Получил жалобу на спам

cd /var/log/mail

cat mainlog | grep

вроде не сложно...

я в этом ничего не понимаю. что там нужно смотреть? Какие данные там можно увидеть?

Спасибо

Наймите администратора, работа стоит около 10$ в обычном случае. Судя по всему, вы 10 долларами не обойдетесь.

а какая оценочная стоимость работ может быть? (что-бы меня не таво :) )

А что там в данном случае можно искать ? Даже нет пояснений в headers на тему того каким скриптом было отправлено, ну увидит он в логах что поступило письмо в очередь , уехало на remote_smtp и че??? Тут надо будет сначала на сервере покрутить чуток, а потом ждать следующего спама с его сервера, что бы зафиксировать кто же это...

Romka_Kharkov добавил 31.01.2011 в 10:57

ЗА 10$ я бы не взялся ;))))

Есть еще такие данные:

Evidence:

attacked server: relay3.netpilot.net

envelopesender: root@isp.barvanet.com

enveloperecpient: molzen@pepdesign.de

Helo: isp.barvanet.com

source-ip: 193.169.188.32

protocol: ESMTP

instance: predata20.89d.4d437e18.18803.0

size: 1722

reason: 20 -->570 Blocked by http://www.clean-mx.de ip of sending client is blacklistet:

Evidences so far in total for this ip:1

---

Reported-From: abuse@clean-mx.de

Category: info

Report-Type: harvesting

Service: postfix

Version: 0.1

User-Agent: V2.1.5 anti-scam-bot clean-mx.de

Date: Sat, 29 Jan 2011 03:40:24 +0100

Source-Type: ip-address

Source: 193.169.188.32

Port: 25

Report-ID: 95841622@postfix.clean-mx.de

Schema-URL: http://www.x-arf.org/schema/info_0.1.0.json

Attachment: text/plain

attacked server: relay3.netpilot.net

envelopesender: root@isp.barvanet.com

enveloperecpient: molzen@pepdesign.de

Helo: isp.barvanet.com

source-ip: 193.169.188.32

protocol: ESMTP

instance: predata20.89d.4d437e18.18803.0

size: 1722

reason: 20 -->570 Blocked by http://www.clean-mx.de ip of sending client is blacklistet:

Evidences so far in total for this ip:1

Ну или пресечь это дело. если рассылают стандартно через exim - найти не проблема. А если через хитрый зад - можно его прикрыть. Ну я бы (судя потому, что вам нужен аудит) разговаривал бы от 30-50 долларов...

Так а как вы присечь собираетесь если не известен источник, или есть какие-то шаманские методики как на шаред сервере из 10.000 сайтов вычислить именно тот который спамит ???

Без анализа хидеров и добавления туда спец хидеров по поводу скрипта который инициирует mail() ?

Ну тут много о тчего зависит, например, посмотреть suexec.log, также посмотреть последние логи ftp, они обычно закачивают что-то вроде _a.txt _b.txt mailbase.txt и потом все это удаляют.

Если файрволом не блокируется 25 порт наружу по uid/gid в логах exim может ничего не быть. Гадать можно долго :)

Я прекрасно понимаю о чем вы, я просто намекнул что 10$ это не то о чем стоит разговаривать, за 10$ разве что кто-то посмотрит на уже готовый и настроенный suexec + все остальное что вы перечислили, а вот зашли вы на сервер, а там exim default install + no-suesec (апачик пересобрать надо) да и в файрволе например по uid/gid ничего не прописано (что кстати само по себе панацеей не является), а еще круче ядро какое-то "мега новое" где еще iptables не собрано :))))

Ну а насчет FTP это вы загнули наверное (хотя в комплексе с другими мероприятиями не помеха однозначно), я если сейчас лог отгрепаю по a.txt получу мильярд совпадений :))) Что искать то?

Отсюда и цена плясать будет.

ТС вот мои личные рекомендации:

(опишу "на русском" , все равно придется к админу обращаться)

1. Во первых, exim (ваш MTA) должен быть собран\настроен с максимально возможной системой логов, т.е должно быть видно кто и что и почему.

2. PHP + PERL должны содержать враперы которые будут отдельно логировать вызовы mail(). Что бы было видно какой именно скрипт отправил почту. (таким образом можно легко выяснить вредителя среди массы других клиентов).

3. Опция в iptables которую упоминает V(o)ViK так же будет полезна, но не сама по себе, а в совокупности с двумя пунктами описанными выше. В таком случае вы запретите исходящие коннекты на любые 25 порты любых ИП адресов для системных пользователей за исключением доверенных (тот от которого работает MTA, может какие-то системные дополнительные).

4. Никогда не стоит забывать о том, что если у вас шаред хостинг то вредить может вовсе не клиент, а например какой-то сторонний злоумышленник, который например через сайт одного из ваших клиентов , найдя в нем баг , шлет спам.

5. Рекомендую , для всех ваших доменов, прописать SPF записи , а так же настроить Domain Keys. Значительно снижает риск спама который могут рассылать с чужих серверов используя ваше доменное имя.

Пожалуй на этом все.

Ну и вообще мне интересно по описанным вами хедерам понять, если в них IP адрес который принадлежит вашему серверу? (если да, то какой?) мало ли, может это какой-то bounce back spam, который SBL не расчехлил.