mails kommen.

Ich kann über den smtp keine Nachrichten an andere Domains senden. Nur an lokale Adressen und die werden in den Müll geworfen...

Werden die genauen SMTP-Befehle irgendwo gelogged?

Vielen Dank! Bin echt verzweifelt. Stand nach ca. 1 Stunde:

Code:
Total messages: 1685
Messages with local recipients: 0
Messages with remote recipients: 1685
Messages with bounces: 0
Messages in preprocess: 0
 
Habe außerdem gerade festgestellt, dass auch der neue Server mit Suse 11.1 und Plesk 9.2. qmail nutzt.

Ist das jetzt nur eine Frage der Zeit bis auch hier das Gleiche passiert?
 
Du musst im Logfile weiter nach oben gehen!
Schaust Du auch ins richtige? /usr/local/psa/var/log/maillog

Plesk 7.5 ist nun wirklich sehr alt. Ich weiß gar nicht, ob Spamdyke dort funktioniert.
Alternative: Plesk/Qmail: Spamprotection mit Greylisting

Und bevor Du zu sehr auf Qmail rumreitest: Erst raus bekommen wie die Mails rein kommen.
Alles Andere ist zur Zeit destruktiv.

huschi.
 
Eher sowas:

Code:
Aug 25 23:35:26 h685447 qmail: 1282772126.739983 new msg 7874907
Aug 25 23:35:26 h685447 qmail: 1282772126.740412 info msg 7874907: bytes 2995 from <kcnmndlqp@ms59.hinet.net> qp 21269 uid 2020
Aug 25 23:35:27 h685447 qmail: 1282772127.940843 delivery 4479: success: 203.188.197.9_accepted_message./Remote_host_said:_250_ok_dirdel/
Aug 25 23:35:27 h685447 qmail: 1282772127.941697 status: local 0/10 remote 19/20
Aug 25 23:35:27 h685447 qmail: 1282772127.941837 end msg 7874905
Aug 25 23:35:27 h685447 qmail: 1282772127.951700 starting delivery 4480: msg 7874910 to remote rich660805@yahoo.com.tw
Aug 25 23:35:27 h685447 qmail: 1282772127.951855 status: local 0/10 remote 20/20

Genau das würde ich gern wissen: wie kommen die rein? Kann man irgendwo sehen, on die per smtp reinkommen? Kann es auch ein php-Skript sein?
 
Jupp, besser!
Du suchst nun alle Einträge mit "msg 7874907" bis zu einem neuen "new msg 7874907".
Dabei sollte irgendwo ein "starting delivery [....]: msg 7874907" auftauchen.
Dann suchst Du nach allen Einträgen mit "delivery [....]".
Nun hast Du alle Daten zu einer Email-Zustellung zusammen.

Die einzige Information, die Dir Plesk in dieser Version vorenthält, ist, ob sich der Sender per SMTP-Auth einloggt.
Dies kann durch ein Patchen aber ermöglicht werden. Siehe http://www.huschi.net/5_244_de-plesk-qmail-qmail-selber-kompilieren.html

huschi.
 
Dann z.B. diese hier:

Code:
Aug 25 17:40:25 h685447 qmail: 1282750825.626069 new msg 7874907
Aug 25 17:40:25 h685447 qmail: 1282750825.806399 info msg 7874907: bytes 2552 from <unxidahnoq@hotmail.com> qp 13366 uid 2020
Aug 25 22:23:31 h685447 qmail: 1282767811.561994 new msg 7874907
Aug 25 22:23:31 h685447 qmail: 1282767811.562043 info msg 7874907: bytes 3216 from <xnhmxhqzat@ms72.hinet.net> qp 31225 uid 2020
Aug 25 23:35:18 h685447 qmail: 1282772118.674388 starting delivery 4478: msg 7874907 to remote lingshu188@yahoo.com.tw
Aug 25 23:35:24 h685447 qmail: 1282772124.826364 end msg 7874907
Aug 25 23:35:26 h685447 qmail: 1282772126.739983 new msg 7874907
Aug 25 23:35:26 h685447 qmail: 1282772126.740412 info msg 7874907: bytes 2995 from <kcnmndlqp@ms59.hinet.net> qp 21269 uid 2020
[...]
Aug 25 23:35:18 h685447 qmail: 1282772118.674388 starting delivery 4478: msg 7874907 to remote lingshu188@yahoo.com.tw
Aug 25 23:35:24 h685447 qmail: 1282772124.826174 delivery 4478: success: 203.188.197.10_accepted_message./Remote_host_said:_250_ok_dirdel/

Ich versuche den Patch mal zu installieren... Hier kann man noch nichts erkennen oder? Ist das wirklich alles so kompliziert;-)
 
So, bin ein Stück weiter:

- in Plesk war die SMTP-Anmeldung ohne Domain-Zusatz erlaubt dadurch war folgendes möglich:

Code:
Aug 26 02:42:29 h685447 qmail-smtpd: smtp-auth[7234] ok for login: info, pwd: <7234.1282783348@h685447.serverkompetenz.net>
Aug 26 02:42:29 h685447 qmail-smtpd: smtp-auth[6893] ok for login: info, pwd: <6893.1282783349@h685447.serverkompetenz.net>
Aug 26 02:42:29 h685447 qmail-smtpd: smtp-auth[7232] ok for login: info, pwd: <7232.1282783349@h685447.serverkompetenz.net>
Aug 26 02:42:30 h685447 qmail-smtpd: smtp-auth[6877] ok for login: info, pwd: <6877.1282783350@h685447.serverkompetenz.net>

Ich habe leider trotz Deaktivierung aller info-Mailboxes das nicht unterbinden können. Erst das Erzwingen der vollständigen Adresse hat geholfen. Welche Nachteile hat das?

Was kann ich nun tun, damit es erst gar nicht zu den permanenten SMTP Anfragen kommt? Kann ich da IPs sperren, wenn ja, wie?

Nochmals vielen Dank für die Hilfe Huschi! Konnte die Patches problemlos installieren - auch greylisting müsste jetzt laufen!
 
Erst das Erzwingen der vollständigen Adresse hat geholfen. Welche Nachteile hat das?
Keine Nachteile (außer dass die Mail-Clients ggf. umgestellt werden müssen.)
Im Gegenteil, es ist sogar besser, da Du nun im Logfile unterscheiden kannst, welche info@ gerade dran ist.

Was kann ich nun tun, damit es erst gar nicht zu den permanenten SMTP Anfragen kommt?
Welche meinst Du?
Könnte es sein, dass es mit Greylisting schon ausreicht?

@Roger:
Ich dachte eher in die Richtung, dass Plesk seinen Qmail-Prozess umgestellt und den qmail-handler-patch mit rein genommen und damit auch den Auth-Vorgang verhändert hat.
Aber ich denke Du hast recht. Spamdyke lauscht lediglich am Datenverkehr und sollte daher von den Qmail-Innereien unabhängig sein.

huschi.
 
Moin,

ich meine das:

Code:
Aug 26 10:17:34 h685447 qmail-smtpd: smtp-auth[25540] fail for login: info
Aug 26 10:17:35 h685447 qmail-smtpd: smtp-auth[25548] fail for login: info
Aug 26 10:17:36 h685447 qmail-smtpd: smtp-auth[25560] fail for login: info
Aug 26 10:17:36 h685447 qmail-smtpd: smtp-auth[25555] fail for login: info
Aug 26 10:17:37 h685447 qmail-smtpd: smtp-auth[25564] fail for login: info
Aug 26 10:17:37 h685447 qmail-smtpd: smtp-auth[25561] fail for login: info
Aug 26 10:17:38 h685447 qmail-smtpd: smtp-auth[25576] fail for login: info
Aug 26 10:17:38 h685447 qmail-smtpd: smtp-auth[25579] fail for login: info
Aug 26 10:17:38 h685447 qmail-smtpd: smtp-auth[25584] fail for login: info
Aug 26 10:17:41 h685447 qmail-smtpd: smtp-auth[25598] fail for login: info
Aug 26 10:17:42 h685447 qmail-smtpd: smtp-auth[25595] fail for login: info
Aug 26 10:17:43 h685447 qmail-smtpd: smtp-auth[25607] fail for login: info
Aug 26 10:17:46 h685447 qmail-smtpd: smtp-auth[25621] fail for login: info
Aug 26 10:17:46 h685447 qmail-smtpd: smtp-auth[25627] fail for login: info
Aug 26 10:17:46 h685447 qmail-smtpd: smtp-auth[25619] fail for login: info
Aug 26 10:17:47 h685447 qmail-smtpd: smtp-auth[25629] fail for login: info
Aug 26 10:17:48 h685447 qmail-smtpd: smtp-auth[25642] fail for login: info
Aug 26 10:17:48 h685447 qmail-smtpd: smtp-auth[25649] fail for login: info
Aug 26 10:17:49 h685447 qmail-smtpd: smtp-auth[25652] fail for login: info
Aug 26 10:17:52 h685447 qmail-smtpd: smtp-auth[25483] fail for login: info
Aug 26 10:17:52 h685447 qmail-smtpd: smtp-auth[25676] fail for login: info

Lastet das den Server nicht unnötig aus? Kann ich irgendwo auch sehen, welche IPs das sind? Greylisting läuft doch für eingehende Mails und nicht für Mails die über den Server gesender werden, oder?

Danke für alle Tipps! Ich hoffe es ist jetzt vorbei mit der Spammerei.
 
netstat -t würde ich ad hoc sagen.

Naja Abhängig von der Menge der Loginversuche erzeugt das natürlich auch Last.
Brutforce Attacken sind jedoch nichts ungewöhnliches.
Und ein Loginversuch alle jede Sekunden im Schnitt das sollte Dein Host abkönnen.

BTW: Falls nicht schon erwänt.


Postfix wird von Plesk erst ab einer Version > 8 untersützt.
Spamdyke funktioniert auch auf Plesk 7.5 Qmail und wird wie von Roger gesagt in den Datenstrom eingeklinkt.
 
Last edited by a moderator:
Back
Top