Postfix gone wild

[RAH]

Litt usikker på om det er riktig sted å poste, men jeg prøver...


Postfix på min ubuntu 12.04 brukes av noen med onde hensikter. Jeg har googlet og forsøkt forskjellige konfigurasjoner men klarer ikke sperre de ute. Slettet nettom 78000 mail fra mailq og jeg ser at /var/log/mail.log fylles kontinuerlig.

Er det noen med erfaring som kan forsøke å hjelpe meg? IP'en min er naturligvis blacklisted hos alle de store mailleverandørene.

Mulig dette ikke er alt som trengs, men postconf -n gir meg følgende:
alias_database = hash:/etc/aliases alias_maps = hash:/etc/aliases append_dot_m - Pastebin.com

Jeg ønsker kun å kunne sende mail fra mine websider, all annen funksjonalitet er unødvendig.

Setter utrolig stor pris på hjelp!

 

[RAH]

Fant ut av det var fra innsiden. En WordPress installasjon var blitt "hacket" og filen checkoutzSp.php lå i wp-content/themes/ og gjorde ugang.

Sjekk først hva en "open relay test" (google det) sier om din server, om tilkobling nektes er det sannsynlig at urokråken befinner seg på din server.

Jeg fant urokråka slik:
1. finne queue ID til en mail: sudo mailq
2. finne X-PHP-Originating-Script ved å slå opp mailen: postcat -q <queue id>
3. finne filen: find / -name 'filnavn'
4. slett fil/fiks problemet (installer siste patch, chmod etc...)
5. Start arbeidet med å fjerne IP fra Google og andre leverandørers blacklist.

Håper dette kan hjelpe noen andre.

 

[drlinux]

Har du funnet hvor meldingene kommer inn fra? Hvis dette er en server du bruker til å hoste egne sider på, så kan det være et hull i en av disse sidene.

Når du kjører mailq, så får du en liste over meldinger med ID. For å se på en av disse meldingene, så skriv dette;

sudo postcat -q 10F99180645 | more

Bytt ut 10F99180645 med en egen ID. I meldingsheader vil det ofte stå nyttig info som viser deg hvordan meldingen kommer inn i systemet. F.eks. legger PHP til en header X-PHP-Originating-Script

 

[RAH]

Tusen takk drlinux, det var dette jeg kom frem til (og postet 1 minutt før deg).

Har tatt en halv dag å finne ut av fordi jeg hang meg opp i konfigurasjonen...