[Sysadmins] что это может быть?

[Sysadmins] что это может быть?

[Grigory Fateyev]

Здравствуйте!

У меня на сервере резко возрос трафик исходящих писем, и началось с
таких писем [1], и очередь deffered postfix резко возросла. Такое
чувство что кто-то спамит через сервер. На сервере стоит много php
скриптов. Как вычислить что за скрипт спамит? И как лучше это
предотвратить?

Спасибо!

[1] 
Transcript of session follows.

 Out: 220 aaa.ru mail server
 In:  EHLO mx.uol.com.br
 Out: 250-mail.aaa.ru
 Out: 250-PIPELINING
 Out: 250-SIZE 10240000
 Out: 250-VRFY
 Out: 250-ETRN
 Out: 250-STARTTLS
 Out: 250-AUTH LOGIN PLAIN
 Out: 250-AUTH=LOGIN PLAIN
 Out: 250 8BITMIME
 In:  MAIL FROM:<> SIZE=9394 BODY=8BITMIME
 Out: 250 Ok
 In:  RCPT TO:<www-data@aaa.ru>
 Out: 451 <www-data@anastasia.ru>: Temporary lookup failure
 In:  DATA
 Out: 554 Error: no valid recipients
 In:  RSET
 Out: 250 Ok
 In:  QUIT
 Out: 221 Bye


-- 
Всего наилучшего! Григорий
greg [at] anastasia [dot] ru
Письмо отправлено: 2006/10/05 13:25

Re: [Sysadmins] что это может быть?

[Sergey]

On Thursday 05 October 2006 14:34, Grigory Fateyev wrote:

>  Как вычислить что за скрипт спамит? И как лучше это
> предотвратить?

подменить sendmail на что-то вроде

#!/usr/bin/perl

use Env;
my $date = `export LANG=C && date`;

chomp $date;
my $uid = $>;
my @info = getpwuid($uid);

system "logger -i -t spamcontrol '$date\: Directory\: $PWD\, info\: @info\, args\: @ARGV'";

my $mailprog = '/usr/sbin/sendmail.bla-bla-bla';

foreach (@ARGV) {
    $arg="$arg" . " $_";
}


open (MAIL,"|$mailprog $arg") || die "cannot open $mailprog: $!n";

print MAIL "X-Abuse-MTA-Caller-Dir: running from $PWD\n";
print MAIL "X-Abuse-To:";

while (<STDIN>) {
        print MAIL;
}

close (MAIL);
 
и на www.dedic.ru посмотреть примерно то же самое для php. Только оно что-то не
открывается. Вот ещё: http://www.lancs.ac.uk/~steveb/patches/php-mail-header-patch/

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] что это может быть?

[Sergey]

On Thursday 05 October 2006 15:45, Sergey wrote:

> my $mailprog = '/usr/sbin/sendmail.bla-bla-bla';

Кстати о птицах. Вот это слабое место знет кто-нибудь, как побороть ?
На скрипте права должны быть 755, значит можно узнать настоящее имя
mailprog... У Постфикса, кстати, нет возможности в конфиге где-нибудь 
про это сказать, чтобы дописал ?

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] что это может быть?

[Grigory Fateyev]

Hello Sergey!
On Thu, 5 Oct 2006 15:45:21 +0500 you wrote:

> On Thursday 05 October 2006 14:34, Grigory Fateyev wrote:
> 
> >  Как вычислить что за скрипт спамит? И как лучше это
> > предотвратить?
> 
> подменить sendmail на что-то вроде
Это подсунуть этот файл вместо sendmail?
> 
> my $mailprog = '/usr/sbin/sendmail.bla-bla-bla';
А здесь прописать путь до реального sendmail?
>  
> и на www.dedic.ru посмотреть примерно то же самое для php. Только оно
> что-то не открывается.
И правда не открывается :(

> Вот ещё:
> http://www.lancs.ac.uk/~steveb/patches/php-mail-header-patch/
Надо наверно это и сделать ...

А вообще как этот скрипт работает?
Извините за тупые вопросы, но просто сервер боевой, экспериментов боюсь.
-- 
Всего наилучшего! Григорий
greg [at] anastasia [dot] ru
Письмо отправлено: 2006/10/05 15:16

Re: [Sysadmins] что это может быть?

[Sergey]

On Thursday 05 October 2006 16:21, Grigory Fateyev wrote:

> > подменить sendmail на что-то вроде
> Это подсунуть этот файл вместо sendmail?

Да.
 
> > my $mailprog = '/usr/sbin/sendmail.bla-bla-bla';
> А здесь прописать путь до реального sendmail?

Да.
  
> А вообще как этот скрипт работает?

Просто перехватывает вызов sendmail с командной строки, добавляет
свои строчки и скармливает настоящему sendmail.

Но это именно для тех, кто через вызов sendmail пытается послать.
На PHP-шные функции оно не влияет. Для PHP - то, что по ссылке.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] что это может быть?

[Grigory Fateyev]

Hello Sergey!
On Thu, 5 Oct 2006 16:51:33 +0500 you wrote:

> Но это именно для тех, кто через вызов sendmail пытается послать.
> На PHP-шные функции оно не влияет. Для PHP - то, что по ссылке.

Вот пересобрал php4 с патчем, поставил, а как теперь письмо спамерское
перехватить чтоб заголовки посмотреть?

-- 
Всего наилучшего! Григорий
greg [at] anastasia [dot] ru
Письмо отправлено: 2006/10/05 19:31

Re: [Sysadmins] что это может быть?

[Sergey]

On Thursday 05 October 2006 20:32, Grigory Fateyev wrote:

> > Но это именно для тех, кто через вызов sendmail пытается послать.
> > На PHP-шные функции оно не влияет. Для PHP - то, что по ссылке.
> 
> Вот пересобрал php4 с патчем, поставил, а как теперь письмо спамерское
> перехватить чтоб заголовки посмотреть?

Теперь жалобы ждать. Или очередь сообщений анализировать. Можно копии
боунсов на постмастера зарулить (не знаю, как постфикс, а настоящий 
sendmail умеет) и их смотреть - наверняка недоставленные через 4-5 часов
посыпятся.

-- 
С уважением, Сергей
a_s_y@sama.ru

[Sysadmins] Q: Копии боунсов на постмастера в postfix (was: что это может быть?)

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 403 bytes --]

Sergey пишет:
> On Thursday 05 October 2006 20:32, Grigory Fateyev wrote:
> 
> Можно копии
> боунсов на постмастера зарулить (не знаю, как постфикс, а настоящий 
> sendmail умеет)

  О! А как такое в postfix сделать?

PS: Если с вырезанием тела оригинального письма (на постмастера только
заголовки) -- будет совсем в тему. (Встала задача, такое сделать...)

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] Q: Копии боунсов на постмастера в postfix (was: что это может быть? )

[Serge Polkovnikov]

Friday 06 October 2006 11:31, Aleksey Avdeev написав:
> Sergey пишет:
> > On Thursday 05 October 2006 20:32, Grigory Fateyev wrote:
> >
> > Можно копии
> > боунсов на постмастера зарулить (не знаю, как постфикс, а настоящий
> > sendmail умеет)
>
>   О! А как такое в postfix сделать?
Добвить в main.cf что-то типа:
notify_classes = policy,protocol,resource,software,bounce,delay
>
> PS: Если с вырезанием тела оригинального письма (на постмастера только
> заголовки) -- будет совсем в тему. (Встала задача, такое сделать...)

-- 
С уважением,
Сергей Полковников

Re: [Sysadmins] Q: Копии боунсов на постмастера в postfix

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 633 bytes --]

Serge Polkovnikov пишет:
> Friday 06 October 2006 11:31, Aleksey Avdeev написав:
> 
>>Sergey пишет:
>>
>>>On Thursday 05 October 2006 20:32, Grigory Fateyev wrote:
>>>
>>>Можно копии
>>>боунсов на постмастера зарулить (не знаю, как постфикс, а настоящий
>>>sendmail умеет)
>>
>>  О! А как такое в postfix сделать?
> 
> Добвить в main.cf что-то типа:
> notify_classes = policy,protocol,resource,software,bounce,delay
> 
>>PS: Если с вырезанием тела оригинального письма (на постмастера только
>>заголовки) -- будет совсем в тему. (Встала задача, такое сделать...)

  OK, спасибо.

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]

Re: [Sysadmins] Q: Копии боунсов на постмастера в postfix

[Vladimir V. Kamarzin]

>>>>> On 06 Oct 2006 at 14:31 "AA" == Aleksey Avdeev writes:

>> Можно копии
>> боунсов на постмастера зарулить (не знаю, как постфикс, а настоящий 
>> sendmail умеет)

 AA>   О! А как такое в postfix сделать?

 AA> PS: Если с вырезанием тела оригинального письма (на постмастера только
 AA> заголовки) -- будет совсем в тему. (Встала задача, такое сделать...)

См. notify_classes, в частности bounce/2bounce

-- 
vvk

Re: [Sysadmins] Q: Копии боунсов на постмастера в postfix

[Aleksey Avdeev]

[-- Attachment #1: Type: text/plain, Size: 530 bytes --]

Vladimir V. Kamarzin пишет:
>>>>>>On 06 Oct 2006 at 14:31 "AA" == Aleksey Avdeev writes:
> 
> 
>>>Можно копии
>>>боунсов на постмастера зарулить (не знаю, как постфикс, а настоящий 
>>>sendmail умеет)
> 
> 
>  AA>   О! А как такое в postfix сделать?
> 
>  AA> PS: Если с вырезанием тела оригинального письма (на постмастера только
>  AA> заголовки) -- будет совсем в тему. (Встала задача, такое сделать...)
> 
> См. notify_classes, в частности bounce/2bounce
> 

  OK, Спасибо.

-- 

С уважением. Алексей.


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 550 bytes --]