服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 如何识别垃圾邮件的源代码/脚本IIS 7
Intereting Posts
未知的邮件从我的邮箱去，发送时不能看到 Windows服务器备份 – 已安装目录 如何检查DFSR或FRS的Sysvol复制与Powershell？ 基于IOPS的存储需求是否足够？ 在不使用CPU时间的情况下有select地阻止对Azure虚拟机的HTTP请求 现在如何解决与Percona libmysql，他们已经导致与他们的软件包百胜冲突？ 根locking在EC2之外 GRE – 覆盖networking 将它作为守护进程调用后如何停止webrick服务器（-d选项） Vmware ESX 4.1没有响应 如何让ssh为存储在智能卡上的密钥发送证书 有没有一个Web浏览器插件来查看MySQL数据库？ Windows无法加载可扩展计数器 域到Apache，子域或子目录到tomcat 从Apache 2.2迁移到2.4，ssl.conf被忽略

如何识别垃圾邮件的源代码/脚本IIS 7

我正在寻找一种方法，在Parallels Plesk Automation 11.5的一个Web服务器上查找垃圾邮件的来源。 该服务器当前运行Windows 2008 r2＆IIS7。

邮件队列不断增长，正如人们所猜测的，阻止IP不是一个长期的解决scheme。

在Linux上，可以轻松地拖曳maillog并获得更多信息。 然而在Windows中，并不那么容易。

我在事件查看器中找不到任何东西。 在smtp日志中，我只findIP的，只是没有更多。

我怎样才能找出哪个网站触发垃圾邮件？

标头示例
C：\的Inetpub \ mailroot \队列 

Received: from WEBSRV ([127.0.0.1]) by WEBSRV with Microsoft SMTPSVC(7.5.7601.17514); Wed, 29 Apr 2015 15:04:53 +0200 Date: Wed, 29 Apr 2015 13:04:53 +0000 Subject: Prezado(a) Cliente, Alerta Itaú 29/04/2015 To: [email protected] MIME-Version: 1.0 Content-type: text/html; charset=iso-8859-1 X-Mailer: Microsoft Office Outlook, Build 17.551210 From: [email protected] Return-Path: postmaster@WEBSRV Message-ID: SRVm8Kx7M6xyAE0Q20008eb98@WEBSRV X-OriginalArrivalTime: 29 Apr 2015 13:04:53.0897 (UTC) FILETIME=[159E6790:01D0827D]

日志示例
C：\ WINDOWS \ SYSTEM32 \ LogFiles文件\ SMTPSVC1 

 2015-04-29 13:00:00 187.92.46.51 OutboundConnectionResponse SMTPSVC1 SRV - 25 - - 250+OK 0 0 6 0 4696 SMTP - - - - 2015-04-29 13:00:00 187.92.46.51 OutboundConnectionCommand SMTPSVC1 SRV - 25 RCPT - TO:<[email protected]> 0 0 4 0 4711 SMTP - - - - 2015-04-29 13:00:00 186.202.4.42 OutboundConnectionResponse SMTPSVC1 SRV - 25 - - 504+5.5.2+<SRV>:+Helo+command+rejected:+need+fully-qualified+hostname 0 0 70 0 1217 SMTP - - - -

我已经在有数百个应用程序的服务器上与这些（或类似的）场景进行了对抗，并发现缩小/跟踪它们的最简单方法是使用Sysinternals Process Monitor ：

  1. find吸烟枪 ：

    • 打开进程监视器并让它只显示networking活动 在这里输入图像说明
    • 筛选进程名称w3wp.exe （如果运行.NET或ASP应用程序）
    • 如果您使用CGI运行php或perl应用程序，则可能需要查找perl.exe或php_xyx.exe或任何可执行文件的名称
    • 筛选TCP活动，其中Path包含127.0.0.1和:25 （表示本地SMTP连接）
    • 记下进行这些调用的w3wp.exe进程的进程ID

  2. 关联正在运行的应用程序

    • 转到IISpipe理控制台，select左侧树窗格中的顶部节点（服务器名称）
    • 从中心窗格中select“工作进程”function 在这里输入图像说明
    • 将PID与应用程序池相关联
    • 右键单击有问题的应用程序池，查看它提供的应用程序

  3. 检查日志

    • 现在，您只需检查承载相关应用程序的站点的IIS日志
    • 从经验来看，这些可能是POST请求

如果您正在运行CGI应用程序，则可以使用Process Explorer查找违规应用程序的父进程