LINUX.ORG.RU
Форум — Admin  

exim рассылка спама

 ,


3

2

Добрый день. Вопрос по exim-у. Достался по наследству.Проблема в том, что на info@domain.ru стали приходить отчеты о недоставке писем. Письма - спам. Причем в логах exim-а нет этих писем, только отчеты о недоставке.Но есть другие отправленные письма с ящика contact@domain.ru, которого вообще не существует.

Кусок лога: 

2016-12-18 19:24:32 no host name found for IP address 192.168.61.21
2016-12-18 19:24:32 1cIaW0-0004PR-Mk spam acl condition: warning - spamd connection to 127.0.0.1, port 783 failed: Connection refused
2016-12-18 19:24:32 1cIaW0-0004PR-Mk spam acl condition: all spamd servers failed
2016-12-18 19:24:32 1cIaW0-0004PR-Mk H=(domain.ru) [192.168.61.21] I=[82......]:25 Warning: ACL "warn" statement skipped: condition test deferred
2016-12-18 19:24:32 1cIaW0-0004PR-Mk <= info@domain.ru H=(domain.ru) [192.168.61.21] I=[82.200.29.130]:25 P=esmtp S=1284 id=52595529.04345450.1482063870267@domain.ru from <info@domain.ru> for pops7632@yahoo.com
2016-12-18 19:24:38 1cIaW0-0004PR-Mk => pops7632@yahoo.com R=dnslookup T=remote_smtp H=mta6.am0.yahoodns.net [98.138.112.32] X=TLS1.2:ECDHE_RSA_AES_128_GCM_SHA256:128 C="250 ok dirdel"
2016-12-18 19:24:38 1cIaW0-0004PR-Mk Completed

Причем на адресе 192.168.61.21 находится сайт. Изначально я думала о уязвимости сайта. Но письма отправляются по SMTP и в заголовках писем нет ссылок на php скрипт, который бы их отправлял. При этом при отключении сайта письме о недоставке перестают приходить. А в логе смущает H=(domain.ru) [192.168.61.21] I=[82......]:25, потому что когда я отправляю письма внутри сети, то этот кусок в логах выглядит так H=([192.168.200.6]) [192.168.200.6] I=[192.168.60.1]:25, то есть нет ссылки на наш внешний адрес.

У меня складывается ощущение,что кто-то снаружи пытается отправлять письма с нашей почты????Так ли это судя по логам и как запретить отправку таких писем???


Проблема решается убиранием из спам-фильтра правил, считающих письма со своего домена хамом. А еще лучше настроить spf, тогда подобные письма отсеются еще на этапе smtp сессии.

PlusQuamPerfect
()

прежде всего посмотри spf запись. может быть там позволено слать всем кто захочет.

Deleted
()

Так ли это судя по логам и как запретить отправку таких писем?

Да, это так. Гугл - exim open relay и заодно включай обязательную аутентификацию

bass ★★★★★
()

Можно там где сайт в php.ini добавить 

mail.add_x_header = On
mail.log = /var/log/php.mail.log
и посмотреть кто пытается слать письма.

pkurg ★★★★
()

Регулярно с этим борюсь и тут тоже спрашивал, в итоге переехал на postfix, мне так удобнее. Но алгоритм поиска такой же будет. Если спам прекращается (а бывает и не прекращается) после отключения сайта, то тут не всегда может слать именно php. Я как-то много времени убил на поиск именно вызовов sendmail. Проще делать так:

1) вешаешь tcpdump на 25-й порт, смотришь кто подключается и с каким портом, обычно выглядит как localdomain.port_number.

2) получив порт делаешь lsof -i :port_number и узнаешь какой процесс висит на этом порте. Обычно это 2 — вебсервер и сам почтовик.

3) получив pid вебсервера смотришь, что открыл он lsof -p pid_web_server

4) в списке ищешь открытые каталоги/файлы указывающие на подозрительный сайт и делаешь своё дело. После рестарт.

Вот примерно такой алгоритм помогает бороться с дырявыми самописными cms на php, которые никто уже обновлять не будет, но и переносить на что-то вменяемое не собираются.

conformist ★★★
()
Ответ на: комментарий от pkurg

Все это делала. В логах php нету этих писем

gema
() автор топика

Предлагаю начать со схемы. Если я правильно понял у вас пробрасываются порты с внешнего ip на внутренний где и крутиться сайт/почтовый-сервер? Если да, и они не изолированы по контейнерам/виртуалкам, то как минимум уже ССЗБ. Точнее так, пробрасывать во внутреннюю сеть вэб - уже ССЗБ.

При этом при отключении сайта письме о недоставке перестают приходить.

Вы точно не мешаете понятие сайт и почту в один флакон? Это только на уровне предположения.

Далее. spam cal condition: warning - spamd connection to 127.0.0.1, port 783 failed: Connection refused
Уже как бэ намекает на проблемы.

82.200.29.130 - это ваш внешний или неизвестный вам ip ? (начало 82 совпадает)

Пока по вопросам, вроде все. Будут ответы может чего и придумаем.

anc ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin