Спам Abuse! помогите разобраться....

NS
На сайте с 30.09.2009
Offline
27
1966

Сегодня пришёл рапорт про спам с моего сервера.

'Hello Abuse-Team,

your Server with the IP: ***,***,***,*** has attacked one of our server on the service:

"postfix" on Time: Mon, 21 Jan 2013 15:26:06 +0100

The IP was automatically blocked for more than 10 minutes. To block an IP, it needs

3 failed Logins, one match for "invalid user" or a 5xx-Error-Code (eg. Blacklist)!

Please check the machine behind the IP ***.***.***.***(unknown) and fix the problem.

real-time data for this day available at:

http://support.clean-mx.de/clean-mx/publog?ip=***.***.***.***

You can parse this Mail with X-ARF-Tools (1. attachment = Details, 2. attachment = Logs).

You found more Information about X-Arf under http://www.x-arf.org/specification.html

If you have a special x-arf email contact, please drop us a note.

In the attachment of this mail you can find the original protocols of our systems.

yours

Gerhard W. Recher

(Geschaeftsfuehrer)

NETpilot GmbH

Wilhelm-Riehl-Str. 13

D-80687 Muenchen'

Что за трабл может быть?

---------- Добавлено 22.01.2013 в 01:55 ----------

в логах такое

2013-01-21 13:10:10 Exim configuration error in line 17 of /etc/exim/exim.conf:

user exim was not found

2013-01-21 13:10:10 1TxFGN-00031z-OH Failed to reopen /var/spool/exim/input//1TxFGN-00031z-OH-D for remote parallel delivery: Too many open files in system

2013-01-21 13:10:10 1TxFGN-00031j-DG == fisherman5_2@msn.com R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 13:10:10 1TxFGR-000353-Af == fixxermann@yahoo.com R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 11:10:10 1TxFGN-00031t-JL Failed to reopen /var/spool/exim/input//1TxFGN-00031t-JL-D for remote parallel delivery: Too many open files in system

2013-01-21 11:10:10 1TxFGN-00031t-JL Cannot open main log file "/var/log/exim/main.log": Too many open files in system: euid=0 egid=93

2013-01-21 13:10:10 1TxFGQ-00034F-8P == fivemountains@hotmail.com R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 11:10:10 1TxFGP-00033n-OX Failed to reopen /var/spool/exim/input//1TxFGP-00033n-OX-D for remote parallel delivery: Too many open files in system

2013-01-21 11:10:10 1TxFGP-00033n-OX Cannot open main log file "/var/log/exim/main.log": Too many open files in system: euid=0 egid=93

2013-01-21 11:10:10 1TxFGP-00033h-Kv Failed to reopen /var/spool/exim/input//1TxFGP-00033h-Kv-D for remote parallel delivery: Too many open files in system

2013-01-21 13:10:10 1TxFGP-00033p-PZ == fitterf2@joelonsoftware.com R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 13:10:10 1TxFGS-00035d-A9 == fjantunez@isotrol.com R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 13:10:10 1TxFGP-00033I-1r == fitness@takas.lt R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 11:10:24 1TxFGg-0003ay-4J Failed to reopen /var/spool/exim/input//1TxFGg-0003ay-4J-D for remote parallel delivery: Too many open files in system

2013-01-21 11:10:24 1TxFGg-0003ay-4J Cannot open main log file "/var/log/exim/main.log": Too many open files in system: euid=0 egid=93

2013-01-21 13:12:49 1TxFIt-0006F5-NE == formacion@icea.es R=dnslookup T=remote_smtp defer (-1): TCP port "smtp" is not defined for remote_smtp transport

2013-01-21 13:12:49 1TxFIv-0006GZ-SZ Failed to reopen /var/spool/exim/input//1TxFIv-0006GZ-SZ-D for remote parallel delivery: Too many open files in system

2013-01-21 11:12:49 1TxFIv-0006Fy-0h Failed to reopen /var/spool/exim/input//1TxFIv-0006Fy-0h-D for remote parallel delivery: Too many open files in system

2013-01-21 11:12:49 1TxFIu-0006Fh-OJ Failed to reopen /var/spool/exim/input//1TxFIu-0006Fh-OJ-D for remote parallel delivery: Too many open files in system

2013-01-21 11:12:49 1TxFIu-0006Fh-OJ Cannot open main log file "/var/log/exim/main.log": Too many open files in system: euid=0 egid=93

2013-01-21 13:13:11 Exim configuration error in line 17 of /etc/exim/exim.conf:

user exim was not found

2013-01-21 13:13:11 Exim configuration error in line 17 of /etc/exim/exim.conf:

user exim was not found

2013-01-21 13:13:12 Exim configuration error in line 17 of /etc/exim/exim.conf:

user exim was not found

2013-01-21 13:13:26 1TxFJe-0006tm-86 DKIM: Error while running this message through validation, disabling signature verification.

2013-01-21 14:18:54 1TxGL0-0008VX-VE Cannot lock /var/spool/exim/input//1TxGL0-0008VX-VE-D (37): No locks available

2013-01-21 14:18:55 1TxGL1-0008VY-1n Cannot lock /var/spool/exim/input//1TxGL1-0008VY-1n-D (37): No locks available

2013-01-21 14:18:55 1TxGL1-0008VZ-2L Cannot lock /var/spool/exim/input//1TxGL1-0008VZ-2L-D (37): No locks available

2013-01-21 14:18:55 1TxGL1-0008Va-2l Cannot lock /var/spool/exim/input//1TxGL1-0008Va-2l-D (37): No locks available

MT
На сайте с 15.01.2013
Offline
49
#1

non-stop,

Что за трабл может быть?

У вас на сервер - спаммер. А "Too many open files in system" только подтверждает то, что на почтовом сервере уже выстроилась громадная очередь для отправки (и уже отправляется).

Очередь на отправку можно просмотреть так:

mailq

... и ждете пока выдаст что-то типа:

-- 186 Kbytes in 29 Requests.

Спаммера нужно вычеслять, а лимит на файлы убирать потом и то, если в этом есть надобность.

Удалить всю очередь сообщений с exim (только если нашли спаммера!):

exim -bp | exiqgrep -i | xargs exim -Mrm

Просмотреть количество возможных открытых:

cat /proc/sys/fs/file-max

Изменить, вписал (для пример 100000) в /etc/sysctl.conf строчку:

fs.file-max = 100000

Потом применить:

sysctl -p

И еще раз посмотреть изменения:

cat /proc/sys/fs/file-max

...лучше конечно это делать по другому, для каждого пользователя отедально (речь в данном случае о юзере exim or mail или как там), ну да ладно.

marcus@cluster:~$
NS
На сайте с 30.09.2009
Offline
27
#2

Очередь посмотрел - очень большая.... минуты 4 список шёл... в конце не выдал чисел...

кол-во открытых -1598700

Какое кол-во оптимально поставить для открытых?

И как можно вычислить спаммера? сервер в аренде у хостера под сайты. на ip который попал под abuse десяток сайтов

---------- Добавлено 22.01.2013 в 03:29 ----------

ещё в логах exima такое

2013-01-21 22:52:43 H=static.83.40.46.78.clients.your-server.de (bezerion.com.ua) [78.46.40.83] F= rejected RCPT : "NOT an open relay"

2013-01-21 22:53:02 H=static.213-133-101-158.clients.your-server.de (noliko.com.ua) [213.133.101.158] F= rejected RCPT : relay not permitted

2013-01-21 22:53:04 H=static.88-198-18-85.clients.your-server.de (ozoners.com.ua) [88.198.18.85] F= rejected RCPT : relay not permitted

2013-01-21 22:53:46 H=static.88-198-65-244.clients.your-server.de (celonsti.com.ua) [88.198.65.244] F=<7d@celonsti.com.ua> rejected RCPT : relay not permitted

2013-01-21 22:55:57 H=(ekolom.com.ua) [46.28.69.67] F= rejected RCPT : relay not permitted

2013-01-21 22:57:04 H=(ekolom.com.ua) [46.28.69.67] F= rejected RCPT : relay not permitted

2013-01-21 22:57:07 H=holidaysz.com.ua [92.243.76.186] F= rejected RCPT : relay not permitted

2013-01-21 22:58:10 H=(golptre.com.ua) [94.75.207.149] F= rejected RCPT : relay not permitted

2013-01-21 22:59:48 H=colossus713.startdedicated.com (coklop.com.ua) [69.64.52.116] F= rejected RCPT : relay not permitted

2013-01-21 23:00:06 H=31-193-133-84.static.as29550.net (fwionlo.com.ua) [31.193.133.84] F= rejected RCPT : relay not permitted

2013-01-21 23:01:04 H=colossus713.startdedicated.com (coklop.com.ua) [69.64.52.116] F= rejected RCPT : relay not permitted

2013-01-21 23:01:21 H=31-193-133-84.static.as29550.net (fwionlo.com.ua) [31.193.133.84] F= rejected RCPT : relay not permitted

2013-01-21 23:03:58 H=speedfane.com.ua [92.243.76.42] F= rejected RCPT : relay not permitted

---------- Добавлено 22.01.2013 в 03:31 ----------

и такое

2013-01-22 03:03:47 1TxDFM-0000pP-Ko Message is frozen

2013-01-22 03:03:47 1TxDLA-0004mK-4d Message is frozen

2013-01-22 03:03:48 1TxBTv-0005hN-VS == hvs.drome@wannadoo.fr R=dnslookup defer (-1): host lookup did not complete

2013-01-22 03:03:48 1TxDL9-0004kk-1X == khalil75@fsd.paknet.com.pk routing defer (-51): retry time not reached

2013-01-22 03:03:48 1TxA68-0001xh-Tr == dvlateam@premiermotorauctions.co.uk R=dnslookup defer (-1): host lookup did not complete

2013-01-22 03:03:48 1TxG14-0007qm-Vc Message is frozen

2013-01-22 03:03:50 1TxMDK-0005hN-Ag SMTP error from remote mail server after end of data: host gmail-smtp-in.l.google.com [173.194.70.27]: 421-4.7.0 [194.28.132.112 4] Our system has detected an unusual rate of\n421-4.7.0 unsolicited mail originating from your IP address. To protect our\n421-4.7.0 users from spam, mail sent from your IP address has been temporarily\n421-4.7.0 blocked. Please visit http://www.google.com/mail/help/bulk_mail.html\n421 4.7.0 to review our Bulk Email Senders Guidelines. h7si8192665eei.163

2013-01-22 03:03:51 1TxMDK-0005hN-Ag SMTP error from remote mail server after end of data: host alt1.gmail-smtp-in.l.google.com [173.194.71.27]: 421-4.7.0 [194.28.132.112 4] Our system has detected an unusual rate of\n421-4.7.0 unsolicited mail originating from your IP address. To protect our\n421-4.7.0 users from spam, mail sent from your IP address has been temporarily\n421-4.7.0 blocked. Please visit http://www.google.com/mail/help/bulk_mail.html\n421 4.7.0 to review our Bulk Email Senders Guidelines. oq7si7495429lab.72

Andreyka
На сайте с 19.02.2005
Offline
822
#3

Первым делом остановите почту и убейте спам в очереди

Затем настройте отправку только от mta и root, чтоб исключить спам по сокетам

И наконец - настройте логирование скриптов которые шлют почту

Как альтернатива - введите лимиты на отправку почты юзером, например 100 писем в час

Так спаммер себя выдаст

Если будут проблемы в ловле - обращайтесь, помогу

Не стоит плодить сущности без необходимости
NS
На сайте с 30.09.2009
Offline
27
#4
Andreyka:


Если будут проблемы в ловле - обращайтесь, помогу

отписал вам в icq

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий