Как бороться с этим в POSTFIX

Postfix источник NDN spam (backscatter) (комментарий)

Нет, поставил приближено к тем, что обозначены там, все равно картина не изменилась. Вот такие правила сейчас у меня:

smtpd_discard_ehlo_keywords = etrn, silent-discard
smtpd_forbidden_commands = CONNECT GET POST
broken_sasl_auth_clients = yes
smtpd_delay_reject = yes
smtpd_helo_required = yes
disable_vrfy_command = yes


smtpd_recipient_restrictions = permit_mynetworks,
                               permit_sasl_authenticated,
                               reject_unauth_destination,
                               reject_non_fqdn_recipient,
                               reject_unknown_recipient_domain,
                               reject_multi_recipient_bounce,
                               check_client_access hash:/etc/postfix/client_white_list,
                               check_sender_access hash:/etc/postfix/sender_white_list,
                               check_sender_access hash:/etc/postfix/blacklist,
                               check_helo_access hash:/etc/postfix/helo_checks,
                               check_policy_service unix:/var/spool/postfix/postgrey/socket,
                               #reject_rbl_client zen.spamhaus.org,
                               #reject_rbl_client bl.spamcop.net,
                               #reject_rbl_client dnsbl.sorbs.net,
                               reject_invalid_hostname

smtpd_helo_restrictions = check_client_access hash:/etc/postfix/client_white_list,
                          check_sender_access hash:/etc/postfix/sender_white_list,
                          check_client_access hash:/etc/postfix/blacklist,
                          check_sender_access hash:/etc/postfix/blacklist,
                          permit_mynetworks,
                          permit_sasl_authenticated,
                          reject_non_fqdn_helo_hostname,
                          reject_invalid_helo_hostname

smtpd_data_restrictions = permit_mynetworks,
                          permit_sasl_authenticated,
                          reject_unauth_pipelining,
                          reject_multi_recipient_bounce,


smtpd_sender_restrictions = check_sender_access hash:/etc/postfix/access_sender,
                            check_sender_access hash:/etc/postfix/sender_white_list,
                            check_client_access hash:/etc/postfix/client_white_list,
                            check_sender_access hash:/etc/postfix/blacklist,
                            permit_mynetworks,
                            permit_sasl_authenticated,
                            reject_non_fqdn_sender,
                            reject_unknown_sender_domain

Мало того, сегодня пришла абуза на отправку писем плохого содержания с моего сервера, вот с ящика одного из того списка из очереди.

Что еще может быть? Что еще можно сделать?

Возьми весь свой лог, грепни по нему ID любого письма (хотя бы 38F3F3613A1) и помедитируй над тем, как оно у тебя вообще принялось.

Без дальнейшей информации — предположим, что у тебя на одном из ящиков слабый пароль со всеми вытекающими.

Вот абуза: http://pastebin.com/GC0S0WNc

а вот лог по этому ящику (ящика такого нет): http://pastebin.com/8Sg9H9pE

Не пойму, как оно отправилось и как остановить этот беспредел ((

в минуту по 20 сообщений пытаются отправиться с ложных ящиков

http://mxtoolbox.com/diagnostic.aspx

или

http://www.aupads.org/test-relay.html

SMTP Reverse DNS Mismatch	OK - 93.184.192.155 resolves to mail.domain1.ru
SMTP Valid Hostname			OK - Reverse DNS is a valid Hostname
SMTP Banner Check			OK - Reverse DNS matches SMTP Banner
SMTP TLS					OK - Supports TLS.
SMTP Connection Time		2.075 seconds - Good on Connection time
SMTP Open Relay				OK - Not an open relay.
SMTP Transaction Time		4.477 seconds - Good on Transaction Time

220 mail.domen1.ru ESMTP [1950 ms]
EHLO MXTB-PWS3.mxtoolbox.com
250-mail.domen1.ru
250-PIPELINING
250-SIZE 40960000
250-STARTTLS
250-AUTH PLAIN LOGIN CRAM-MD5
250-AUTH=PLAIN LOGIN CRAM-MD5
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN [733 ms]
MAIL FROM:<supertool@mxtoolbox.com>
250 2.1.0 Ok [733 ms]
RCPT TO:<test@example.com>
454 4.7.1 <test@example.com>: Relay access denied [827 ms]

и в 3 черных списка уже поместили из-за этой проблемы спамерской рассылки:

LISTED	Spamhaus DBL	mail.domеn1.ru was listed  Detail	60	78	Ignore
LISTED	ivmSIP			93.184.192.155 was listed  Detail	2100	94	Ignore
LISTED	TRUNCATE		93.184.192.1558 was listed 

Говорю же: грепни по ID.

38F3F3613A1

↑ это ID.

localhost[127.0.0.1]: MAIL FROM:<teresa_zielinski@domen2.ru> SIZE=2886 BODY=8BITMIME

ЧТО? У тебя на том хосте кроме почты что-нибудь крутится? Например, старый webmin. Или старый wordpress. Или ssh с лёгким паролем на любого из пользователей.

OK - Not an open relay.

а теперь покажи что у тебя в mynetworks

Если найдёшь на хосте следы бекдоров — проверяешь состояние бэкапов, переставляешь систему, заливаешь данные с бэкапа, чинишь дырку через которую пролезли, потом уже думаешь о том, как вычистить себя из блеклистов.

ЧТО? У тебя на том хосте кроме почты что-нибудь крутится? Например, старый webmin. Или старый wordpress. Или ssh с лёгким паролем на любого из пользователей.

я думаю все гораздо проще. Скорее всего у него в mynetworks прописана внутренняя подсеть с клиентскими компами, а значит они проходят без авторизации. Кто то поймал вирус, вот и спам пошел

Это же глупо. Я не знаю, кому придёт в голову настроить так. Вариант с дыркой не требует специальной настройки, поэтому ставлю на него.

Ну и сдаётся мне, что боты больше заточены под этот случай.

Говорю же: грепни по ID.

http://pastebin.com/HSBFVPcZ

ЧТО? У тебя на том хосте кроме почты что-нибудь крутится? Например, старый webmin. Или старый wordpress. Или ssh с лёгким паролем на любого из пользователей.

веб-сервер крутится, wordpress - да, но не старый, он обновляется. ssh с легким паролем - нет. А почему такой вопрос: ЧТО? - что именно удивило в этом логе?

а теперь покажи что у тебя в mynetworks

mynetworks = 127.0.0.0/8

старый wordpress
старый webmin
ssh с лёгким паролем на любого из пользователей.

Я недавно поднимал тему, что нет ли ничего страшного в том, что некоторые пользователи SSH смогут ходить выше своей домашней директории , просматривать конфигурационные файлы и т.д. - мне сказали, что если права настроены правильно, то в этом ничего нет страшного.. Скажите тогда, как старый wordpress, webmin, ЛЮБОЙ пользователь ssh мог бы сломать систему? Объясните что могло произойти?

мл..ть, теперь и хостер прислал уведомление, что если не решите проблему с абузой, то вообще сервер заблокируем - клева. За спам рассылку сервера блокируют?

Ты уверен в том, что все права в системе настроены правильно? ;)

Ты уверен в том, что все права в системе настроены правильно? ;)

Нет, не уверен, но уверен, что права на важные директории выставлены верно, так-же уверен, что легких паролей от ssh нет, единственного пользователя ssh которого отдал веб-программисту пускаю через Lshell - вроде chroot, и он в не root.

Любой пользователь с локальным доступом на эту систему может отправлять почту по умолчанию и постфикс подпишет их любым обратным адресом, которым они хотят. Это вполне разумные умолчальные настройки. Чрут не помогает от этого т.к. 127.0.0.1 — в mynetworks, можно тупо по TCP связаться.

ЧТО? - что именно удивило в этом логе?

Вообще хотелось бы посмотреть то, что прямо перед этой строчкой... connect from <откуда> и подобное. Поэтому я и говорил — грепать по ID, в этом случае меньше мусора будет даже если включить строки вокруг. Перед отправкой письма постфикс пишет, кто сконнектился если это письмо снаружи.

Но ЧТО было о том, что у тебя скорее всего письма шлют не снаружи (т.е. например со сломанного ящика), а изнутри (с машины с постфиксом). И в этом случае тебе смотреть какой процесс коннектится к постфиксу и плясать от этого.

Говорю же: грепни по ID.

http://pastebin.com/HSBFVPcZ

Это — лог не с начала (видно по delay=84512). Предыдущий в архиве, похоже.

Тайлани еще логи веб-сервера, может шлют через дырку в том же вротпесе.

Тайлани еще логи веб-сервера, может шлют через дырку в том же вротпесе.

Остановил вообще веб-сервер, и о чудо, перестала идти спамерская рассылка!

Но вопрос остался, как ограничить Postfix от этой рассылки, если ее делают через сайты, на самом деле через wordpress?

потом уже думаешь о том, как вычистить себя из блеклистов.

Как вылезать из блеклистов?

Как вылезать из блеклистов?

Исправить проблему и зайти на веб-морду блеклиста. Как правило там есть форма, позволяющая попросить исключить тебя. Если слишком много пользоваться ей с одного адреса — забанят навсегда.

Если слишком много пользоваться ей с одного адреса — забанят навсегда

Понял, большое спасибо.

Но вопрос остался, как ограничить Postfix от этой рассылки, если ее делают через сайты, на самом деле через wordpress?

Ребят, как оградить postfix от этих напастей со стороны сайтов, которые крутятся на этом же сервере, где почтовик? Пока что лучшего решения, как разнести веб-сервер и почтовый-сервер на разные сервера не нашел.

Я ж говорил логи смотри. Там видно будет откуда именно. А вообще в письмах будет заголовок типа:

X-PHP-Originating-Script: 1000:PHPMailer.php

Я ж говорил логи смотри.

Да в логах веб-сервера особо ничего не видно, идет обращение к скриптам сайта, причем абсолютно разным со статусом 200, через какой из них спамер отправляет письма - х.з, возможно глобально заражены сайты, что там сотня скриптов отправляет спам-рассылку. Но попадание в яблочко на 100% - за что большое спасибо!

А вот вырубив веб-сервер полностью стало понятно, что да, бяка лезит через сайты - далее сузил круг отключив только определенные сайты (кстати на wordpress) и включив веб-сервер, после чего так-же стало понятно, что это сайты wordpress были.

Но вот как ограничить теперь postfix от таких напастей со стороны сайтов? Потому что сайты предположим сейчас от вирусяков почистят - но где гарантия что в любое время ситуацию не повторится - это wordpress - х.з. в какой момент ждать, что опять зальют туда вирус, который начнет делать то же самое и снова все по кругу.

Может ли стать решением проблемы вынос веб-сервера на отдельный сервак, т.е. тем самым вынести сайты из доверенной сети postfix?

Скажите, где postfix хранит письма, которые находятся в очереди?

«Вынести из доверенной зоны» можно путем задания пустого my_networks. Но:

1. все равно можно обращаться к бинарнику sendmail.postfix и рассылать спам

2. скорее всего сайты сами по себе должны иметь возможность рассылать какие-то свои письма

Так что здесь надо бороться с причиной - дырами в wordpress а не со следствием.

все просто: удаляешь разрешение для отправки почты через localhost без авторизации, а сайтам задаешь пароли для отправки (ведь у сайтов это настраивается? ;) ). те скрипты, что отсылают напрямую - наступит облом, если будет валить почта - ловишь аккаунт и морозишь сайт. ну и латай дырки потом :)

Так что здесь надо бороться с причиной - дырами в wordpress а не со следствием.

да, но кто знает в какой момент по причине глобальной уязвимости в wordpress или частного случая взлома сайта проблема повторится один, два, сто два раза - это все время находиться в состоянии тревоги.

ведь у сайтов это настраивается?

Нет, вроде не настраивается, та же функция php:

mail

все просто: удаляешь разрешение для отправки почты через localhost без авторизации, а сайтам задаешь пароли для отправки (ведь у сайтов это настраивается? ;) ). те скрипты, что отсылают напрямую - наступит облом, если будет валить почта - ловишь аккаунт и морозишь сайт. ну и латай дырки потом :)

anonymous - ты был прав, есть такой вариант. Вчера на хабре появилась статья, про то, как это сделать (спасибо JB что показал ее): http://habrahabr.ru/post/259937/

+ логм на отправленую почту непосредственно с сайтов (отдельный лог, не postfix).