Kısa Undelivered Mail Returned to Sendersüre önce 1500 müşterimden birine bülten gönderirken bir tane aldım . Web sitem, kullanıcının bültenimi açıkça almak istediğinden emin olmak için çift katılım prosedürü kullanıyor.
Hata mesajı:
smtp; 554 ...
Swisscom AG IP: 94.130.34.42, You are not allowed to send us mail. Please
refer to xyz.com if you feel this is in error.
Örnek bir spam posta aldım (alıcı posta sunucusunun posta sağlayıcısından):
Received: from mail.com ([94.130.34.42])
by smtp-27.iol.local with SMTP
id itOWeYZ6O42IFitOWe35TR; Tue, 13 Feb 2018 03:54:09 +0100
From: "Servizi online - Poste Italiane" <posteitaliane@test123.it>
Subject: Abbiamo ricevuto una segnalazione di accredito
Date: Mon, 12 Feb 2018 11:32:03 -0500
Sağlayıcı ayrıca, sunucumun saldırıya uğramış gibi göründüğünü belirtti. Ayrıca, "alıcı posta sunucusunun, bu durumda bağlanan IP ile kendisine sunulan rDNS'yi kaydettiğini mail.com ([94.130.34.42])" belirtti - ki bu kesinlikle IP adresim için rDNS girişimi (mail.lotsearch.de) yapılandırdığım gibi değil. Eğer rDNS'yi doğru anladıysam, alıcı posta sunucusu gönderen IP'sini bir rDNS girişi için sorgular (94.130.34.42 =>, yerel makinemden test ettiğimde kesinlikle => mail.lotsearch.de olarak çözülmelidir. $ host 94.130.34.42).
RDNS'yi taklit etmek nasıl mümkün olur? Bunun teknik olarak nasıl çalışabileceğini hiçbir şekilde düşünemiyorum (sadece alıcı posta sunucusu ile sunucum arasındaki altyapıda bir yerde ortadaki bir adam saldırısı ile).
Sağlayıcı ayrıca, "IP adresimden bağlanan bir makinenin güvenliği ihlal edildiğini ve bu iletileri alıcı posta sunucusuna doğrudan bağlantılar yoluyla göndermesinin muhtemel olduğunu belirtti (doğrudan MX olarak da bilinir). Ne anlama direct MXgeliyor? Birisi posta hesaplarımdan birine sızan posta bilgilerini çaldı veya buldu ve posta göndermek için kullandı mı?
Sunucum NOT / hack olmayacak emin olmak için şimdiye kadar ne yaptım:
- posta günlüklerini (
var/log/mail*) aradı : orada özel bir şey yok - ssh giriş günlüklerini kontrol etti (
last,lastb): olağandışı bir şey yok - postfix geçişi yapılıp yapılmadığını kontrol edin: hayır değil
- clamav yoluyla kötü amaçlı yazılım kontrolü yaptı: sonuç yok
- ssh, postfix ve dovecot için kurulu ve yapılandırılmış fail2ban
- Ubuntu 16.04 için en son yamaları / güncellemeleri yükledim (Bunu her hafta yapıyorum)
- IP adresimin herhangi bir kara listede olup olmadığını kontrol ettim: değil
- hosting sağlayıcımın yönetim konsolunda doğrulanmış rDNS girişi: doğru olarak ayarlanmış
mail.lotsearch.de. - tüm posta hesaplarının şifreleri değiştirildi
- kabuk erişimi için genel anahtarlar değiştirildi
Daha da önemlisi: posteitaliane@test123.itGünlüklerde hiçbir bilgi yoktu . Sunucum bir spam göndericisi tarafından kötüye kullanılmış olsaydı (posta hesaplarından birinin sızan smtp kimlik bilgileri nedeniyle) günlük dosyalarında bunu görürdüm.
Düşünebileceğim son olasılık, davetsiz misafirlerin sunucuma henüz bulamadığım kötü amaçlı yazılım yerleştirmeleridir.
Giden posta trafiğini (işlem başına ve bağlantı noktası başına) nasıl izleyebilirim?
Yalnızca giden bağlantı noktası 25'in izlenmesi yardımcı olmaz, çünkü bu yalnızca postfix yoluyla gönderilen düzensiz postaları yakalar, ancak potansiyel bir kötü amaçlı yazılım bulaşmasından kaynaklanan posta trafiğini yakalamaz (kötü amaçlı yazılım doğrudan posta göndermek / alıcı posta sunucularıyla iletişim kurmak için 25'ten farklı bir bağlantı noktası kullanıyorsa) . Tüm bağlantı noktalarında giden trafiği izlersem, şüpheli etkinlik için verimli bir şekilde arama yapamayacağım büyük günlük dosyasına bir yol alırım.
EDIT - Açık röle testi eklendi:
$ telnet mail.lotsearch.de 25
$ HELO test@test.de
250 mail.lotsearch.de
$ MAIL FROM: test@test.com
250 2.1.0 Ok
$ RCPT TO:<realEmail@gmail.com>
454 4.7.1 <realEmail@gmail.com>: Relay access denied
EDIT - Webapps çalışıyor
- Zend Framework 3 tabanlı Özel Platform ( https://framework.zend.com/ )
- Mediawiki ( https://www.mediawiki.org/ )
- Mantis Hata Takibi ( https://www.mantisbt.org/ )