我的这次Qmail被黑经历

Fun-FreeBSD

前两天Exchang服务器被黑了一次，这两天Qmail又被黑了

真是奇怪，知道我水平不行，故意黑我，不过终于还是让我搞定了

非常感谢gadfly和各位兄弟的帮助，kiss~kiss~kiss~kiss~kiss~kiss~

我说说被黑的经过，如果哪位兄弟不小心也被黑了，希望有点帮助

#-----------------------------------------------------------------
这次是被人偷了一个email账号，利用这个帐号乱发垃圾邮件，导致queue很快被塞满

一.现象：
  信件发送后，要等一天才能收到，或者根本收不到
  后来发现qmail的queue邮件队列巨长，主要是mess,info,remote三个目录
  # du -d1 /usr/local/qmail/queue/
    2       /usr/local/qmail/queue/pid
    2       /usr/local/qmail/queue/intd
    2       /usr/local/qmail/queue/todo
    2       /usr/local/qmail/queue/bounce
    219660   /usr/local/qmail/queue/mess
    217660   /usr/local/qmail/queue/info
    64      /usr/local/qmail/queue/local
    217500   /usr/local/qmail/queue/remote
    4       /usr/local/qmail/queue/lock
    65560   /usr/local/qmail/queue/

二.找出入侵者：
  因为正常情况下，不会有那么多信的，有人不停的乱发信，随便找几个队列瞧瞧就知道是谁发的了

  1.先看日志,注意带有"new msg","info msg"的信息行：
    #more /var/log/maillog
      ...
      Apr  3 11:49:03 www qmail: 1049341743.532642 new msg 297872------记住这个队列号，查找这个队列号的邮件
      Apr  3 11:49:03 www qmail: 1049341743.533064 info msg 297872: bytes 893 from <stefani_102150_xp@tripod.com>; qp 16985 uid 1038
      Apr  3 11:49:03 www qmail: 1049341743.706272 new msg 298223
      Apr  3 11:49:03 www qmail: 1049341743.706691 info msg 298223: bytes 881 from <thurman_102150_xp@yahoo.com>; qp 16986 uid 1038
      ...
  2.然后看看那家伙是从哪里登录的：
    #find /usr/local/qmail/queue/ -name 297872
      /usr/local/qmail/queue/mess/22/297872
      /usr/local/qmail/queue/info/22/297872
      /usr/local/qmail/queue/remote/22/297872
    #more /usr/local/qmail/queue/mess/22/297872
      Received: from unknown (HELO smtp0251.mail.yahoo.com) (210.21.6.44)------这就是入侵者的ip地址
      From: "jenypher  "<lenny_102150_xp@yahoo.com>;
      X-Priority: 3
      To: sesto@altavista.net
      Subject: Enlarge your PENIS and improve your SEX Life!
      Mime-Version: 1.0
      Content-Type: text/html; charset=us-ascii
      Content-Transfer-Encoding: base64

三.找出被入侵的账号：
   通过lastauth文件，查找在210.21.6.44上登录的用户
   因为有很多用户，所以我写了个脚本来找被黑的用户
     #!/bin/sh
     #set -x

     echo "" >; maillastauth.txt
     ls -d1 /home/vpopmail/domains/bsd.com/*/ >; mailusers.txt-----------输出所有用户的email路径

     for MAILUSERS in `cat mailusers.txt`
     do
       more ${MAILUSERS}lastauth >;>; maillastauth.txt--------------------输出所有用户的lastauth文件
       echo $MAILUSERS >;>; maillastauth.txt------------------------------以及对应的用户
     done
  
     more maillastauth.txt | grep 210.21.6.44----------------------------输出在210.21.6.44上登录的用户

四.找到那个被黑的账号了，赶快修改密码，重新启动服务器（多此一举，呵呵~，只是自己感觉心里踏实一点）
   因为那家伙乱发邮件，所以postmaster收到很多MAILER-DAEMON@bsd.com的文件，删除这些垃圾
    /home/vpopmail/domains/bsd.com/postmaster/Maildir/cur/*
    /home/vpopmail/domains/bsd.com/postmaster/Maildir/new/*
   如果你的postmaster用户有其他的重要文件，可不要这么做
  还要看看你的queue邮件队列是不是在减少，如果还在继续增加，那完蛋了，估计系统账号都被黑了

五.昨天还干了点愚蠢的事情，因为看到queue里的文件很多，所以直接删除了queue队列里的文件，事实上这些文件是不能删除的
   否则就会出现类似"unable to stat mess/22/176892"这样的错误
   #more /var/log/maillog
     ...
     Apr 1 18:07:41 www qmail: 1049191661.303612 warning: unable to stat mess/22/176892
     Apr 1 18:07:41 www qmail: 1049191661.303972 warning: unable to stat mess/16/346258
     Apr 1 18:07:41 www qmail: 1049191661.304059 warning: unable to stat mess/9/33773
     Apr 1 18:07:41 www qmail: 1049191661.304139 warning: unable to stat mess/2/190258
     ...
   如果不小心，删除了queue队列里的文件，可以从qmail.org上下载qmail-fix来修复这个错误

gadfly

如果用mysql的话，数据库里面有个lastauth的表.

不知道记不纪录smtp的auth

leaper

我不同意楼主的看法。。。

1、你这个不是入侵，只是有人借用你的帐号在向外发邮件罢了；

2、你的哪些所谓的入侵地址是假的，不是真实的，要是你对邮件系统有所了解，哪个地址是可以伪造的。你这次的还好，可能IP地址有相对固定性，我上次统计过，几乎过一会就变一下IP，要是你细心查，很多IP与地址都是不对的。。。

3、至于解决方法上次说过了，就是把数据导出来，变成没用户的帐号系统，就能找到答案了。

4、最后出错信息只是在队列中没有删除相关的信息，当你重启后，MTA又向外发邮件，可是一大部门信息让你删除了，当然出错了，要是你删除队列中的信息，就不会有出错了。

  总之，你的系统不是让人入侵了，只是有人破解你的某个邮箱的密码，再用一个高明的工具在向外不信发信罢了。

  以上个人观点。请观摩!!!

gadfly

同意楼主的说法。

很简单，如果你知道别人的用户名和密码，利用这个去干坏事？还不叫黑。

他的这种情况和你说的不一样。auth smtp方式，除了本系统用户，是没办法relay垃圾邮件的。即使被黑，也是通过本系统用户干的事，从管理上很容易杜绝。

总之smtp auth后，能杜绝绝大部分的垃圾邮件情况。

Fun-FreeBSD

前2个，我同意，确实只是被人利用了一下email账号，我算比较幸运的

第3个，我不知道怎么用，呵呵，我再仔细看看

第4个嘛，我还专门为这个做了个删除的脚本，删除queue及子目录里所有的文件，好像还是不管用，也许是我看错了

我对邮件系统确实不了解     

gadfly

1.你就用我说的那种查找信件的方式,将几个文件同时删除就可以了.

2.或者删除其中一个，用queue-fix删除其它的

Fun-FreeBSD

原帖由 "gadfly" 发表：
1.你就用我说的那种查找信件的方式,将几个文件同时删除就可以了.

2.或者删除其中一个，用queue-fix删除其它的

i see,i see

good idea啊~

leaper

1、看队列中的邮件可以用
  #mailq


2、如果你要删除队列中的邮件，你可以看下面的提示，由于我这里没有环境，没法帮你确认可行性？？？

处理队列中的邮件：

A)如想在队列中的邮件马上传递，可以

          #kill –HUP qmail-send


B)如果要删除队列中的邮件

1) 停止QMAIL
2) find /var/qmail/queue/$i -type f -exec rm {} ;
3) 重启QMAIL.
队列中的邮件包含在以下目录中 /var/qmail/queue/{info,mess,remote,local}/hash/#number



------------------------------------------------
要是能行，回个帖子!!!多交流!!相信大众的力量是能解决问题的!!!!

Fun-FreeBSD

我把queue及其子目录里的文件全删除了，这样可以吗?

gadfly

晕,兄弟,不要误导别人,

1.mailq是系统自带的，与sendmail搭配用的，如果sendmail没有被替换成qmail对应的，是不起作用的.qmail-qread可以做这种事情

2.你那样删除会有问题，lock目录中有普通文件，是不能随便删除的，
而且，如果有用的信件在目录中，也会被删除掉。做好的办法还是根据一些
特征判断这封信件是否是垃圾，然后再删除。特征很多，例如:垃圾的from或者
to还是有固定串的。或者ip

3.你说的看日志的方式并不能看出用哪个用户发的，因为auth的用户并不纪录在日志中。比较之下，FUN-FreeBSD的看lastlog的方法是很有效的。