Moin zusammen!
Ich habe den Verdacht, dass einer oder mehrere Spamer meinen Server mittels einme schwachen (schlecht geschriebenem Skript) mißbrauchen.
Debian 3.1
Plesk 7.5.4
Qmail äh
Relay ist zwar geschlossen, aber es kommen täglich hunderte Mails zurück, die keiner von den Usern verschickt hat (da bin ich 99% sicher).
Als Beispiel ein vollkommen zufällig ausgewähltes bounce:
Um die Zeit schlafen die User noch (sind alles Inländer
). Und der Inhalt ist auch klar spam.
Da die Message-ID: <20060805031628.1754.qmail@mein.server.de> meinen MTA enthält und das allermeist der Fall ist, denke ich, dass die Mail auch tatsächlich von meinem server kommt. Außerdem findet sich im Log noch folgendes
So weit mein Know How reicht muß es wohl ein schlecht programiertes Skript sein. Allerdings laufen fast hundert unterschiedlich große Skripten auf dem Server und ich habe nicht einmal einen Verdacht welches die Schwachstelle sein könnte.
Gibt's nicht irgendwo in den Logs eine Info WER bzw. WELCHES SKRIPT die injection vornimmt? Oder gibt's wenigstens eine Taktik mit der man die Zahl der Skripten eingrenzen könnte?
DANKE für euer Hirnschmalz
Gruß Norbert
Ich habe den Verdacht, dass einer oder mehrere Spamer meinen Server mittels einme schwachen (schlecht geschriebenem Skript) mißbrauchen.
Debian 3.1
Plesk 7.5.4
Qmail äh
Relay ist zwar geschlossen, aber es kommen täglich hunderte Mails zurück, die keiner von den Usern verschickt hat (da bin ich 99% sicher).
Als Beispiel ein vollkommen zufällig ausgewähltes bounce:
Code:
From - Sat Aug 05 12:50:03 2006
...
Delivered-To: [email protected]
Received: (qmail 1791 invoked for bounce); 5 Aug 2006 04:29:41 +0200
Date: 5 Aug 2006 04:29:41 +0200
From: [email protected]
To: [email protected]
Subject: failure notice
Hi. This is the qmail-send program at mein.server.de.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.
<[email protected]>:
208.36.123.58 does not like recipient.
Remote host said: 550 <[email protected]>: User unknown
Giving up on 208.36.123.58.
--- Below this line is a copy of the message.
Return-Path: <[email protected]>
Received: (qmail 1755 invoked by uid 0); 5 Aug 2006 04:26:28 +0200
Date: 5 Aug 2006 04:26:28 +0200
Message-ID: <[email protected]>
From: [email protected]
To: [email protected]
CC:
Subject: =?utf-8?Q?Re:_Hey,_buddy,_you_must_be_very_disappointed_of_it=21?=
Content-Type: text/plain; charset="UTF-8"
Content-Transfer-Encoding: 8bit
Content-Disposition: inline
Bin im UrlaubUm die Zeit schlafen die User noch (sind alles Inländer
). Und der Inhalt ist auch klar spam.Da die Message-ID: <20060805031628.1754.qmail@mein.server.de> meinen MTA enthält und das allermeist der Fall ist, denke ich, dass die Mail auch tatsächlich von meinem server kommt. Außerdem findet sich im Log noch folgendes
Code:
Aug 5 04:26:28 server qmail: 1154747788.892345 new msg 4860623
Aug 5 04:26:28 server qmail: 1154747788.892399 info msg 4860623: bytes 413 from <[email protected]> qp 1755 uid 0
Aug 5 04:26:28 server qmail: 1154747788.892457 starting delivery 3900: msg 4860623 to remote [email protected]
...
Aug 5 04:29:41 server qmail: 1154747981.930353 delivery 3900: failure: 208.36.123.58_does_not_like_recipient./Remote_host_said:_550_<[email protected]>:_User_unknown/Giving_up_on_208.36.123.58./
Aug 5 04:29:41 server qmail: 1154747981.930458 status: local 0/10 remote 0/20
Aug 5 04:29:41 server qmail: 1154747981.942425 bounce msg 4860623 qp 1791
Aug 5 04:29:41 server qmail: 1154747981.942484 end msg 4860623So weit mein Know How reicht muß es wohl ein schlecht programiertes Skript sein. Allerdings laufen fast hundert unterschiedlich große Skripten auf dem Server und ich habe nicht einmal einen Verdacht welches die Schwachstelle sein könnte.
Gibt's nicht irgendwo in den Logs eine Info WER bzw. WELCHES SKRIPT die injection vornimmt? Oder gibt's wenigstens eine Taktik mit der man die Zahl der Skripten eingrenzen könnte?
DANKE für euer Hirnschmalz
Gruß Norbert
