[mdk-re] Подозрительные сообщения...

[mdk-re] Подозрительные сообщения...

[Kir]

Здравствуйте!

Продолжаю получать подозрительные сообщения от демонов.
Первое - ОЧЕНЬ подозрительное.

Дело в том, что писем по таким адресам я не отправлял. В связи с чем зародилось подозрение на троян.
Посмотрите, пожалуйста, может я не прав, может, у меня мнительность разыгралась (хотелось бы...)?

>From: MAILER-DAEMON@localhost.localdomain (Mail Delivery System)
>To: postmaster@localhost.localdomain (Postmaster)
>Subject: Postfix SMTP server: errors from unknown[65.88.229.252]

>Date: Mon, 15 Oct 2001 23:22:16 +0400 (MSD)

>Transcript of session follows.

 >Out: 220 localhost.localdomain ESMTP Postfix
 >In:  EHLO saintmail.net
 >Out: 250-localhost.localdomain
 >Out: 250-PIPELINING
 >Out: 250-SIZE 10240000
 >Out: 250-ETRN
 >Out: 250-XVERP
 >Out: 250 8BITMIME
 >In:  MAIL From: <rick87863@startsaving.com>
 >Out: 250 Ok
 >In:  RCPT To:<rturnby@yahoo.com>
 >Out: 554 <rturnby@yahoo.com>: Recipient address rejected: Relay access denied
 >In:  QUIT
 >Out: 221 Bye

>No message was collected successfully.


И вот еще одно сообщение, котороя я получаю регулярно:

>From: root@localhost.localdomain (Cron Daemon)
>To: root@localhost.localdomain
>Subject: Cron <root@localhost> run-parts /etc/cron.daily
>Date: Tue, 16 Oct 2001 04:02:49 +0400 (MSD)

>htmerge: Unable to open word list file '/var/lib/htdig/db/db.wordlist.work'

>Reading active file failed, exiting (see syslog for more information).
>Has fetchnews been run?

И такое же сообщение от:

>From: root@localhost.localdomain (Anacron)
>To: root@localhost.localdomain
>Subject: Anacron job 'cron.daily'
>Date: Tue, 16 Oct 2001 01:53:21 +0400 (MSD)

Подскажите, зачем Крону этот файл читать? И что делать, чтоб не жаловался?

У меня стоит на машине "L-M RE S2001", локальной сети нет.
------- 

С уважением,

Кир

Re: [mdk-re] Подозрительные сообщения...

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Tue, 16 Oct 2001, Kir wrote:

> >From: MAILER-DAEMON@localhost.localdomain (Mail Delivery System)
> >To: postmaster@localhost.localdomain (Postmaster)
> >Subject: Postfix SMTP server: errors from unknown[65.88.229.252]
[skip]
>  >In:  MAIL From: <rick87863@startsaving.com>
>  >Out: 250 Ok
>  >In:  RCPT To:<rturnby@yahoo.com>
>  >Out: 554 <rturnby@yahoo.com>: Recipient address rejected:
> Relay access denied
[skip]

Это проверяют на открытый релэй. Как видно, поганец был послан
сендмейлом, так что тут все в порядке.

> >From: root@localhost.localdomain (Cron Daemon)
> >To: root@localhost.localdomain
> >Subject: Cron <root@localhost> run-parts /etc/cron.daily
>
> >htmerge: Unable to open word list file '/var/lib/htdig/db/db.wordlist.work'
>
> >Reading active file failed, exiting (see syslog for more information).
> >Has fetchnews been run?
[skip]

Я не спец в данном вопросе, но судя по всему, не настроен
поисковик htdig.

> >From: root@localhost.localdomain (Anacron)
> >To: root@localhost.localdomain
> >Subject: Anacron job 'cron.daily'
> >Date: Tue, 16 Oct 2001 01:53:21 +0400 (MSD)
>
> Подскажите, зачем Крону этот файл читать? И что делать, чтоб не жаловался?

В этом каталоге прописываются задания, которые нужно выполнять
ежедневно. Если такого нет, можно попробовать создать. Или же
возможно, что ошибка в одном из скриптов, содержащихся в данном
каталоге.

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.4 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE7y88F2gaLrWRbr5URAiItAKCUoWADkouTn85NhFTJO0k1WeWulgCgkQiX
dV6btdy2j8ko5Mgmr1/vhlc=
=5TZe
-----END PGP SIGNATURE-----

[mdk-re] Re[2]: [mdk-re] Подозрительные сообщения...

[Kir]

Здравствуйте, Antonio.

Вы писали 16 октября 2001 г., 10:09:04:

> skip

A> Это проверяют на открытый релэй. Как видно, поганец был послан
A> сендмейлом, так что тут все в порядке.

Я очень извиняюсь, но все-таки нагло спрошу, осознавая свою необразованность и
стремясь и искоренению оной в частности и в принципе (о, как завернул! ;-):

А что такое "открытый релей", чем он грозит, какое отношение имеют к нему
"поганцы" и как с ними справляется сендмайл?



-- 
С уважением,
 Kir                          spring2001@fromru.com

Re: [mdk-re] Re[2]: [mdk-re] Подозрительные сообщения...

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Tue, 16 Oct 2001, Kir wrote:

> А что такое "открытый релей", чем он грозит, какое отношение имеют к нему
> "поганцы" и как с ними справляется сендмайл?

Теперь к занудству перейду и я ;)

В двух словах, "открытый релей" (open relay) -- smtp-сервер,
дающий слать почту кому угодно и куда угодно без каких-либо
проверок. В данном случае "поганцем" на 80% является спамер --
нехороший человек, массово рассылающий письма рекламного или
иного характера без согласия на то получателей.

Чем грозит?  Вероятным занесением в спам-листы, могущим в один
прекрасный момент закончиться письмом провайдеру с последующими
проблемами.

Само собой, уважающий себя SMTP-сервер (вернее, его админ)
такого не допускает (путем применения различного рода проверок
адресов, аутентификации/идентификации пользователей). Что обычно
делается средствами sendmail'а (postfix, qmail или иного
используемого почтового демона).

Но, судя по поведению Вашего сервера, описанные в начале ужасы
Вам не грозят. ;-)))

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru


-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.4 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE7zAgy2gaLrWRbr5URAtpEAJ9ZCLyQuflyXwaj7C5O4FwmRdXcZACgrIbe
JdIdetPi6mcwAsk3aR7PTKI=
=ZKZ/
-----END PGP SIGNATURE-----

[mdk-re] Re[2]: [mdk-re] Подозрительные сообщения...

[Kir]

Здравствуйте, Antonio.

Вы писали 16 октября 2001 г., 10:09:04:

> skip

A> Это проверяют на открытый релэй. Как видно, поганец был послан
A> сендмейлом, так что тут все в порядке.

Я очень извиняюсь, но все-таки нагло спрошу, осознавая свою необразованность и
стремясь и искоренению оной в частности и в принципе (о, как завернул! ;-):

А что такое "открытый релей", чем он грозит, какое отношение имеют к нему
"поганцы" и как с ними справляется сендмайл?



-- 
С уважением,
 Kir                          spring2001@fromru.com

[mdk-re] Подозрительные сообщения...

[Peter V. Saveliev]

Kir wrote:

> Я очень извиняюсь, но все-таки нагло спрошу, осознавая свою необразованность и
> стремясь и искоренению оной в частности и в принципе (о, как завернул! ;-):
>
> А что такое "открытый релей", чем он грозит, какое отношение имеют к нему
> "поганцы" и как с ними справляется сендмайл?

Тут целый тред был под сабжем "некультурные админы"  26..28 сентября сего года.
Там почти что все описано (еще раз thanks Юре Рязанцеву и Maxim'у), очень
доходчиво, и - главное - ясно, куда потом искать. Если не найти будет, могу потом
его на личное мыло завернуть.

Петр.

[mdk-re] Re: [mdk-re] Подозрительные сообщения...

[Korshunov Ilya]

> > Я очень извиняюсь, но все-таки нагло спрошу, осознавая свою
необразованность и
> > стремясь и искоренению оной в частности и в принципе (о, как завернул!
;-):
> >
> > А что такое "открытый релей", чем он грозит, какое отношение имеют к
нему
> > "поганцы" и как с ними справляется сендмайл?


Открытый realy - это когда с твоего smtp могут отправить почту с любого
узла. Чем грозит - через твой сервак начинают спамить, обиженые админы
которым приходят куча спама с твоего сервера сообщают куда надо (ordbs.org
кажется) и твой сервер попадает в куеву тучу black-list'ов. Если провайдер
злобный может вообще контракт разорвать. Как бороться - несколько вариантов
.
1) Сделать авторизацию на smtp, т.е. для отправки почты полльзователю тоже
нужно ввести пароль как и при получении
2) Закрыть его в sendmail директивой (не помню какой, свою почту как два
года назад настроил так оно и живёть) , правда , к сожалению на некоторых
nix системах sendmail не поддреживает эту директиву и приходится его
собирать их сорцов (как пример Solaris8x86, Solaris 2.6, 2.7Sparc) .
Это очень вкратце - а так читай архив рассылки да и в инете немало
документов по этому поводу так как вещь серьёзная.

Re: [mdk-re] Re[2]: [mdk-re] Подозрительные сообщения...

[AVL]

On Tue, 16 Oct 2001 12:43:19 +0400
Kir <spring2001@fromru.com> wrote:


> А что такое "открытый релей", чем он грозит, какое отношение имеют к нему
> "поганцы" и как с ними справляется сендмайл?

"поганец" - это обычно спамер или просто какой нить аноним
"открытый релей" - это возможность посылать письма абсолютно посторонним лицам на абсолютно посторонние адреса. и то и другое  может потребоваться вам сами в случае постоянных перемещений в пространстве и необходимости иметь один и тотже smtp сервер без перенастройки на каждого прова. в таком случае открывают релей, но вводят авторизацию на smtp.
"Чем это грозит" - за письма этих "поганцев" придется отвечать вам. Вас занесут в черные листы спаммеров и уже вы сами не сможете послать уже свою почту людям. Если трафик у вас платный то за трафик "поганцев" через ваш "открытый релей" тоже придется платить вам.

Re: [mdk-re] Подозрительные сообщения...

[Vyt]

On Tue, 16 Oct 2001 09:45:33 +0400
Kir <svetit@mail.ru> wrote:

> Здравствуйте!
> 
> Продолжаю получать подозрительные сообщения от демонов.
> Первое - ОЧЕНЬ подозрительное.
> 
> Дело в том, что писем по таким адресам я не отправлял. В связи
> с чем зародилось подозрение на троян.

Нет, это проверяют на relay разные нехорошие люди. Радуйтесь, что
обламываются.

<skipped>

>  >In:  MAIL From: <rick87863@startsaving.com>
>  >Out: 250 Ok
>  >In:  RCPT To:<rturnby@yahoo.com>
>  >Out: 554 <rturnby@yahoo.com>: Recipient address rejected:
> Relay access denied

<skipped>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@jabber.org

Re: [mdk-re] Подозрительные сообщения...

[Gosha]

Hi!
On Tue, 16 Oct 2001 09:45:33 +0400
Kir <svetit@mail.ru> wrote:

 > >htmerge: Unable to open word list file
 > '/var/lib/htdig/db/db.wordlist.work'

А проверьте наличие этого файла. У меня он в последний раз,
в результате обновления оказался как db.wordlist.work.rpmnew


-- 
Best regards!
Igor Solovyov
Zlatoust, Russia

[mdk-re] Re: [mdk-re] Подозрительные сообщения...

[cornet]

Kir wrote:
> 
> Здравствуйте!
> 
> Продолжаю получать подозрительные сообщения от демонов.
> Первое - ОЧЕНЬ подозрительное.
> 
> Дело в том, что писем по таким адресам я не отправлял. В связи с чем зародилось подозрение на троян.
> Посмотрите, пожалуйста, может я не прав, может, у меня мнительность разыгралась (хотелось бы...)?

баааальшой skip.

> Подскажите, зачем Крону этот файл читать? И что делать, чтоб не жаловался?

В целом тут уже ответили на вопросы, а я как всегда немного
позанудничаю и углублюсь в теорию ;-))

Дело в том, что хотя письма Вам присылает cron, но ошибки
возникают _не_ в нем! Крон это всего лишь транслятор, который
запускает указанные в его конфиге приложения и сечет их
стандартный поток ошибок - STDERR. И если в этом потоке в
процессе исполнения приложения хоть что то появляется - cron
отправляет Вам это все на локальное мыло.
Прошу заметить, что STDERR это вовсе НЕ обязательно оменно
ошибки! Это могут быть и диагностические сообщения, которым не
место в стандартнов выводе - STDOUT.
Вот например, у меня на сервере каждый день winbind
перестартовывает по причине утечек памяти в ём любимом. Я его на
cron посадил вот такой строчкой в /etc/crontab
0 3 * * * root /sbin/service winbind restart
и я задолбался каждое утро читать в системном мыле что:
Service Winbind restart    [Ok]
проблемму решил просто - подправил вызов:
0 3 * * * root /sbin/service winbind restart > /dev/null 2>&1
и STDERR и STDOUT все направил в /dev/null теперь cron не
получает ни байта от запускаемого им рестарта winbind и писем не
шлет ;-)

Но только внимание!! Так можно действовать ТОЛЬКО в том случае,
если Вы четко уверены в том, что у Вас данный пункт cron'а
отработает как надо. В противном случае я бы советовал не
пренебрегать диагностическими письмами. А в процессе отладки это
вообще просто кладезь знаний о процессах, происходящих в системе.
:-))

Удачи в дальнейшем обуздании демонов и cron'а!
;-)

-- 
******** FIRE & STEEL ********

[mdk-re] Re: Подозрительные сообщения...

[Mikhail Zabaluev]

Hello cornet,

On Tue, Oct 16, 2001 at 10:35:34AM +0400, cornet wrote:
>
> Дело в том, что хотя письма Вам присылает cron, но ошибки
> возникают _не_ в нем! Крон это всего лишь транслятор, который
> запускает указанные в его конфиге приложения и сечет их
> стандартный поток ошибок - STDERR. И если в этом потоке в
> процессе исполнения приложения хоть что то появляется - cron
> отправляет Вам это все на локальное мыло.
> Прошу заметить, что STDERR это вовсе НЕ обязательно оменно
> ошибки! Это могут быть и диагностические сообщения, которым не
> место в стандартнов выводе - STDOUT.
> Вот например, у меня на сервере каждый день winbind
> перестартовывает по причине утечек памяти в ём любимом. Я его на
> cron посадил вот такой строчкой в /etc/crontab
> 0 3 * * * root /sbin/service winbind restart
> и я задолбался каждое утро читать в системном мыле что:
> Service Winbind restart    [Ok]
> проблемму решил просто - подправил вызов:
> 0 3 * * * root /sbin/service winbind restart > /dev/null 2>&1
> и STDERR и STDOUT все направил в /dev/null теперь cron не
> получает ни байта от запускаемого им рестарта winbind и писем не
> шлет ;-)
> 
> Но только внимание!! Так можно действовать ТОЛЬКО в том случае,
> если Вы четко уверены в том, что у Вас данный пункт cron'а
> отработает как надо. В противном случае я бы советовал не
> пренебрегать диагностическими письмами. А в процессе отладки это
> вообще просто кладезь знаний о процессах, происходящих в системе.
> :-))

Можно сохранять stderr во временном файле или переменной shell
и смотреть на код возврата команды. Если не 0, то выдать ошибки
в поток ошибок cron.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
All I ask is a chance to prove that money can't make me happy.

[mdk-re] Re: [mdk-re] Re: [mdk-re] Подозрительные сообщения...

[Kir]

Здравствуйте, cornet.

Вы писали 16 октября 2001 г., 10:35:34:

c> баааальшой skip.

с> ...я бы советовал не
c> пренебрегать диагностическими письмами. А в процессе отладки это
c> вообще просто кладезь знаний о процессах, происходящих в системе.
c> :-))

c> Удачи в дальнейшем обуздании демонов и cron'а!
c> ;-)

Спасибо, бум стараться!
Побольше бы такого "занудства".
Я теперь его в отдельную папочку быду складывать! ;-)


-- 
С уважением,
Kir                          mailto:spring2001@fromru.com

[mdk-re] [JT] Подозрительные сообщения...

[cornet]

Kir wrote:
> 
> Здравствуйте, cornet.
> 
> Вы писали 16 октября 2001 г., 10:35:34:
> 
> c> баааальшой skip.
> 
> с> ...я бы советовал не
> c> пренебрегать диагностическими письмами. А в процессе отладки это
> c> вообще просто кладезь знаний о процессах, происходящих в системе.
> c> :-))
> 
> c> Удачи в дальнейшем обуздании демонов и cron'а!
> c> ;-)
> 
> Спасибо, бум стараться!
> Побольше бы такого "занудства".
> Я теперь его в отдельную папочку быду складывать! ;-)

У меня то же такая папочка есть :-))
Называется "Best", с декабря прошлого года, что я сижу в этой
рассылке, там уже 328 писем накопилось с ценнейшими для меня
сведениями.

-- 
******** FIRE & STEEL ********

[mdk-re] Re: [mdk-re] Re: [mdk-re] Подозрительные сообщения...

[Kir]

Здравствуйте, cornet.

Вы писали 16 октября 2001 г., 10:35:34:

c> баааальшой skip.

с> ...я бы советовал не
c> пренебрегать диагностическими письмами. А в процессе отладки это
c> вообще просто кладезь знаний о процессах, происходящих в системе.
c> :-))

c> Удачи в дальнейшем обуздании демонов и cron'а!
c> ;-)

Спасибо, бум стараться!
Побольше бы такого "занудства".
Я теперь его в отдельную папочку быду складывать! ;-)


-- 
С уважением,
Kir                          mailto:spring2001@fromru.com