主页 / user-514100

John's questions

Martin Hope
John
Asked: 2021-06-25 03:16:36 +0800 CST
  • 0

最近我的服务器生成了许多垃圾邮件。我在示例消息中查找了信息，但发件人显然是伪造的，并且消息头中也没有后缀用户 ID。以下是示例消息的完整标头：

root@server:~# postcat -qv 400CB848E9
postcat: name_mask: all
postcat: inet_addr_local: configured 4 IPv4 addresses
postcat: inet_addr_local: configured 2 IPv6 addresses
*** ENVELOPE RECORDS hold/400CB848E9 ***
message_size:            2333             670               1               0            2333               0
message_arrival_time: Thu Jun 24 06:44:46 2021
create_time: Thu Jun 24 06:44:46 2021
named_attribute: log_ident=400CB848E9
named_attribute: rewrite_context=local
sender: [email protected]
named_attribute: log_client_name=localhost.localdomain
named_attribute: log_client_address=127.0.0.1
named_attribute: log_client_port=40070
named_attribute: log_message_origin=localhost.localdomain[127.0.0.1]
named_attribute: log_helo_name=localhost
named_attribute: log_protocol_name=ESMTP
named_attribute: client_name=localhost.localdomain
named_attribute: reverse_client_name=localhost.localdomain
named_attribute: client_address=127.0.0.1
named_attribute: client_port=40070
named_attribute: helo_name=localhost
named_attribute: protocol_name=ESMTP
named_attribute: client_address_type=2
named_attribute: dsn_orig_rcpt=rfc822;[email protected]
original_recipient: [email protected]
recipient: [email protected]
*** MESSAGE CONTENTS hold/400CB848E9 ***
regular_text: Received: from localhost (localhost.localdomain [127.0.0.1])
regular_text:   by dallas.mylocalhostdomain.com (Postfix) with ESMTP id 400CB848E9
regular_text:   for <[email protected]>; Thu, 24 Jun 2021 06:44:46 -0400 (EDT)
regular_text: From: Google Drive Storage <[email protected]>
regular_text: To: [email protected]
regular_text: MIME-Version: 1.0
regular_text: Message-ID: <[email protected]>
regular_text: Date: Thu, 24 Jun 2021 06:44:46 +0000
regular_text: Content-Type: text/html; charset=UTF-8
regular_text: Content-Transfer-Encoding: 7bit
regular_text: Subject: File is damaged and could not be repaired

从头部可以看出，消息的发送者是[email protected]，但是服务器上不存在这个域名/用户。据我所知，我很困惑，用户必须存在于服务器上，然后才能对 SMTP 进行身份验证。此外，mail.log 文件中也没有认证信息。

我希望有人可以帮助指出如何识别生成此消息的真实用户？

谢谢！

spam postfix
Martin Hope
John
Asked: 2019-03-13 22:53:15 +0800 CST
  • 1

我正在管理一个小型共享托管服务器。今天我收到了来自我的托管服务提供商的投诉，说我的服务器正在其他网站的 wp-login.php 页面上发送请求。我实施了防火墙规则

/sbin/iptables -I OUTPUT -p tcp --dport 80 -m string --string "wp-login.php" --algo kmp -j REJECT --reject-with tcp-reset

我测试并从我的服务器看到我无法向http://testsite.com/wp-login.php. 这很棒，并且可以按预期工作。

但是，我仍然收到了关于这个问题的进一步投诉，所以我猜一个坏用户正在使用 HTTPS 攻击目标网站的 wp-login.php。我实施了以下规则，但它不起作用

/sbin/iptables -I OUTPUT -p tcp --dport 443 -m string --string "wp-login.php" --algo kmp -j REJECT --reject-with tcp-reset

我明白了，因为通过 HTTPS URL 是加密的，所以这个方法不起作用。

我想问我应该如何解决这个问题来防止/阻止/识别罪魁祸首？

提前致谢！

linux