Как можно расширить логи exim

N
На сайте с 25.12.2008
Offline
34
2047

Как можно расширить логи эгзима, чтобы было видно кто и откуда шлет пиьсьмо (через какой файл идет запрос и тд)

Нашел вот эту статью http://dedic.ru/node/763

Но если тоже самое проделывать с файлом exim4 то вылетает ошибка.

Проблема в том, что кто-то занимается спамом с моего сервера, а я хочу выяснить источник спама и есть подозрение что спам идет напрямую через экзим. Заранее большое спасибо

M
На сайте с 01.12.2009
Offline
235
#1

Может релеят, это чётко видно в логах и ненадо расширять.

Администратор Linux,Freebsd. построения крупных проектов.
N
На сайте с 25.12.2008
Offline
34
#2

в каком плане релеят? в логах видно что идет отправка сообщений от root@ипсервера

nonamexx добавил 22.10.2011 в 15:29

нашел вот такую запись

2011-10-22 15:05:31 H=mail.neris.lt (web.neris.lt) [88.222.195.103] F=<info@rock.com> rejected RCPT <exele@oi-music.ru>: relay not permitted

че это значит?

M
На сайте с 01.12.2009
Offline
235
#3

Ну раз на то пошло, у вас что одна запись ? в логе ?

N
На сайте с 25.12.2008
Offline
34
#4

нет но с релеем чтук 10. просто фишка в чем. я удалял экзим. ставил постфикс. спам прекращался на какое то время. потом вновь начинался. пока спама нет но есть вот такие записи, что мне кажется отвечает за то что идут какие то левые запросы, т.к. именно в отправителе указано оно root@89-149-242-135.internetserviceteam.com

2011-10-21 13:21:10 1RGw78-0000JB-PB == root@89-149-242-135.internetserviceteam.com R=procmail T=procmail_pipe defer (-52): Retry time not yet reached
2011-10-21 13:21:10 1RGw75-0000I0-3D == root@89-149-242-135.internetserviceteam.com R=procmail T=procmail_pipe defer (-52): Retry time not yet reached
2011-10-21 13:21:10 1RGw7k-0000OQ-3M == root@89-149-242-135.internetserviceteam.com R=procmail T=procmail_pipe defer (-52): Retry time not yet reached
2011-10-21 13:21:10 1RGw6s-0000GI-7p == root@89-149-242-135.internetserviceteam.com R=procmail T=procmail_pipe defer (-52): Retry time not yet reached

когда начинается спам эти записи исчезают

Andreyka
На сайте с 19.02.2005
Offline
822
#5

У exim другой формат для отправки письма с командной строки

Не стоит плодить сущности без необходимости
N
На сайте с 25.12.2008
Offline
34
#6

ну вот ща просто стоял потфикс я его удалил. я как пониамю это формат постфикса, поэтому и идут вот такие ошибки. когда тот кто спами опять увидит, что я поставил экзим переставит у себя что-то.

при спаме с экзима вот такой лог создается

2011-10-21 18:18:05 1RHFvB-0003dK-32 <= root@89-149-242-135.internetserviceteam.com U=root P=local S=22210 from <root@89-149-242-135.internetserviceteam.com> for myles12344@yahoo.com
2011-10-21 18:18:05 1RHFvA-0003d7-Q3 => brueskedave <brueskedave@yahoo.com> R=mailstore_router T=mailstore_transport
2011-10-21 18:18:05 1RHFvB-0003dH-2A <= root@89-149-242-135.internetserviceteam.com U=root P=local S=103506 from <root@89-149-242-135.internetserviceteam.com> for brufaro@yahoo.com
2011-10-21 18:18:05 1RHFvA-0003d4-PJ => janderbend <janderbend@yahoo.com> R=mailstore_router T=mailstore_transport
2011-10-21 18:18:05 1RHFv8-0003c6-O8 => ryan20502002@yahoo.com R=dnslookup T=remote_smtp H=mta5.am0.yahoodns.net [74.6.140.64] C="250 ok dirdel"
2011-10-21 18:18:05 1RHFvB-0003dT-7J <= root@89-149-242-135.internetserviceteam.com U=root P=local S=22228 from <root@89-149-242-135.internetserviceteam.com> for freaknastyboogs@yahoo.com
2011-10-21 18:18:05 1RHFv8-0003c6-O8 Completed
2011-10-21 18:18:05 1RHFvB-0003dU-72 <= root@89-149-242-135.internetserviceteam.com U=root P=local S=103518 from <root@89-149-242-135.internetserviceteam.com> for brugal0034@yahoo.com
2011-10-21 18:18:05 1RHFAs-00061b-K3 == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:05 1RHFAy-00063P-9I == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:06 1RHFAs-00061i-Oe == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:06 1RHFvA-0003cj-1L ** wraithbird05@yahoo.com R=dnslookup T=remote_smtp: SMTP error from remote mail server after end of data: host mta6.am0.yahoodns.net [74.6.140.64]: 554 delivery error: dd This user doesn't have a yahoo.com account (wraithbird05@yahoo.com) [-5] - mta1132.mail.sk1.yahoo.com
2011-10-21 18:18:07 1RHFB8-00067S-IW == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:07 1RHFBl-0006Qa-5f == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:08 1RHFv8-0003bo-8p => brudak_repaba@yahoo.com R=dnslookup T=remote_smtp H=mta7.am0.yahoodns.net [74.6.136.244] C="250 ok dirdel"
2011-10-21 18:18:08 1RHFv8-0003bo-8p Completed
2011-10-21 18:18:08 1RHFv5-0003ag-7J => bruckcanera@yahoo.co.id R=dnslookup T=remote_smtp H=mx1.mail.sg1.yahoo.com [124.108.116.109] C="250 ok dirdel"
2011-10-21 18:18:08 1RHFv5-0003ag-7J Completed
2011-10-21 18:18:08 1RHFAE-0005jb-Qn == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:09 1RHFAT-0005rH-IB == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:09 1RHFCa-0006cW-30 == root@89-149-242-135.internetserviceteam.com R=dnslookup T=remote_smtp defer (-53): retry time not reached for any host
2011-10-21 18:18:10 1RHFv9-0003cR-4q => gioski7@yahoo.com R=dnslookup T=remote_smtp H=mta7.am0.yahoodns.net [74.6.136.244] C="250 ok dirdel"
2011-10-21 18:18:10 1RHFv8-0003cG-TM => bruddahisaac@yahoo.com R=dnslookup T=remote_smtp H=mta5.am0.yahoodns.net [74.6.140.64] C="250 ok dirdel"
2011-10-21 18:18:10 1RHFv8-0003cG-TM Completed
2011-10-21 18:18:10 1RHFv9-0003cR-4q Completed
2011-10-21 18:18:10 1RHFvA-0003cs-D6 => dcb111@yahoo.com.au R=dnslookup T=remote_smtp H=mta4.am0.yahoodns.net [98.139.54.60] C="250 ok dirdel"
2011-10-21 18:18:10 1RHFvA-0003cs-D6 Completed
2011-10-21 18:18:10 1RHFv8-0003c4-Nk => bruddahbu1@yahoo.com R=dnslookup T=remote_smtp H=mta7.am0.yahoodns.net [98.139.54.60] C="250 ok dirdel"
2011-10-21 18:18:10 1RHFv9-0003cX-GF => brudolph2714@yahoo.com R=dnslookup T=remote_smtp H=mta6.am0.yahoodns.net [74.6.136.244] C="250 ok dirdel"
2011-10-21 18:18:10 1RHFv8-0003bv-Bl => brudbecky1004@yahoo.com R=dnslookup T=remote_smtp H=mta5.am0.yahoodns.net [74.6.140.64] C="250 ok dirdel"

если есьт какаянить возможность вообще запрет поставить на все кроме функции mail() в пшп подскажите, т.к. я не использую других.

Я настроил дубликат всех писем и вот одно из спамных

Return-path: <root@89-149-242-135.internetserviceteam.com>
Envelope-to: thegmen1@yahoo.com
Delivery-date: Fri, 21 Oct 2011 18:12:33 +0400
Received: from root by 89-149-242-135.internetserviceteam.com with local (Exim 4.72)
(envelope-from <root@89-149-242-135.internetserviceteam.com>)
id 1RHFpp-0001I5-GJ
for thegmen1@yahoo.com; Fri, 21 Oct 2011 18:12:33 +0400
Date: Fri, 21 Oct 2011 18:12:33 +0400
Message-Id: <E1RHFpp-0001I5-GJ@89-149-242-135.internetserviceteam.com>
From: Leanne Frieder <leanne_frieder@leanne-frieder.info>
To: "William" <thegmen1@yahoo.com>
Subject: =?utf-8?Q?=E2=98=85?= Leanne BOOBS Frieder sent you a WINK =?utf-8?Q?=E2=98=85?=
MIME-Version: 1.0
Content-Type: multipart/related;
boundary="=_4f647fb333bd18211844285b0da9daaa"

--=_4f647fb333bd18211844285b0da9daaa
Content-Type: multipart/alternative;
boundary="=_d47507beffe88e05395808c4cd0593f6"

--=_d47507beffe88e05395808c4cd0593f6
Content-Type: text/plain; charset="ISO-8859-1"
Content-Transfer-Encoding: 7bit

Dear William,
I saw your photo in the social network and realized that we live in the same town.
How about spending a couple of hot weekends together and having fun without any needless questions? ;-)

Just write me in my profile: http://www.leanne-frieder.info/

With kisses,
Leanne

--=_d47507beffe88e05395808c4cd0593f6
Content-Type: text/html; charset="ISO-8859-1"
Content-Transfer-Encoding: quoted-printable

<html><head></head><body>
<DIV style=3D"FONT-FAMILY: 'Tahoma'; color:#000000; FONT-SIZE: 11pt">
Dear William, <br>
I saw your photo in the social network and realized that we live in the sam=
e town. <br>
How about spending a couple of hot weekends together and having fun without=
any needless questions? ;-) <br>
<br>
Just write me in my profile:: <a href=3D"http://www.leanne-frieder.info/">h=
ttp://www.leanne-frieder.info/</a> <br>
<br>
<a href=3D"http://www.leanne-frieder.info/">=20
<img src=3D"cid:c49c84f5bd2246c08bb5dc49af6b47ab" alt=3D"" width=3D"190" he=
ight=3D"255" border=3D"0"></a>=20
<br>
With kisses, <br>
Leanne=20
</div>
<img width=3D"1" src=3D"http://leanne-frieder.info/stat.php?thegmen1@yahoo.com&mid=3D90=
949">
</body></html>

--=_d47507beffe88e05395808c4cd0593f6--
--=_4f647fb333bd18211844285b0da9daaa
Content-Type: application/octet-stream
Content-Transfer-Encoding: base64
Content-Disposition: inline; filename="Boobs8.jpg"
Content-ID: <c49c84f5bd2246c08bb5dc49af6b47ab>

тут никаких заголовков по поводу скриптов нет и поэтому не понятно откуда идет спам

M
На сайте с 01.12.2009
Offline
235
#7

cat /etc/hosts

N
На сайте с 25.12.2008
Offline
34
#8

спам шел от файлов в директории tmp еще он смог изменить приветствие ссш, знач у него руткит гдето??

вот содержание файла откуда как я понял спам шел

PMA_token |s:32:"33d1abccf67fddc215f4a7723a457855";PMA_Config|O:10:"PMA_Config":10:{s:14:"default_source";s:30:"./libraries/config.default.php";s:8:"settings";a:172:{s:14:"PmaAbsoluteUri";s:37:"https://89.149.242.135/my180990admin/";s:28:"PmaNoRelation_DisableWarning";b:0;s:21:"SuhosinDisableWarning";b:0;s:20:"McryptDisableWarning";b:0;s:22:"AllowThirdPartyFraming";b:0;s:15:"blowfish_secret";s:0:"";s:13:"ServerDefault";i:1;s:9:"MaxDbList";i:100;s:12:"MaxTableList";i:250;s:27:"MaxCharactersInDisplayedSQL";i:1000;s:6:"OBGzip";s:4:"auto";s:21:"PersistentConnections";b:0;s:8:"ForceSSL";b:0;s:13:"ExecTimeLimit";i:300;s:11:"MemoryLimit";s:1:"0";s:16:"SkipLockedTables";b:0;s:7:"ShowSQL";b:1;s:21:"AllowUserDropDatabase";b:0;s:7:"Confirm";b:1;s:17:"LoginCookieRecall";b:1;s:19:"LoginCookieValidity";i:1440;s:16:"LoginCookieStore";i:0;s:20:"LoginCookieDeleteAll";b:1;s:11:"UseDbSearch";b:1;s:23:"IgnoreMultiSubmitErrors";b:0;s:18:"VerboseMultiSubmit";b:1;s:20:"AllowArbitraryServer";b:0;s:13:"Error_Handler";a:2:{s:7:"display";b:0;s:6:"gather";b:0;}s:14:"LeftFrameLight";b:1;s:15:"LeftFrameDBTree";b:1;s:20:"LeftFrameDBSeparator";s:1:"_";s:23:"LeftFrameTableSeparator";s:2:"__";s:19:"LeftFrameTableLevel";i:1;s:11:"ShowTooltip";b:1;s:18:"ShowTooltipAliasDB";b:0;s:18:"ShowTooltipAliasTB";b:0;s:15:"LeftDisplayLogo";b:1;s:12:"LeftLogoLink";s:8:"main.php";s:18:"LeftLogoLinkWindow";s:4:"main";s:18:"LeftDisplayServers";b:0;s:18:"DisplayServersList";b:0;s:20:"DisplayDatabasesList";s:4:"auto";s:19:"LeftDefaultTabTable";s:17:"tbl_structure.php";s:9:"ShowStats";b:1;s:11:"ShowPhpInfo";b:0;s:14:"ShowServerInfo";b:1;s:15:"ShowChgPassword";b:1;s:12:"ShowCreateDb";b:1;s:13:"SuggestDBName";b:1;s:19:"NavigationBarIconic";b:1;s:7:"ShowAll";b:0;s:7:"MaxRows";i:30;s:5:"Order";s:3:"ASC";s:18:"DisplayBinaryAsHex";b:1;s:13:"ProtectBinary";s:4:"blob";s:18:"ShowFunctionFields";b:1;s:11:"CharEditing";s:5:"input";s:10:"InsertRows";i:2;s:23:"ForeignKeyDropdownOrder";a:2:{i:0;s:10:"content-id";i:1;s:10:"id-content";}s:18:"ForeignKeyMaxLimit";i:100;s:7:"ZipDump";b:1;s:8:"GZipDump";b:1;s:8:"BZipDump";b:1;s:13:"CompressOnFly";b:1;s:9:"LightTabs";b:0;s:16:"PropertiesIconic";b:1;s:20:"PropertiesNumColumns";i:1;s:16:"DefaultTabServer";s:8:"main.php";s:18:"DefaultTabDatabase";s:16:"db_structure.php";s:15:"DefaultTabTable";s:7:"sql.php";s:28:"DefaultTabTranslationMapping";a:9:{s:17:"tbl_structure.php";s:12:"strStructure";s:11:"tbl_sql.php";s:6:"strSQL";s:14:"tbl_select.php";s:9:"strSearch";s:14:"tbl_change.php";s:9:"strInsert";s:7:"sql.php";s:9:"strBrowse";s:16:"db_structure.php";s:12:"strStructure";s:10:"db_sql.php";s:6:"strSQL";s:13:"db_search.php";s:9:"strSearch";s:17:"db_operations.php";s:13:"strOperations";}s:6:"Export";a:88:{s:6:"format";s:3:"sql";s:11:"compression";s:4:"none";s:6:"asfile";b:1;s:7:"charset";s:0:"";s:8:"onserver";b:0;s:18:"onserver_overwrite";b:0;s:22:"remember_file_template";b:1;s:19:"file_template_table";s:9:"__TABLE__";s:22:"file_template_database";s:6:"__DB__";s:20:"file_template_server";s:10:"__SERVER__";s:11:"ods_columns";b:0;s:8:"ods_null";s:4:"NULL";s:13:"odt_structure";b:1;s:8:"odt_data";b:1;s:11:"odt_columns";b:1;s:12:"odt_relation";b:1;s:12:"odt_comments";b:1;s:8:"odt_mime";b:1;s:8:"odt_null";s:4:"NULL";s:18:"htmlword_structure";b:1;s:13:"htmlword_data";b:1;s:16:"htmlword_columns";b:0;s:13:"htmlword_null";s:4:"NULL";s:18:"texytext_structure";b:1;s:13:"texytext_data";b:1;s:16:"texytext_columns";b:0;s:13:"texytext_null";s:4:"NULL";s:11:"xls_columns";b:0;s:8:"xls_null";s:4:"NULL";s:12:"xlsx_columns";b:0;s:9:"xlsx_null";s:4:"NULL";s:11:"csv_columns";b:0;s:8:"csv_null";s:4:"NULL";s:13:"csv_separator";s:1:";";s:12:"csv_enclosed";s:1:""";s:11:"csv_escaped";s:1:"\";s:14:"csv_terminated";s:4:"AUTO";s:13:"excel_columns";b:0;s:10:"excel_null";s:4:"NULL";s:13:"excel_edition";s:3:"win";s:15:"latex_structure";b:1;s:10:"latex_data";b:1;s:13:"latex_columns";b:1;s:14:"latex_relation";b:1;s:14:"latex_comments";b:1;s:10:"latex_mime";b:1;s:10:"latex_null";s:13:"\textit{NULL}";s:13:"latex_caption";b:1;s:23:"latex_structure_caption";s:17:"strLatexStructure";s:33:"latex_structure_continued_caption";s:35:"strLatexStructure strLatexContinued";s:18:"latex_data_caption";s:15:"strLatexContent";s:28:"latex_data_continued_caption";s:33:"strLatexContent strLatexContinued";s:16:"latex_data_label";s:18:"tab:__TABLE__-data";s:21:"latex_structure_label";s:23:"tab:__TABLE__-

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий