Forum Debian Users Gang

redelek · 2016-10-16 11:12:55

Hej,

Zachodzę w głowę i brak mi pomysłów. Mam system pocztowy postfix, dovecot, roundcube. Wszystkie paczki mam aktualne i mam problem.
Jeden z 400 użytkowników rozsyła mi spam co 1 tydzień lub dwa tygodnie. Wygląda na sierotę, żeby to sam robił. Kolejka rośnie do ponad 2000 tyś email. Wyłapuję to i blokuję, ale dlaczego tak się dzieje. Przetrzepałem mu wszystkie urządzenia, komputer stacjonarny z Window, laptopa z MacOS, telefon z Windows8. Po zablokowaniu i zmianie hasła pomaga na jakiś czas. Użytkownik twierdzi, że nie zmienia jasła na takie co miał, ale mu nie wierzę więc sprawdzam hasła w bazie. Serwery też sprawdziłem są czyste. Dzieje się tak w przypadku jednej osoby reszta pracuje bez problemów. Jak mogę go jeszcze namierzyć skąd następuje atak i włamanie. W logach mam jego ip z vectra, od nas z roboty i z sieci komórkowej, są jakieś wpisy login filed , ale za boga nie mogę tego znaleść z czego dochodzi do ataku. Próbowałem, eliminować urządzenia, zabrałem komputer stacjonarny było rozsyłanie spamu, zabrałem laptopa też była akcja z rozsyłaniem spamu, telefonu nie mogę zabrać bo to prywatny.

Może macie jakieś pomysły co ustawić co sprawdzić, bo mi już się skończyły pomysły.

Dzięki serdeczne za pomoc.

Pavlo950 · 2016-10-16 11:26:08

Co oni tam za routery mają w tej Vectrze?

uzytkownikubunt · 2016-10-16 11:38:18

3232

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:46:14)

Jacekalex · 2016-10-16 16:16:32

W Postfixie i Dovecocie da się włączyć dodatkową autoryzację przez certyfikaty X509/PKCS#12.

Byłoby z tym trochę gimnastyki na początku, ale na problem wyciekających haseł sprawa idealna, skuteczność 100/100.

Względnie zrób pacjentowi 3 skrzynki pocztowe, żeby na każdym urządzeniu miał inne hasło, wtedy przynajmniej się dowiesz, o które urządzenie i o który system chodzi.

SSL na SMTP, POP3 i IMAP masz ustawione jak, można się logować bez SSL/TLS?
W Postfixie masz przy smtp_tls may czy encrypt.

Zrobiłbym też osobne hasło do Dovecota a osobne do Postfixa, jak np używasz PAM z SQL czy sam SQL, to jest bułka z masłem.

To też może mocno rozjaśnić sytuację.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2016-10-16 18:27:22)

mati75 · 2016-10-16 16:36:54

Musi mieć jakiś syf na komputerze. Ewentualnie ma hasło słownikowe łatwe do złamania. Obstawiam:

laptopa z MacOS[/quote]
Ile razy słyszałem od użytkowników apple, że mają czysty komputer a spam i tak leciał.

[img]https://l0calh0st.pl/obrazki/userbar.png[/img]

Time (s)	Query
0.00018	SET CHARSET latin2
0.00008	SET NAMES latin2
0.00171	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.17.68.14' WHERE u.id=1
0.00363	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.17.68.14', 1714915257)
0.00054	SELECT * FROM punbb_online WHERE logged<1714914957
0.00653	DELETE FROM punbb_online WHERE ident='185.191.171.14'
0.00174	SELECT topic_id FROM punbb_posts WHERE id=306080
0.00156	SELECT id FROM punbb_posts WHERE topic_id=29054 ORDER BY posted
0.00090	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29054 AND t.moved_to IS NULL
0.00025	SELECT search_for, replace_with FROM punbb_censoring
0.00123	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29054 ORDER BY p.id LIMIT 0,25
0.00168	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29054
Total query time: 0.02003 s

Forum Debian Users Gang

Ogłoszenie

#1 2016-10-16 11:12:55

redelek - Członek DUG

Problem z wyciekaniem hasła

#2 2016-10-16 11:26:08

Pavlo950 - człowiek pasjonat :D

Re: Problem z wyciekaniem hasła

#3 2016-10-16 11:38:18

uzytkownikubunt - Zbanowany

Re: Problem z wyciekaniem hasła

#4 2016-10-16 16:16:32

Jacekalex - Podobno człowiek...;)

Re: Problem z wyciekaniem hasła

#5 2016-10-16 16:36:54

mati75 - Psuj

Re: Problem z wyciekaniem hasła

#6 2016-10-16 18:35:56

kiko80 - Użytkownik

Re: Problem z wyciekaniem hasła

#7 2016-10-16 19:13:18

redelek - Członek DUG

Re: Problem z wyciekaniem hasła

#8 2016-10-16 19:23:28

Jacekalex - Podobno człowiek...;)

Re: Problem z wyciekaniem hasła

#9 2016-10-16 22:48:31

redelek - Członek DUG

Re: Problem z wyciekaniem hasła

#10 2016-10-17 05:00:21

Jacekalex - Podobno człowiek...;)

Re: Problem z wyciekaniem hasła

Stopka forum

Informacje debugowania