Server unter ISPCP als Spam Relay

[joximu]

Mich würde interessieren, was der Grund ist, dass du vermutest, dass es von deiner Maschine aus kommt (abgesehen vom Absender und von der Blacklist).

Die oben gezeigte Mail kommt MMN nicht von deinem Server - es muss jedoch wohl einen Grund geben, warum du auf der CBL landest - könnte ja auch ein OpenProxy sein (und insofern auch ein PHP-Script drauf...)

/J

[krahe]

Wie kann ich denn ein Open Proxy erkennen? Vom Ablauf her ist es so. Ich lasse mich austragen. Nach ca. 12 Stunden bekomme ich diese Mails zurück und stehe auf der Liste. Wenn ich auf der Liste stehe, bekomme ich keine Mails mehr zurück.

Der OpenProxy müsste hier von ausserhalb bei abgeschalteten Apache und Postfix erreichbar sein. Auf welchen Ports würde denn ein solcher Proxy laufen? Root an sich ist nicht möglich, weil ich die Root Passwörter regelmäßig ändere und unter "Last" nur mein Root als Konsolenlogin ausgewiesen wird. Sprich ein Proxy über SSH kann ich hier ausschließen (machen Entwickler ja gerne in Agenturen, um E-mails und sonstiges was gesperrt ist über ihren Server zu nutzen). Ich habe zudem nicht wissentlich einen Proxy auf der Maschine installiert.

[joximu]

Es wird wohl kein Proxy im Sinne von Squid oder so sein. Vielleicht wird eines der Kundenskripte missbraucht, was es ermöglicht.
Dann sollte es aber mit abgeschaltetem Apache (was auch die phph-Prozesse killen sollte) aufhören.

Falls "die Bösen" schon ein eigenes Programm auf deinem Server draufgetan haben (hatte kürzlich den Fall, dass sie über ein altes "mantis" aufs System kamen) sollte man das auch erkennen (offene Ports und Programme, die dran hängen, etc etc)

Ich hatte dann auch lange gesucht und nichts gefunden, bis ich dann wieder online ging und erneute Hackversuche "inflagranti" erkennen konnte... :-)

/J

[krahe]

Hallo,

ich setzte jetzt den Server neu auf und wichtige Info für Hetzner Root Server, falls ihr das nicht eh schon wisst.

Hetzer spricht NICHT einheitlich die Server mit

meine-ip-adresse.clients.your-server.de

an. Je nach IP Adressen Raum werden die mit

static.umgekehrte.ip.adresse.mit.punkt.clients.your-server.de

angesprochen.

Dies ist bei mir der Fall. Nur zur Info.