взломали сервер, рассылают спам. как определить, что рассылает?

нанять админа

Можно через disable_functions отключить mail() и найти в логах какой скрипт её вызывает.

Или найти человека с опытом отладки.

А подскажите, пожалуйста, как найти в логах какой скрипт вызывает функцию mail()?

Можно через disable_functions отключить mail() и найти в логах какой скрипт её вызывает.

Ну серьезно, у вас хоть пример письма есть? Думаю, что есть. Тогда смотрите текст спам-писем, технические заголовки. Обычно этого хватает для определения виртуального хоста, с которого спамят. Как минимум. Дальше смотрите скрипты сайта и/или отключите *на нем* временно функцию mail().

Если для вас нужны более детальные инструкции - вы явно не справитесь с проблемой самостоятельно.

Например, вот: http://dedic.ru/node/2

вроде нашел проблему. взломали ящик info@mysite.ru и через него отправляли письма

как удалить из очереди все письма с ящика info@mysite.ru?

пробую

# exiqgrep -f info@mysite.ru | xargs exim -Mrm

Line mismatch: 14d 1SkL9B-0006Mu-N9 <******@gmail.com>

exim: no message ids given after -Mrm option

что не так?

exiqgrep не передает в pipe id писем. запусти отдельно exiqgrep -f info@mysite.ru

Можно без exiqgrep:

exim -bp | awk /info@mysite.ru/{'print $3'} | xargs exim -Mrm

jnizjo, спасибо Вам

а подскажите еще, что означает эта надпись?

# exim -bp | awk /info@mysite.ru/{'print $3'} | xargs exim -Mrm

exim: malformed message id <info@mysite.ru> after -Mrm option

не верный id. id должны быть вида:

# exim -bp | awk /info@mysite.ru/{'print $3'} 

1SpK3O-0005go-BR

А результат выполнения команды:

# exim -bp | awk /info@mysite.ru/{'print $3'} | xargs exim -Mrm

Message 1SpK3O-0005go-BR is locked