服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 为什么我的服务器（后缀）“中继”邮件/我的服务器被黑客入侵？
Intereting Posts
从httpredirect到https sedsearch行，并只replace该行中的文本 我如何find每个数据库的mongodb写统计信息？ 如何启用php4只，没有php5 IIS崩溃/挂起代理事件查看器日志 – 他们是重要的 有没有人有Windows“at / every：”示例来解释如何设置batch file来运行每一天？ IP路由表在重新启动时得到重置 如何使连接到我的工作组的其他计算机能够通过我的私人本地域www.mydomain.local浏览我的Web服务器？ 即使Windows更新处于挂起状态，也可以将Windows 7“开始”菜单的“关机”button转换为“注销” 子域始终redirect到主域 – Apache2 VirtualHosts＆Debain svn post-commit没有执行 如何找出如何使用Active Directory组？ 修改后缓慢的ASPX页面 当上游服务器不能被parsing并且仍然有proxy_pass URI / URI重写规则时启动nginx？ ASA Certifiate与服务器名称不匹配

为什么我的服务器（后缀）“中继”邮件/我的服务器被黑客入侵？

在我的邮件服务器上发生了一些奇怪的事情。 我正在邮寄一个朋友，我的邮件被反弹，因为我的服务器的IP已被列入黑名单。

看起来像我的服务器被用来中继垃圾邮件。 （参见下面的日志摘录）

我检查了我的设置，他们不应该允许中继（见下文）。 我也在网上查了几个testing服务（全部清除/说中继不允许）。

有什么我失踪？

编辑：为什么不允许不存在的用户转发电子邮件（以及如何阻止它？）

编辑2：我试图阻止所有邮件，但它只是继续（也清空队列）： 

smtpd_sender_restrictions = reject smtpd_helo_restrictions = reject smtpd_client_restrictions=reject smtpd_recipient_restrictions = reject

我不能发送邮件，我不能收到邮件，但垃圾邮件只是继续下去！

（我安装了所有可用的更新）

操作系统： Debian 7

软件： Postfix 2.9.6-2 / 2.7.1-1 + squeeze1

main.cf： 

 myhostname = hus42.se myorigin = /etc/mailname mydestination = localhost, localhost.localdomain relayhost = mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128 mailbox_size_limit = 0 recipient_delimiter = + inet_interfaces = all alias_maps = hash:/etc/aliases alias_database = hash:/etc/aliases smtpd_tls_cert_file=/etc/ssl/certs/mailcert.pem smtpd_tls_key_file=/etc/ssl/private/mail.key smtpd_use_tls=yes smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache smtpd_tls_security_level=may smtpd_tls_protocols = !SSLv2, !SSLv3 local_recipient_maps = proxy:unix:passwd.byname $alias_maps home_mailbox = Maildir/ virtual_mailbox_domains = /etc/postfix/vhosts virtual_mailbox_base = /var/email virtual_mailbox_maps = hash:/etc/postfix/vmaps virtual_minimum_uid = 1000 virtual_uid_maps = hash:/etc/postfix/vuids virtual_gid_maps = hash:/etc/postfix/vuids

master.cf：http：//pastebin.com/navLmxw3

日志： 

 Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 28940B84981: from=<[email protected]>, size=1105, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/pickup[11973]: 4C6D3B84970: uid=33 from=<[email protected]> Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 1C241C388D2: from=<[email protected]>, size=1045, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/cleanup[11975]: 4C6D3B84970: message-id=<[email protected]> Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 1AC87C3924C: from=<[email protected]>, size=1092, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 1326EC3945C: from=<[email protected]>, size=1107, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12089]: 1E1ADB848F8: host mailin-04.mx.aol.com[64.12.88.131] refused to talk to me: 421 4.7.1 : (DNS:NR) http://postmaster.info.aol.com/errors/421dnsnr.html Apr 22 21:11:20 u0903576-01 postfix/smtp[12003]: 1A7EAB845C8: host mailin-04.mx.aol.com[64.12.88.131] refused to talk to me: 421 4.7.1 : (DNS:NR) http://postmaster.info.aol.com/errors/421dnsnr.html Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 1952EC38CA3: from=<[email protected]>, size=1161, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12109]: 15FA3C381AC: to=<[email protected]>, relay=mx.dca.untd.com[64.136.44.37]:25, delay=86030, delays=86029/0.18/0.68/0, dsn=4.0.0, status=deferred (host mx.dca.untd.com[64.136.44.37] refused to talk to me: 550 Access denied...1fd94df0f070717104fd505175246524d094fd5411b50525c19d09b5c121c445d4eddddd40217d5dc41930...) Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 1229FC38479: from=<[email protected]>, size=1078, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12102]: 1AB62C380D1: host mx-ha02.web.de[212.227.17.8] refused to talk to me: 554-web.de (mxweb104) Nemesis ESMTP Service not available 554-No SMTP service 554 invalid DNS PTR resource record, IP=89.221.255.50 Apr 22 21:11:20 u0903576-01 postfix/smtp[12030]: 13DDDC38032: host mx-ha02.web.de[212.227.17.8] refused to talk to me: 554-web.de (mxweb108) Nemesis ESMTP Service not available 554-No SMTP service 554 invalid DNS PTR resource record, IP=89.221.255.50 Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 10717C38AA0: from=<[email protected]>, size=1105, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12005]: 106F8C38229: host mailin-02.mx.aol.com[64.12.88.164] refused to talk to me: 421 4.7.1 : (DNS:NR) http://postmaster.info.aol.com/errors/421dnsnr.html Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 17F2FC39469: from=<[email protected]>, size=1136, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 1E71DB8462E: from=<[email protected]>, size=1100, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12002]: 008B1B84986: to=<[email protected]>, relay=none, delay=0.33, delays=0.17/0.14/0.01/0, dsn=5.4.6, status=bounced (mail for chris.hindefjord.se loops back to myself) Apr 22 21:11:20 u0903576-01 postfix/error[12111]: 28940B84981: to=<[email protected]>, relay=none, delay=422, delays=422/0.02/0/0.15, dsn=4.4.2, status=deferred (delivery temporarily suspended: lost connection with mta5.am0.yahoodns.net[98.138.112.33] while sending RCPT TO) Apr 22 21:11:20 u0903576-01 postfix/error[12138]: 1C241C388D2: to=<[email protected]>, relay=none, delay=60498, delays=60498/0.02/0/0.15, dsn=4.4.2, status=deferred (delivery temporarily suspended: lost connection with mta5.am0.yahoodns.net[98.138.112.33] while sending RCPT TO) Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 10D90C38F0C: from=<[email protected]>, size=2892, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12104]: 841E6B84976: to=<[email protected]>, relay=gmail-smtp-in.l.google.com[173.194.71.27]:25, delay=1985, delays=1984/0.07/0.16/0.71, dsn=2.0.0, status=sent (250 2.0.0 OK 1429737080 l3si4550344lbc.147 - gsmtp) Apr 22 21:11:20 u0903576-01 postfix/pickup[11973]: 77A24B84960: uid=33 from=<[email protected]> Apr 22 21:11:20 u0903576-01 postfix/cleanup[12216]: 77A24B84960: message-id=<[email protected]> Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 4C6D3B84970: from=<[email protected]>, size=1129, nrcpt=1 (queue active) Apr 22 21:11:20 u0903576-01 postfix/smtp[12078]: 1F84FC391C6: to=<[email protected]>, relay=mx.rediffmail.rediff.akadns.net[119.252.147.10]:25, delay=18938, delays=18937/0.02/1.1/0, dsn=4.0.0, status=deferred (host mx.rediffmail.rediff.akadns.net[119.252.147.10] refused to talk to me: 553 delivery from 89.221.255.50 is rejected. The connecting IP is blocked by REDIFF, if any concerns kindly contact the system administrator at [email protected] ) Apr 22 21:11:20 u0903576-01 postfix/error[12141]: 10717C38AA0: to=<[email protected]>, relay=none, delay=56161, delays=56160/0.02/0/0.05, dsn=4.4.2, status=deferred (delivery temporarily suspended: lost connection with mta5.am0.yahoodns.net[98.138.112.33] while sending RCPT TO)

在我的邮件服务器上发生了一些奇怪的事情。 我正在邮寄一个朋友，我的邮件被反弹，因为我的服务器的IP已被列入黑名单。

看起来像我的服务器被用来中继垃圾邮件。 （参见下面的日志摘录）

是的

我检查了我的设置，他们不应该允许中继（见下文）。 我也在网上查了几个testing服务（全部清除/说中继不允许）。

您的后缀configuration，特别是在Postfix SMTP中继和访问控制部分，是默认值。 幸运的是，默认的后缀configuration是足够安全的，所以你不必担心开放中继。

正如joeqwerty 在他的回答中所说的，你的服务器不会成为开放的中继服务器。 在线testing证实了这一点。

有什么我失踪？

当您的服务器发送垃圾邮件时，很可能您会被巨大的mail.log压垮，因为垃圾邮件发送者往往会在短时间内向成千上万的收件人发送电子邮件。 起初，你会困惑，因为这么多的数据，你不知道垃圾邮件的来源。

隔离后缀垃圾邮件问题的技巧之一是grep -ing后缀来缩小单个队列的范围。 例如，在你的mail.log中，我将运行这个命令 

 $ grep 4C6D3B84970 mail.log Apr 22 21:11:20 u0903576-01 postfix/pickup[11973]: 4C6D3B84970: uid=33 from=<[email protected]> Apr 22 21:11:20 u0903576-01 postfix/cleanup[11975]: 4C6D3B84970: message-id=<[email protected]> Apr 22 21:11:20 u0903576-01 postfix/qmgr[11974]: 4C6D3B84970: from=<[email protected]>, size=1129, nrcpt=1 (queue active)

在那里，你可以看看垃圾邮件的来源。 显然，用户33是罪魁祸首。 在许多系统中，uid = 33是www-data用户。 这个用户通过sendmail发送邮件不是smtpd，所以你的smtpd_*_restriction完全没有效果。 而且默认情况下，postfix将信任（允许中继）由sendmail调用的电子邮件。

但为什么我的www-data发送垃圾邮件？

在很多情况下， 您的Web应用程序导致垃圾邮件爆发 。 它告诉脚本发送电子邮件给数千收件人。

要完全阻止垃圾邮件，您必须search脚本并将其删除。 但这不是完整的解决scheme。 正确和完整的解决scheme是重build系统并从已知的备份恢复。 查看我们的规范问题如何处理受损的服务器？

你混淆开放中继和authentication中继。 所有电子邮件服务器都支持通过身份validation的中继，即当用户向服务器进行身份validation以便向外部收件人发送电子邮件时。 服务器说： “好的，你可以使用我发送邮件给你，因为你已经被authentication。” （否则没有人能够发送电子邮件）。 您运行的在线testing是针对开放中继进行的testing，即在服务器上没有电子邮件帐户/邮箱且未通过服务器validation的用户尝试向服务器不正确的收件人发送电子邮件时没有权威的。 您的日志似乎显示从您的用户发送到外部收件人的电子邮件，这是经过身份validation的中继，这是它应该如何工作。