Server auf Blacklist

    Hallo,
    mein Server landet seit heut auf der Spamhaus Blacklist CBL.
    Folgendes steht da: It appears to be infected with a spam sending trojan, proxy or some other form of botnet.
    Wie finde ich heraus, welcher Kunde das Problem verursacht? Die Logs sind ja doch recht umfangreich.

    Logs des phpmailers und dort nach dem Sendeintervall filtern... Ansonsten filterst du deine Kunden nach den installierten CMS aus (Stichwort Jooma XD) :)

    Ich schau mir z.B. syslog an und habe folgende Zeilen:



    Stutzig macht mich "connect from srv.domain.de.local[127.0.0.1]".
    Also ich kann das nicht eindeutig einem Kunden zuordnen.


    Wo finde ich das phpmailer Logfile? Danke!

    Ok, Danke.
    Wie kann ich denn gloabl phpmail deaktivieren? Momentan gehe ich in jede einzelne php.ini und setze mail bei disable_Functions mit ein. Kann ich dies nicht für den kompletten Server?

    Du kannst die template files editieren und dann das Setupskript neu ausführen. Ansonsten gibts je nach Implementierung (itk, fpm, fcgi) master config files...

    wenn das script nicht den php mailer verwendet wirst du in diesem log nichts finden. Ausserdem geht der phpmailer ja auch über postfix raus, also müsste man den traffic dort sehen.


    Ich vemute eher du hast PHP scripts drauf welche das SMTP Protokoll direkt implementieren und so senden. Komplett an postfix vorbei.


    Führe mal folgendes aus:

    Code
    1. lsof -i | grep smtp


    Es zeigt dir offene SMTP Verbindungen. Du musst das unter Umständen aber in einer Schleife (oder von Hand) mehrfach ausführen, denn nur wenn du es genau zum Zeitpunkt der Verbindung ausführst, zeigt es dir was an. Dann würdest du aber sehen welcher User das ist.


    Sinnvoll um solche Scripts zu blocken ist aber etwas in der Art:

    Code
    1. # Allow internal mail delivery
    2. iptables -A OUTPUT -d 127.0.0.1 -p tcp -m tcp --dport 25 -j ACCEPT
    3. # Allow external mail delivery from root
    4. iptables -A OUTPUT -p tcp -m tcp --dport 25 -m owner --uid-owner root -j ACCEPT
    5. # Allow external mail delivery from postfix
    6. iptables -A OUTPUT -p tcp -m tcp --dport 25 -m owner --uid-owner postfix -j ACCEPT
    7. # Reject all other mail packets
    8. iptables -A OUTPUT -p tcp -m tcp --dport 25 -j REJECT --reject-with icmp-port-unreachable


    Damit erlaubst du nur root und postfix Verbindungen auf den Port 25 herzustellen. PHP Scripts die versuchen am Mailer vorbeizugehen kannst du so blocken. Scripts die den PHP Mailer benutzen hast du aber eh im Postfix log bzw. im php Mail Log.

    Danke für die Infos. Ich habe nun erstmal per iptables den russischen IP Block gesperrt. Mit maldet habe ich alle Dateien mit Änderungen in den letzten Tagen überprüft und einen Treffer gefunden. Allerdings ist für diesen Kunden mail schon in der php.ini deaktiviert. Jetzt ist zumindest erstmal Ruhe. Wie oft darf man denn den Eintrag von der Blacklist entfernen?

    Quote from Bulli

    Wie oft darf man denn den Eintrag von der Blacklist entfernen?


    Quote

    If it keep relisting, we will stop delisting it.
    As we said earlier, we have zero tolerance for reinfections.

    Hab doch noch was gefunden. Bin über den Webtraffic auf die betreffende Datei gekommen. War, wie bereits erwähnt, ein Joomla Problem. In der entsprechenden php Datei standen dann u.a. Google Mailserver und welche aus Russland drin. Danke euch nochmal für die Hinweise.