Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2010-05-21 12:39:13
buli - 
Użytkownik
- buli
- Użytkownik
- Skąd: Człuchów
- Zarejestrowany: 2006-04-30
Serwer poczty - niepokojący ruch
Witam,
mam nadzieję, że nie będziecie źli.. temat wrzucilem też na linux.pl.. ale jestem wiernym userem dug więc liczę też na Waszą pomoc.
mam problem z moim serwerem poczty.
Konfiguracja dosyć standardowa postfix, clamav, spammasasin, postgrey
Partycje /var mam stosunkowo małą 2gb.. zaczeło się sie od tego, że nagle pliki logów zapychały mi partycje..
Ich tempo przyrostu jest zatwarzające jak na pliki logów - 16MB na godzinę.. zarówno mail.log, mail.warn
Wewnątrz ich jest masa jakiegoś syfu:
mail.log w ciągu sekundy
May 21 10:56:55 vbb postgrey: action=greylist, reason=new, client_name=unknown, client_address=84.79.199.100, sender=forciblyscye330@rosseau-asset.com, recipient=smtppa
May 21 10:56:55 vbb postfix/smtpd[25767]: NOQUEUE: reject: RCPT from unknown[84.79.199.100]: 554 5.7.1 <smtppaulosa@bavidros.pt>: Recipient address rejected: Access den
May 21 10:56:55 vbb postgrey: action=greylist, reason=new, client_name=unknown, client_address=84.79.199.100, sender=forciblyscye330@rosseau-asset.com, recipient=rino@b
May 21 10:56:55 vbb postfix/smtpd[25767]: NOQUEUE: reject: RCPT from unknown[84.79.199.100]: 554 5.7.1 <rino@bavidros.pt>: Recipient address rejected: Access denied; fr
May 21 10:56:55 vbb postfix/smtpd[25767]: lost connection after DATA (0 bytes) from unknown[84.79.199.100]
May 21 10:56:55 vbb postfix/smtpd[25767]: disconnect from unknown[84.79.199.100]
May 21 10:56:55 vbb postgrey: action=greylist, reason=new, client_name=unknown, client_address=190.84.2.70, sender=circumspection@rensco.com, recipient=canarias@feaed.o
May 21 10:56:55 vbb postfix/smtpd[26837]: NOQUEUE: reject: RCPT from unknown[190.84.2.70]: 554 5.7.1 <canarias@feaed.org>: Recipient address rejected: Access denied; fr
May 21 10:56:55 vbb postgrey: action=greylist, reason=new, client_name=unknown, client_address=190.84.2.70, sender=circumspection@rensco.com, recipient=rt@era-security.
May 21 10:56:55 vbb postfix/smtpd[26837]: NOQUEUE: reject: RCPT from unknown[190.84.2.70]: 554 5.7.1 <rt@era-security.com>: Recipient address rejected: Access denied; f
May 21 10:56:55 vbb postgrey: action=pass, reason=recipient whitelist, client_name=unknown, client_address=188.92.192.176, sender=satiatedmvp9@rousephoto.com, recipient
May 21 10:56:55 vbb postfix/smtpd[27055]: NOQUEUE: reject: RCPT from unknown[188.92.192.176]: 554 5.7.1 <postmaster@eauzone.com>: Recipient address rejected: Access den
May 21 10:56:55 vbb postgrey: action=greylist, reason=new, client_name=unknown, client_address=118.96.134.140, sender=teenager8@rcstravelandtours.com, recipient=confezi
May 21 10:56:55 vbb postfix/smtpd[26839]: NOQUEUE: reject: RCPT from unknown[118.96.134.140]: 554 5.7.1 <confezionitome@aliceposta.it>: Recipient address rejected: Acce
May 21 10:56:55 vbb postfix/smtpd[26837]: lost connection after DATA (0 bytes) from unknown[190.84.2.70]
May 21 10:56:55 vbb postfix/smtpd[26837]: disconnect from unknown[190.84.2.70]
May 21 10:56:55 vbb postfix/smtpd[27055]: lost connection after DATA (0 bytes) from unknown[188.92.192.176][/quote]
mail.warn w ciągu minutyMay 21 11:06:00 vbb postfix/smtpd[27741]: warning: 188.231.175.195: hostname 188.231.175.195.freenet.com.ua verification failed: Name or service not known
May 21 11:06:01 vbb postfix/smtpd[26046]: warning: 118.96.8.118: hostname 118.static.118-96-8.astinet.telkom.net.id verification failed: Name or service not known
May 21 11:06:02 vbb postfix/smtpd[27149]: warning: 188.92.192.176: hostname pppoe-192-176.prtcom.ru verification failed: Name or service not known
May 21 11:06:04 vbb postfix/smtpd[27037]: warning: 201.250.24.241: hostname 201-250-24-241.speedy.com.ar verification failed: Name or service not known
May 21 11:06:04 vbb postfix/smtpd[27742]: warning: 89.121.201.110: hostname adsl89-121-201-110.romtelecom.net verification failed: Name or service not known
May 21 11:06:09 vbb postfix/smtpd[27035]: warning: 122.160.245.100: hostname ABTS-North-Static-100.245.160.122.airtelbroadband.in verification failed: Name or service n
May 21 11:06:10 vbb postfix/smtpd[27739]: warning: 81.196.162.66: hostname 81.196.162.66.constanta.rdsnet.ro verification failed: Name or service not known
May 21 11:06:14 vbb postfix/smtpd[27149]: warning: 188.92.192.176: hostname pppoe-192-176.prtcom.ru verification failed: Name or service not known
May 21 11:06:28 vbb postfix/smtpd[27742]: warning: 82.160.142.237: address not listed for hostname 142-237.aerostrada.pl
May 21 11:06:34 vbb postfix/smtpd[27155]: warning: 196.46.252.82: hostname 252.46.196-wimax.slc.dz verification failed: Name or service not known
May 21 11:06:45 vbb postfix/smtpd[27151]: warning: 124.107.88.107: hostname 124.107.88.107.pldt.net verification failed: Name or service not known
May 21 11:06:47 vbb postfix/smtpd[27739]: warning: 124.107.88.107: hostname 124.107.88.107.pldt.net verification failed: Name or service not known
May 21 11:06:48 vbb postfix/smtpd[27148]: warning: 195.149.118.196: hostname 196-tami.tami.pl verification failed: Name or service not known
May 21 11:06:51 vbb postfix/smtpd[27037]: warning: 190.84.2.70: hostname Dynamic-IP-19084270.cable.net.co verification failed: Name or service not known
May 21 11:06:57 vbb postfix/smtpd[26048]: warning: 190.84.2.70: hostname Dynamic-IP-19084270.cable.net.co verification failed: Name or service not known
May 21 11:06:57 vbb postfix/smtpd[27743]: warning: 124.107.88.107: hostname 124.107.88.107.pldt.net verification failed: Name or service not known[/quote]
Naturalnie ten ruch jest jakiś z choinki.. Skąd to się bierze i jak to wyeliminować?
Nie ma w logach żadnej powtarzalności.. prawie ciągle inne domeny i inne adresy pojawiają się w logach..
Nie wiem czy dobrze interpretuje logi ale mam wrażenie, że sytuacja wygląda następująco:
mój serwer pocztowy został wciągnięty na jakąś dziwną listę.. Z tego powodu jakieś roboty próbują masowo wysyłać z mojego serwera maile z nadzieją, że serwer poczty wychodzącej nie wymaga autoryzacji, nie jest tak jednak wiec są one blokowane ale ruch i logi są generowane..
Czy to prawdopodobne?
Proszę o opinie i porady..
blehh :FOffline
#2 2010-05-25 10:20:10
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/urandom
- Zarejestrowany: 2008-01-07
Re: Serwer poczty - niepokojący ruch
Kod:
May 21 11:06:28 vbb postfix/smtpd[27742]: warning: 82.160.142.237: address not listed for hostname 142-237.aerostrada.pl May 21 11:06:34 vbb postfix/smtpd[27155]: warning: 196.46.252.82: hostname 252.46.196-wimax.slc.dz verification failed: Name or service not known
Czy naprawdę nie rozumiesz informacji:
warning: 196.46.252.82: [b]hostname[/b] 252.46.196-wimax.slc.dz [b]verification failed[/b]:
czy to jest niezrozumiałe?
Bo gdyby skrzynki pocztowe puchły od spamu - to bym twój post rozumiał.
Ale najwyraźniej filtry działają (może aż za dobrze), więc jeśli normalne wiadomości dochodzą - to bezpośredniego problemu nie ma.
Jest tylko pytanie, - co za skrypciarz (czy może nic żywego - wirus komputerowy w okolicznych maszynach) - próbuje dobrać się do serwera lub wysyłać spam.
Jednak jeśli forma tego ataku wskazuje na to że jakiś sprawca (lub autor wirusa/trojana) nie rozumie związku między adresem IP i nazwą hosta w dns, to wielkim zagrożeniem nie jest - do czasu, aż się douczy trochę (może w szkole hakerów ;)))).
Od - trochę śmiecia w logach.
A to, że filtry antyspamowe działają, to chyba raczej dobrze.
A jeśli nie chcesz widzieć takiego śmiecia w logach, to możesz poszukać w konfigach ustawień logowania, i zmienić wartość warning na info lub alert.
Możesz też zainteresować się parą snort+(guardian|snortsam), ewentualnie regułką do firewalla, która po trzech polączeniach na port smtp, zablokuje adres IP na kilka (lub kilkadziesiąt) minut.
Tu masz napisane - jak: http://slawomirsikora.blogspot.com/2007/03/tips-tricks-dst-port-25.html
Pozdrawiam
To by było na tyle.
;)
Ostatnio edytowany przez Jacekalex (2010-05-25 10:24:32)
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00013 | SET CHARSET latin2 |
| 0.00004 | SET NAMES latin2 |
| 0.00120 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.145.34.237' WHERE u.id=1 |
| 0.00141 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.145.34.237', 1733341839) |
| 0.00056 | SELECT * FROM punbb_online WHERE logged<1733341539 |
| 0.00051 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=16889 AND t.moved_to IS NULL |
| 0.00007 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00145 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=16889 ORDER BY p.id LIMIT 0,25 |
| 0.00073 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=16889 |
| Total query time: 0.0061 s | |