Server unter ISPCP als Spam Relay

[krahe]

Hallo ihr lieben,

ich habe bei Hetzner einen Root-Server der auf ISPCP läuft. Dieser Server verschickt Spam mails über meine E-Mail Adresse. Ich bin immer in den XBL > CBL Listen eingetragen. Ich wollte fragen, ob Euch das auch schon mal passiert ist, wo möglicherweise die Lücke ist.

Die Clients sind Macs. Ich gehe mal davon aus, das die Rechner nicht die Spams verschicken, sondern das jemand direkt auf Postfix zugreift.

Ich habe mir mail.log angeschaut. Dort sieht man nicht, das Mails verschickt werden.

Wie kann ich erkennen, das der Server Mails verschickt?

[Kotty]

(11-30-2008 12:46 AM)krahe Wrote:  Hallo ihr lieben,

ich habe bei Hetzner einen Root-Server der auf ISPCP läuft. Dieser Server verschickt Spam mails über meine E-Mail Adresse. Ich bin immer in den XBL > CBL Listen eingetragen. Ich wollte fragen, ob Euch das auch schon mal passiert ist, wo möglicherweise die Lücke ist.

Die Clients sind Macs. Ich gehe mal davon aus, das die Rechner nicht die Spams verschicken, sondern das jemand direkt auf Postfix zugreift.

Ich habe mir mail.log angeschaut. Dort sieht man nicht, das Mails verschickt werden.

Wie kann ich erkennen, das der Server Mails verschickt?

Am besten wäre mal nen header so einer Spam Mail

Aber ich denke das es übern Apache und nem defekten formmailer zu dem Spamversand kommt. Check mal die Scripte in den webseiten.

[BeNe]

An deiner stelle würde ich nicht soo leicht damit umgehen.
Erstmal würde ich Postfix sofoert stoppen und nach der Lücke schauen.
Sowas finde ich total unverantwortlich wenn deine System weiter Online bleibt.

Greez BeNe

[menki]

grundsätzlich bei einer frischen ispCP installation wird der postfix schon so richtig konfiguriert sodass er kein offenes relay ist. ausserdem sind die maximalen connections per minute festgelegt.

ich wollte schon immer mal fragen wie es eigentlich mit sendmail steht unter ispcp und wie die phpmail funktion abgesichert ist. dieses sind die wichtigsten dinge überhaupt. wenn man in die schwarzen listen reinkommt dann kann man die ip des servers vergessen.

wenn es der apache (defekter formmailer) ist dann wird ja der phpmailer verwendet oder nicht? sendmail ist ja auch installiert.....

MENKI

[BeNe]

Ist sozusagen Offen.
Du kannst es in der PHP.ini selber abstellen wenn Du willst.

Greez BeNe

[krahe]

Hallo,

ich habe nach wie vor das Problem. Der Server ist lt. Abuse kein Spam Relay. Demnach müsste es ein Script sein, ist aber unklar. Wenn ich phpmailer ausschalten will für den ganzen Server -> wie mache ich das? Gibt es eine Globale PHP.ini?

Ansonsten wäre der nächste Test, indem ich den Apache abschalte. Postfix macht keinen Sinn, weil der von mir seit der Installation nicht verändert wurde.

Ich habe aber eine Frage: Wenn ich Mails verschicke, also auch über phpmailer - dann müssen die doch in der mail.log auftauchen? Oder suche ich an der falschen Stelle?

-Jens

---

Dies ist eine E-Mail die zurückgekommen ist. IP ist mein Server, XYZ meine Domain.

Ich habe jetzt den Apache abgeschaltet und bei Spamhaus erneut ein delisting beantragt.

Wenn das jetzt 3 Tage gut geht muss es an einem Script liegen.

Wie kann ich global für allen Domains php.ini Einträge vornehmen, mein nächster Schritt wäre dann die Mailfunktion bei PHP auszuschalten.

-> Ich habe mal eine Frage: gemäß der Mail wurde die E-Mail gar nicht von meinem Server verschickt, sondern nur mein E-Mail Name wird benutzt. Oder bin ich doof?

Return-Path: <>
X-Original-To: krahe@xyz.de
Delivered-To: krahe@xyz.de
Received: from bay0-omc3-s9.bay0.hotmail.com (bay0-omc3-s9.bay0.hotmail.com [65.54.246.209])
by ip.clients.your-server.de (Postfix) with ESMTP id B4217118C2A7
for <krahe@xyz.de>; Sun, 30 Nov 2008 02:06:23 +0100 (CET)
Received: from bay0-mc7-f8.bay0.hotmail.com ([65.54.244.208]) by bay0-omc3-s9.bay0.hotmail.com with Microsoft SMTPSVC(6.0.3790.3959);
Sat, 29 Nov 2008 17:03:57 -0800
From: postmaster@hotmail.com
To: krahe@xyz.de
Date: Sat, 29 Nov 2008 17:03:57 -0800
MIME-Version: 1.0
Content-Type: multipart/report; report-type=delivery-status;
boundary="9B095B5ADSN=_01C950C14DC7A753000592DEbay0?mc7?f8.bay0"
X-DSNContext: 335a7efd - 4480 - 00000001 - 80040546
Message-ID: <EaUK8A7l40001da50@bay0-mc7-f8.bay0.hotmail.com>
Subject: Delivery Status Notification (Failure)
X-OriginalArrivalTime: 30 Nov 2008 01:03:57.0128 (UTC) FILETIME=[858A8480:01C95287]

This is a MIME-formatted message.
Portions of this message may be unreadable without a MIME-capable mail program.

--9B095B5ADSN=_01C950C14DC7A753000592DEbay0?mc7?f8.bay0
Content-Type: text/plain; charset=unicode-1-1-utf-7

This is an automatically generated Delivery Status Notification.

Delivery to the following recipients failed.

kikoolara@hotmail.com




--9B095B5ADSN=_01C950C14DC7A753000592DEbay0?mc7?f8.bay0
Content-Type: message/delivery-status

Reporting-MTA: dns;bay0-mc7-f8.bay0.hotmail.com
Received-From-MTA: dns;smtp23.orange.fr
Arrival-Date: Sat, 29 Nov 2008 17:03:56 -0800

Final-Recipient: rfc822;kikoolara@hotmail.com
Action: failed
Status: 5.5.0
Diagnostic-Code: smtp;550 Requested action not taken: mailbox unavailable (-715969955:3232:-2147467259)

--9B095B5ADSN=_01C950C14DC7A753000592DEbay0?mc7?f8.bay0
Content-Type: message/rfc822

Received: from smtp23.orange.fr ([80.12.242.97]) by bay0-mc7-f8.bay0.hotmail.com with Microsoft SMTPSVC(6.0.3790.2668);
Sat, 29 Nov 2008 17:03:56 -0800
Received: from smtp23.orange.fr (mwinf2348 [10.232.4.148])
by mwinf2310.orange.fr (SMTP Server) with ESMTP id 2ED3F1C00346;
Sun, 30 Nov 2008 02:03:56 +0100 (CET)
Received: from me-wanadoo.net (localhost [127.0.0.1])
by mwinf2348.orange.fr (SMTP Server) with ESMTP id 2182A1C00087;
Sun, 30 Nov 2008 02:03:56 +0100 (CET)
Received: from SERVEUR_02 (ALille-107-1-15-251.w217-128.abo.wanadoo.fr [217.128.41.251])
by mwinf2348.orange.fr (SMTP Server) with SMTP id 905F61C00083;
Sun, 30 Nov 2008 02:03:55 +0100 (CET)
X-ME-UUID: 20081130010355591.905F61C00083@mwinf2348.orange.fr
Message-ID: <005601c952ea$d7a6be55$b8c87b85@ymnzn>
From: "=?windows-1251?B?TGVueSBB?=" <krahe@xyz.de>
To: <kikookate@hotmail.com>, <kikoolara@hotmail.com>,
<kikoolarte@hotmail.com>, <kikoolz@hotmail.com>
Subject: =?windows-1251?B?SSdtIHJlYWR5IG5vdw==?=
Date: Sun, 30 Nov 2008 02:03:51 +0100
MIME-Version: 1.0
Content-Type: text/plain;
charset="windows-1251"
Content-Transfer-Encoding: 7bit
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 5.50.4522.1200
X-MimeOLE: Produced By Microsoft MimeOLE V5.50.4522.1200
Return-Path: krahe@pixelized.de
X-OriginalArrivalTime: 30 Nov 2008 01:03:57.0068 (UTC) FILETIME=[85815CC0:01C95287]


Aloha, my dear friend

Hearts are often broken when words are unspoken...
So, here are the first words I want to tell you about myself.
The things I like I have a lot of them! I love traveling and camping above
all. I enjoy exploring mountains and revel in the atmosphere of adventure!
I like to sit near the fire somewhere in the mountains and admire nature.
I also enjoy having rest near the sea and lying on the sun, reading novels
with a fascinating plot and listening to classical music. I like cooking healthy
food and my weakness is delicious sweet dishes. First of all I'm looking for
responsible, active, and cheerful man; a man who has much love.
Find me http://www.loveconqueredall.com/fantasyfeel/

Warm hugs
Helen A.



--9B095B5ADSN=_01C950C14DC7A753000592DEbay0?mc7?f8.bay0--

[joximu]

sieht für mich so aus, als ob jemand mit dem Absender krahe@deindomain.de (wenn ich das richtig interpretiere) spam versendet - aber aus Netzen von orange.fr

Du kannst ja den Traffic beobachten, den dein Server erzeugt: alles ausgehende auf Port 25 oder so mit tcpdump beobachten...

Gruss
J

[Kotty]

Also ich würde fast drauf tippen das da einer deiner Mailuser nen Virus auf seinem Rechner hat der dann über Outlook Express mails rausfeuert. Zumindest Sieht der header danach aus

[krahe]

(12-02-2008 01:55 AM)joximu Wrote:  sieht für mich so aus, als ob jemand mit dem Absender krahe@deindomain.de (wenn ich das richtig interpretiere) spam versendet - aber aus Netzen von orange.fr

Du kannst ja den Traffic beobachten, den dein Server erzeugt: alles ausgehende auf Port 25 oder so mit tcpdump beobachten...

Gruss
J

Ja, genau - so sehe ich das auch. krahe@xyz.de war meine E-Mail. Aber ich kann mich doch quasi garnicht dagegen schützen. Ich kann als Absender doch jede E-Mail eintragen.

Ich Frage mich nur warum ich dann bei Spamhaus auftauche?

---

(12-02-2008 02:06 AM)Kotty Wrote:  Also ich würde fast drauf tippen das da einer deiner Mailuser nen Virus auf seinem Rechner hat der dann über Outlook Express mails rausfeuert. Zumindest Sieht der header danach aus

Habe ich auch gedacht, aber wir benutzen zu zweit den Mailserver und wir beide haben OSX auf unseren Rechner.

Zudem müssten die Mails die verschickt wurden in Mail.log auftauchen, was sie nicht tun. Alle Mails die der Postfix versendet und in der Mail.log auftauchen sind nur von uns beiden.

[Kotty]

Ich war mal so frei und hab mich bissal umgeguggt fängt dein Server zufällig mit folgender IP an? 78.46.48.X kannst gerne auc Per ICQ oder PM antworten wenn du es hier net öffentlich sagen willst.