Sendmail

поэтапно отключил все процессы

Отключи sendmail-демона.

Какая ОС?

Лог читать невозможно, оформи нормально.

OC: Debian

Отключен, если демон sendmail отключить, залив спама естественно прекратится.

Если уж позарез нужен мейл-демон — в дебиане есть exim4, который практически без пердолинга с настройками прекрасно работает и при этом отпинывает спамеров. А с sendmail’ом нужно ещё уметь обращаться.

Удали накопившийся спам в очереди отправки (где-то в /var).

25 порт открыт на входящие соединения? Если открыт то закрой (где-то в конфиге sendmail или файрволлом). sendmail на сервере никакие входящие подключения принимать не должен (если только это не почтовый сервер).

Если вы по логу видете, что спам продолжается, то есть понимаете, что там написано, то почему приводите такие ошмётки? Берёте ID письма и ищете в логе когда оно появилось, тогда может будет понятно откуда появилось спам письмо.

поэтапно отключил все процессы

По выводу ″ps″ проверяли, что процессы отключились?

Очередь, я чистил …

В настройках, стоит:

dnl #	
FEATURE(`no_default_msa')dnl	
dnl DAEMON_OPTIONS(`Family=inet6, Name=MTA-v6, Port=smtp, Addr=::1')dnl	
DAEMON_OPTIONS(`Family=inet, Name=MTA-v4, Port=smtp, Addr=0.0.0.0')dnl	
dnl DAEMON_OPTIONS(`Family=inet6, Name=MSP-v6, Port=submission, M=Ea, Addr=::1')dnl	
DAEMON_OPTIONS(`Family=inet, Name=MSP-v4, Port=submission, M=Ea, Addr=127.0.0.1')dnl	
dnl #

т.е. Addr=0.0.0.0’ и Addr=127.0.0.1’ - я так понимаю, означает, принимать только локальные соединения. Поэтому я эксплойт в процессах искал …

Но в конфиге, стоит запись: DAEMON_OPTIONS(`Family=inet, Port=465, Name=MTA-SSL, M=s’)dnl

Здесь Addr не указан - может быть это тому причина?

0.0.0.0 означает все интерфейсы.

я вижу и запросы и сами письма прочитать могу, логи в рамках запроса я предоставил полностью, это всё что есть. Сейчас уже понятно, что к sendmailу обращаются на прямую …

Если я правильно понял: На серверных машинах он подразумевает все адреса IPv4 на локальном компьютере

На любых машинах. Если нужно слушать только на локальном интерфейсе, то нужно поменять на 127.0.0.1(::1 для ipv6).

Во-первых 0.0.0.0 - это все адреса, как уже писали выше, а значит в том числе и приём соединений из инета.

Во-вторых, закомментрируй обе строки. Тебе никакие адреса не нужны, ни интернетные, ни локальные. Эти адреса - чтоб клиенты почтового сервера (люди у которых на нём ящики) могли слать через него почту, а программы почту шлют не через них, а запуская sendmail из командной строки.

Хотя может быть в каких-то необычных случаях программы и шлют почту через порты, так что можно и посмотреть на эту тему позже.

Итого:

1) 0.0.0.0 там точно не место, должны быть только 127.0.0.1

2) 127.0.0.1 скорее всего тоже не нужен

Спасибо всем, да, в 0.0.0.0 - проблема была.

я 127.0.0.1 поставил, залив спама прекратился, но у меня не все через командную строку отправляют, есть сервисы и через порты работают их можно отключить, но оставлю пока посмотрю …

Но вопрос еще открыт с DAEMON_OPTIONS(`Family=inet, Port=465, Name=MTA-SSL, M=s’)dnl, её так же оставляем или нужна так же переконфигурировать на 127.0.0.1 или вообще убрать, или это вообще параметр не на приём почты, а отправки?

И последнее:

Мой провайдер заблокировал 25 порт, почта не доставляется, но написал что порты 587 и 456 не блокируются. я так понимаю что не блокируются между локальным sendmail и сервером получателя. Скажите а как поменять порт доставки с 25 на 456?

Откуда третья строка взялась, были ж две другие? Посмотри в netstat -nltp какие порты он октрывает, и проверь что у всех айпи 127.0.0.1 а не какие-то другие.

Мой провайдер заблокировал 25 порт, почта не доставляется, но написал что порты 587 и 456 не блокируются. я так понимаю что не блокируются между локальным sendmail и сервером получателя. Скажите а как поменять порт доставки с 25 на 456?

Чтобы поменять на 456, его должна поддерживать та сторона. А этого много где не будет, возможно. Лучше сообщи провайдеру что спам ты исправил и попроси открыть назад порт.

Да DAEMON_OPTIONS(`Family=inet, Port=465, Name=MTA-SSL, M=s’)dnl - тоже нужно на локалку переводить или удалять, долго ждать не пришлось:

Feb 23 21:38:31 main-serv sm-mta[26136]: 41NIcMpN026136: 124.53.158.104.in-addr.arpa [104.158.53.124] (may be forged) did not issue MAIL/EXPN/VRFY/ETRN during connection to MTA-SSL

Feb 23 21:42:08 main-serv sm-mta[26726]: STARTTLS=server, relay=[59.31.249.110], version=TLSv1/SSLv3, verify=NO, cipher=DHE-RSA-AES256-GCM-SHA384, bits=256/256

Feb 23 21:42:15 main-serv sm-mta[26726]: 41NIg76k026726: [59.31.249.110] did not issue MAIL/EXPN/VRFY/ETRN during connection to MTA-SSL

Feb 23 21:42:19 main-serv sm-mta[26740]: STARTTLS=server, relay=1.243.66.125.broad.zg.sc.dynamic.163data.com.cn [125.66.243.1] (may be forged), version=TLSv1/SSLv3, verify=NO, cipher=DHE-RSA-AES256-GCM-SHA384, bits=256/256

Feb 23 21:42:26 main-serv sm-mta[26740]: 41NIgGTG026740: 1.243.66.125.broad.zg.sc.dynamic.163data.com.cn [125.66.243.1] (may be forged) did not issue MAIL/EXPN/VRFY/ETRN during connection to MTA-SSL

Она в конфиге была прописана, я на стандартные конфиги смотрю там везде стоитDAEMON_OPTIONS(`Family=inet, Port=465, Name=MTA-SSL, M=s’)dnl - х.з. для чего, но стоит.

Но всё равно, закомментировал к онфигу, перезапустил, смотрю:

tcp        0      0 0.0.0.0:465             0.0.0.0:*               LISTEN      21216/sendmail: MTA
tcp        0      0 127.0.0.1:587           0.0.0.0:*               LISTEN      21216/sendmail: MTA
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      21216/sendmail: MTA

нужно ещё посмотреть как его правильно вырубить, просто закомментировать строку не выходит и 587 ещё какой-то порт, но в конфиге о нём не строчки …

Первая строчка с 0.0.0.0:465 показывает, что sendmail продолжает слушать на всех интерфейсах на 465 порту.

Вообще-то, в конфиге эти порты указаны. Только они там указаны не в виде численного значения, а по названию сервиса. Сопоставление между именем и номером порта можно посмотреть в файле /etc/services:

$ cat /etc/services |grep '465\|587'
submissions	465/tcp		ssmtp smtps urd # Submission over TLS [RFC8314]
submission	587/tcp				# Submission [RFC4409]

0.0.0.0:465 - правильно стоял, исходящую почту отсылают через него.

я перевёл на 127.0.0.1:465, сразу жалобы начали поступать на то что не могут отправить почту, т.е. только локально служба всё таки не используется!

Непонятно, почему спамеры не авторизовавшись отправляют почту, а легальные пользователи проходят авторизацию …

В настройках так:

DAEMON_OPTIONS(`Family=inet, Port=465, Name=MTA-SSL, M=s')dnl
define(`confAUTH_MECHANISMS', `DIGEST-MD5 CRAM-MD5 LOGIN PLAIN')dnl

Но нет, спам продолжается, не могу понять источник, погуглил но ни чего не нашёл! :(

'''
 Под утро он вовсю уже рыдал. То ставил к стенке, то гадал на партбилете..
ДДТ
'''

Но нет, спам продолжается, не могу понять источник, погуглил но ни чего не нашёл! :(

'''Под утро он вовсю уже рыдал. То ставил к стенке, то гадал на партбилете..
ДДТ'''

Но нет, спам продолжается, не могу понять источник, погуглил но ни чего не нашёл! :(

‘‘‘Под утро он вовсю уже рыдал. То ставил к стенке, то гадал на партбилете.. ДДТ’’’

Да и вообще создатели email: того.. ну вы понимаете.. того..

Да ну их нах компьютеры эти ваши!

ага

всех причастных с праздником