спам! срочно!

leave · Сообщение **leave** » 16 янв 2008, 14:42

>много чего. на что обращать внимание?
адрес отсылающего узла - айпишник или домен.

>а как другие серваки будут авторизоватся?
никак. оно им не надо. авторизация действует только в рамках "отослать почту с тебя". или ты релеишь ее для всех подряд?

>низкие, в чем суть мода?
в том, что можно резать HTTP-запросы по содержанию.
http://www.opennet.ru/base/sec/mod_security2.txt.html
http://www.modsecurity.org/projects/mod ... index.html

>все логи читал, не помогло
не нашел отсылки спама? у нас когда-то слали через дырявый phpbb. если точно ничего такого нет - значит не через веб. тогда SMTP-auth.

Llama · Сообщение **Llama** » 16 янв 2008, 20:29

tes+or, я не понял - в чем проблема?
Запрещаешь отправку почты со своего хоста без авторизации и наслаждаешься эффектом

По крайней мере, в логах MTA будет видно - просто и понятно - кто шлет спам.

В любом случае стоит посмотреть логи MTA - иногда спам шлется средствами сломаного ПО и может содержать характерные признаки - заголовки либо проставленное поле From:

tes+or · Сообщение **tes+or** » 16 янв 2008, 23:06

повторяю еще раз, оно вообще не принимает почту снаружи для пересылки НЕ внутрь, с автоиизацией или без, почта работает ТОЛЬКО через белку именно из этих соображений.

в логах есть попытки отправки спама какбудто это открытый релэй, и успехом они не увенчались, естественно.

логи апача я курил, но особенно тщательно я курил логи самого эксима, там нет НИЧЕГО лишнего, я могу рассказать от кого и куда шло каждое сообщение. даже если почта бы ходила через дырявый вебскрипт, она всервно бы отобразилась в логах.

leave · Сообщение **leave** » 17 янв 2008, 13:00

http://spamlinks.net/prevent-secure-relay-test.htm
проверься на всякий случай.
и покажи пример письма, из-за которого ты попадаешь в блеклисты.

и найди его же у себя.
find /var/spool/mail |xargs grep "уникальный_образец"

Llama · Сообщение **Llama** » 17 янв 2008, 13:18

tes+or, повторюя еще раз: что мешает тебе запретить пересылку почты _изнутри_ без авторизации?
Я предпологаю, что причина именно внутри системы.

tes+or · Сообщение **tes+or** » 17 янв 2008, 23:28

а как вебскрипты будут слать?

да и к тому же все письма нормальные, я слежу

Llama · Сообщение **Llama** » 17 янв 2008, 23:40

tes+or, скрипты будут заходить на локалхост, авторизоваться и слать. В PHP нужная функция это позволяет, да и во всех нормальных движках ЕМНИП это есть.

Алгоритм прост:
1) Закрываешь доступ во внешний мир на 25 порт для всех юзеров кроме того под которым крутится MTA
2) На этом и все, только те кто шлет почту через SMTP с авторизацией могут что-то отправить, соответсвенно любой спам будет замечен в логах.

Ты по-моему упускаешь ключевой момент: чтобы слать спам не обязательно использовть твой MTA - можно слать PHP или CGI-скриптом, и ты _никак_ это не отследишь ни в логах MTA, ни в логах веб-сервера. Это ловится либо аудитом всех скриптов, либо сниффером в режиме реального времени - либо как я описал выше.
Все остальное - полумеры и паллиативный онанизм.

tes+or · Сообщение **tes+or** » 18 янв 2008, 00:24

блин! точно! ушел думать

tes+or · Сообщение **tes+or** » 18 янв 2008, 04:16

leave,

1.я проверялся, у меня все чисто.
2.сам бы рад видеть это письмо
3./var/spool/mail - там вообще пусто

Llama,
>tes+or, скрипты будут заходить на локалхост, авторизоваться и слать. В PHP нужная функция это позволяет, да и во всех нормальных движках ЕМНИП это есть.

для меня секрет как скрипт может отправлять почту кроме как через системный шелл. точнее я знаю как это в теории может выглядеть, но кажется обычно это реализуется именно через шелл, потому что никаких настроек по этому поводу я в своих форумах не видел. а я использую из стороннего вебсофта который шлет мыло тока phorum.

но всеравно, если я заблокирую коннектится изнутри наружу на 25ый порт для всех, кроме тех кто имеет guid и gid exim, то этого плохого человека я таки заблокирую, но очень хотелось бы выпалить, где он нашел дыру и что и куда шлет, в связи с чем я наверное буду ща tcpdumpить а потом разбирать вайршарком, чтобы хотябы зарегистрирровать факт.

кстати анализ http логов может помочь, потому что это скорее всего делается именно через http, через дыру в скриптах.

Llama · Сообщение **Llama** » 18 янв 2008, 10:57

Вот тут а каментах почитай как слать с авторизацией.
http://www.php.net/manual/en/ref.mail.php

Если у тебя есть время на сниффер - это конечно хорошо и занимательно...

leave · Сообщение **leave** » 18 янв 2008, 12:04

я наверное буду ща tcpdumpить а потом разбирать вайршарком, чтобы хотябы зарегистрирровать факт

мда. времени загуглить на тему сьтп-авторизации нет, а втыкать в логи тцпдампа есть

кстати, белка, если мне склероз не изменяет, отлично умеет смтп-авторизацию - надо только посмотреть в настройки.

tes+or · Сообщение **tes+or** » 18 янв 2008, 12:57

да у меня даже была автоизация, это не проблема, проблема в том, как остальные приложения авторизоватся будут, котоыре не умеют всего этого?

вобщем с тцпдампом я пока не буду ковырятся, я правила для айпитаблиц написал и буду их переписывать сужая круг поиска. пока вот спам жду.. не идет.

я кстати снова прикрутил mpm_peruser, так что получится с точностью до вхоста выпалить откуда именно спам валит, мне принципиально узнать кто мне так удружил.

leave · Сообщение **leave** » 18 янв 2008, 14:38

да у меня даже была автоизация, это не проблема, проблема в том, как остальные приложения авторизоватся будут, котоыре не умеют всего этого?

какие?? кто не умеет?
дело твое - пусть через тебя шлют спам, если ты боишься какой-то гипотетической проблемы при наличии реальной.

Llama · Сообщение **Llama** » 18 янв 2008, 15:30

tes+or, проблема "как слать с авторизацией" - это совершгенно не твоя проблема. Максимум что ты должен - предоставить пользователю информауцию заблаговременно - пример кода, инофрмацию для авторизации и сведения о том, когда перестанет работать текущая схема.

tes+or · Сообщение **tes+or** » 18 янв 2008, 15:59

т.е. надо переделывать код, а это даже мне лень, к тому же - зачем? проблема не в этом. будет в этом - будем решать.