LINUX.ORG.RU
решено Форум — General  

Как узнать что за скрипт...

 ,


1

1

Пришла абуза, что идет спам с сервера. Заблокировал 25 порт(исходящие конекты). Абузу сняли. Как найти какое приложение или скрипт такую бяку делает?

Как только перезапустил файрвол сразу такое: 

Chain OUTPUT (policy ACCEPT 389 packets, 39111 bytes)
num   pkts bytes target     prot opt in     out     source               destination
1       85  5499 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:25 reject-with icmp-port-unreachable

rkhunter ничего не показал! На eval и прочее php-скрипты проверял - результат отрицательный.


php-скрипты проверял

Опусти веб-сервер и «перезапусти файервол». Если никто почту не шлет, то ты понял где проблема, да?

futurama ★★★★★
()

легко.

1) Смотрите логи MTA.

2) Смотрите

exim -Mvh id-message

увидите метод отправки и скрипт который отправляет.

int13h ★★★★★
()
Ответ на: комментарий от futurama

Опусти веб-сервер и «перезапусти файервол»

Просто вебсервера мало. Письмо стоит в очереди, и почтовик будет пытаться его отослать.

Смотри логи.

anonymous
()
Ответ на: комментарий от futurama

После остановки апача - письма слаться перестали. exim dovecot вообще отключены. Видимо скрипт куда то конектиться для отправки, сам по себе с сервера ничего не отправляет!

xisip
() автор топика
Ответ на: комментарий от xisip

LEONARDO дело говорит, нужно поднять апач и понаблюдать за выхлопом netstat -tp - если почтовый сервер у вас отключен, значит отправка скорее всего производится по протоколу SMTP. Как только найдёте процесс, плодящий SMTP-подключения, вам достаточно будет lsof -p PID_процесса и strace -p PID_процесса для обнаружения скрипта, отвечающего за рассылку. Иногда обработчик обрабатывает одновременно несколько запросов от разных скриптов, в результате чего нужно очень внимательно наблюдать за тем, что происходит в выхлопе strace что-бы понять какой скрипт осуществляет рассылку. Для его поиска нужно запастись терпением, но рано или поздно вы найдёте нужный вам скрипт.

lucentcode ★★★★★
()
Ответ на: комментарий от xisip

Хорошо, что скрипт нашёлся:) Подобную проблему лучше решать как можно скорей, пока IP-адрес сервера не засветился особо в спам-листах и списках IP с плохой репутацией.

lucentcode ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
General