RootForum Community

Resources for System-Administrators
https://www.rootforum.org/forum/

Spam von meinem Server

https://www.rootforum.org/forum/viewtopic.php?t=54098

Page 1 of 1

Spam von meinem Server

Posted: 2013-01-16 01:47
by pod-o-mart
Hallo,

ich hoffe dass ich in diesem Forum weiterkomme :) Ich suche seit vielleicht einem halben Jahr nach der Spam-Quelle auf meinem (virtuellen) Server (Ubuntu 8.04.4 LTS).
Bemerkt habe ich mein Problem, als es mit folgenden Mails losging:
I tried to deliver a bounce message to this address, but the bounce bounced!
Schließlich hat mein Hoster mich dazu aufgefordert, das Spamproblem in den Griff zu bekommen, da sonst mein Server abgeschaltet werden müsste. Seit 4 Wochen suche ich nun intensiv nach dem Problem.

Was ich bisher gemacht habe: Zunächst habe ich sämtliche Passwörter ausgetauscht.
Danach unter anderem einen Mailwrapper http://kb.parallels.com/en/1711/?show_at=de erstellt, der alle PHP-Mailer-Funktionen loggen sollte. In diesem Log erschien unter den geloggten Mails jedoch nie Spam. Scheint also nicht der Grund zu sein.
Laut http://www.mailradar.com/openrelay/ ist Open Relay auf meiner IP geschlossen.
Zudem fehlte etwa eine Woche die Datei /var/qmail/bin/sendmail. In dieser Zeit gab es keine Probleme mit Spam. Natürlich konnte ich auch keine eigenen Mails verschicken.

http://multirbl.valli.org/ sieht meinen Server derzeit auf 9 Blacklists.

Zunächst einmal ein Beispiel einer Bounce-Mail, wie ich sie immer wieder bekomme:

Code: Select all

Hi. This is the qmail-send program at lvpsxx-xxx-xx-xxx.dedicated.hosteurope.de.
I tried to deliver a bounce message to this address, but the bounce bounced!

<levitro.med@geekinventions.com>:
Sorry, I couldn't find a mail exchanger or IP address. (#5.4.4)

--- Below this line is the original bounce.

Return-Path: <>
Received: (qmail 16107 invoked for bounce); 5 Jan 2013 14:32:45 +0100
Date: 5 Jan 2013 14:32:45 +0100
From: MAILER-DAEMON@lvpsxx-xxx-xx-xxx.dedicated.hosteurope.de
To: levitro.med@geekinventions.com
Subject: failure notice

Hi. This is the qmail-send program at lvpsxx-xxx-xx-xxx.dedicated.hosteurope.de.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.

<michel.pucolhn@wanadoo.com>:
Sorry. Although I'm listed as a best-preference MX or A for that host,
it isn't in my control/locals file, so I don't treat it as local. (#5.4.6)

--- Below this line is a copy of the message.

Return-Path: <levitro.med@geekinventions.com>
Received: (qmail 16103 invoked from network); 5 Jan 2013 14:32:45 +0100
Received: from localhost (HELO server.meinedomain.com) (127.0.0.1)
  by localhost with SMTP; 5 Jan 2013 14:32:45 +0100
Date: Sat, 5 Jan 2013 14:32:45 +0100
To: michel.pucolhn@wanadoo.com
From: "Levitro Med" <levitro.med@geekinventions.com>
Subject: Personal 73% OFF, ready land once
MIME-Version: 1.0
Content-Transfer-Encoding: quoted-printable
Content-Type: text/plain; charset="UTF-8"
Dann habe ich hier noch eine Rückmeldung von SpamCop

Code: Select all

Email from xx.xxx.xx.xxx / Wed, 12 Dec 2012 12:53:13 +0000
http://www.spamcop.net/w3m?i=z589024697 ... 6e303c9fcz

[ Offending message ]
Return-Path: <viogra.online4@logopak.com>
X-Spam-Flag: YES
X-Spam-Checker-Version: SpamAssassin 3.2.5 (2008-06-10) on
alpha.netlink-dns.com
X-Spam-Level: **********
X-Spam-Status: Yes, score=11.0 required=5.0 tests=BAYES_99,
RAZOR2_CF_RANGE_51_100,RAZOR2_CF_RANGE_E8_51_100,RAZOR2_CHECK,URIBL_BLACK,
URIBL_JP_SURBL,URIBL_WS_SURBL autolearn=no version=3.2.5
X-Spam-Report:
* 2.0 URIBL_BLACK Contains an URL listed in the URIBL blacklist
* [URIs: medicdegre.ru]
* 1.5 URIBL_WS_SURBL Contains an URL listed in the WS SURBL blocklist
* [URIs: medicdegre.ru]
* 1.5 URIBL_JP_SURBL Contains an URL listed in the JP SURBL blocklist
* [URIs: medicdegre.ru]
* 3.5 BAYES_99 BODY: Bayesian spam probability is 99 to 100%
* [score: 1.0000]
* 1.5 RAZOR2_CF_RANGE_E8_51_100 Razor2 gives engine 8 confidence level
* above 50%
* [cf: 100]
* 0.5 RAZOR2_CHECK Listed in Razor2 (http://razor.sf.net/)
* 0.5 RAZOR2_CF_RANGE_51_100 Razor2 gives confidence level above 50%
* [cf: 100]
X-Original-To: catch@spamtrap.cc
Delivered-To: web1p1@alpha.netlink-dns.com
Received: from server.meinedomain.com (server.meinedomain.com [xx.xxx.xx.xxx])
by alpha.netlink-dns.com (Postfix) with ESMTP id AB85291D
for <catch@spamtrap.cc>; Wed, 12 Dec 2012 12:53:13 +0000 (GMT)
Date: Wed, 12 Dec 2012 13:53:13 +0100
To: catch@spamtrap.cc
From: "Viogra Online" <viogra.online4@logopak.com>
Subject: *****SPAM***** Discount 69% OFF, bishop aedituus tuffs
MIME-Version: 1.0
Content-Transfer-Encoding: quoted-printable
Content-Type: text/plain; charset="UTF-8"
Message-Id: <20121212125313.AB85291D@alpha.netlink-dns.com>
X-Spam-Prev-Subject: Discount 69% OFF, bishop aedituus tuffs
Es stehen auch in regelmäßigen Abständen (zur Zeit mehrmals täglich) auffällige Einträge in den Maillogs. Hier zum Beispiel var/log/mail.info

Code: Select all

Jan 14 19:48:35 lvpsxx-xxx-xx-xxx /var/qmail/bin/relaylock[8070]: /var/qmail/bin/relaylock: mail from 127.0.0.1:33703 (localhost)
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: Handlers Filter before-queue for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: from=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: to=quintell416@verizonmail.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx spf filter[8074]: Starting spf filter...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.444378 new msg 14486707
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.444444 info msg 14486707: bytes 1285 from <levitra-soft.med64@tebl.com> qp 8075 uid 2020
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8076]: Handlers Filter before-remote for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.740341 starting delivery 39: msg 14486707 to remote quintell416@verizonmail.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.740408 status: local 0/10 remote 1/20
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8076]: from=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8076]: to=quintell416@verizonmail.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: Handlers Filter before-queue for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.750451 delivery 39: failure: Sorry._Although_I'm_listed_as_a_best-preference_MX_or_A_for_that_host,/it_isn't_in_my_control/locals_file,_so_I_don't_treat_it_as_local._(#5.4.6)/
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.750507 status: local 0/10 remote 0/20
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: from=
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: to=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: Unable to get sender domain by sender mailname
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: Unable to get sender domain by sender mailname
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx spf filter[8079]: Starting spf filter...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.766871 bounce msg 14486707 qp 8077
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.766930 end msg 14486707
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.767310 new msg 14486887
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.767385 info msg 14486887: bytes 2002 from <> qp 8080 uid 2522
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: Handlers Filter before-remote for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.774797 starting delivery 40: msg 14486887 to remote levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.774857 status: local 0/10 remote 1/20
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: from=postmaster@lvpsxx-xxx-xx-xxx.dedicated.hosteurope.de
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: to=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: Unable to get sender domain by sender mailname
Jan 14 19:48:37 lvpsxx-xxx-xx-xxx qmail: 1358189317.068215 delivery 40: success: 217.33.37.242_accepted_message./Remote_host_said:_250_2.0.0_r0EJ436s027434_Message_accepted_for_delivery/
Jan 14 19:48:37 lvpsxx-xxx-xx-xxx qmail: 1358189317.068381 status: local 0/10 remote 0/20
Jan 14 19:48:37 lvpsxx-xxx-xx-xxx qmail: 1358189317.068453 end msg 14486887
und im /usr/local/psa/var/log/maillog

Code: Select all

Jan 14 19:48:35 lvpsxx-xxx-xx-xxx /var/qmail/bin/relaylock[8070]: /var/qmail/bin/relaylock: mail from 127.0.0.1:33703 (localhost)
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: Handlers Filter before-queue for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: from=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: to=quintell416@verizonmail.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: handlers_stderr: SKIP
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: SKIP during call 'check-quota' handler
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx spf filter[8074]: Starting spf filter...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: handlers_stderr: SKIP
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: SKIP during call 'spf' handler
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.444378 new msg 14486707
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.444444 info msg 14486707: bytes 1285 from <levitra-soft.med64@tebl.com> qp 8075 uid 2020
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8072]: starter: submitter[8075] exited normally
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8076]: Handlers Filter before-remote for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.740341 starting delivery 39: msg 14486707 to remote quintell416@verizonmail.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.740408 status: local 0/10 remote 1/20
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8076]: from=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8076]: to=quintell416@verizonmail.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: Handlers Filter before-queue for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.750451 delivery 39: failure: Sorry._Although_I'm_listed_as_a_best-preference_MX_or_A_for_that_host,/it_isn't_in_my_control/locals_file,_so_I_don't_treat_it_as_local._(#5.4.6)/
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.750507 status: local 0/10 remote 0/20
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: from=
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: to=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: Unable to get sender domain by sender mailname
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: Unable to get sender domain by sender mailname
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: handlers_stderr: SKIP
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: SKIP during call 'check-quota' handler
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx spf filter[8079]: Starting spf filter...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: handlers_stderr: SKIP
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: SKIP during call 'spf' handler
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-queue-handlers[8077]: starter: submitter[8080] exited normally
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.766871 bounce msg 14486707 qp 8077
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.766930 end msg 14486707
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.767310 new msg 14486887
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.767385 info msg 14486887: bytes 2002 from <> qp 8080 uid 2522
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: Handlers Filter before-remote for qmail started ...
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.774797 starting delivery 40: msg 14486887 to remote levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail: 1358189315.774857 status: local 0/10 remote 1/20
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: from=postmaster@lvpsxx-xxx-xx-xxx.dedicated.hosteurope.de
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: to=levitra-soft.med64@tebl.com
Jan 14 19:48:35 lvpsxx-xxx-xx-xxx qmail-remote-handlers[8081]: Unable to get sender domain by sender mailname
Jan 14 19:48:37 lvpsxx-xxx-xx-xxx qmail: 1358189317.068215 delivery 40: success: 217.33.37.242_accepted_message./Remote_host_said:_250_2.0.0_r0EJ436s027434_Message_accepted_for_delivery/
Jan 14 19:48:37 lvpsxx-xxx-xx-xxx qmail: 1358189317.068381 status: local 0/10 remote 0/20
Jan 14 19:48:37 lvpsxx-xxx-xx-xxx qmail: 1358189317.068453 end msg 14486887
Hier komme ich leider nicht weiter. Ich kann mir aus diesen Informationen keinen Reim machen.

Wie kann ich herausfinden, wo der Fehler liegt, oder wie kann ich ihn zumindest eingrenzen?

Ich bin für jede Hilfe dankbar!

Viele Grüße
Martin

Re: Spam von meinem Server

Posted: 2013-01-16 09:49
by ddm3ve
Ubuntu 8.04.4 LTS

Ich schätze, da liegt noch ein ganz "aktuelles" Plesk drauf.
Die Wahrscheinlichkeit ist gross, dass genau Plesk an steller kompromitiert wurde und Schadcode vor liegt.
Es wäre wichtig zun wissen, wie die postfisx / qmail Konfiguration im Detail aussieht. Sendmal ist gut und recht, wenn aber der Mailserver lokal zugestellte email entgegen nimmt und weiter schickt, ohne Authentifizierung, dann kann das wiederum jedes beliebige Script verursachen.

Der Faule würde nun zur Neusinstallation raten, der Kluge nimmt die Kiste erstmal offline und prüft akribisch genau, wo wleche Dateien liegen und ob die jeweilige Datei auch dort hin gehört. Als Tip: md5sum um potentielle Unterschiede der einzelnen Dateien zu einem Referenzsytem zu ermitteln. Lasst sich also notfalls scripten.


Ansonsten wiederspricht sich 'Deine Aussage btw. der sendmail-wrapper liefert keine Informationen darüber, dass es spammails gegeben haben soll.
als die sendbmail binary fehlte, wurden nach Deiner Aussage keine spammails versendet. Woran machst Du das fest? Danach wieder....
Der Inhalt dieser /var/tmp/mail.send wäre dann ggf. doch sehr aufschlussreich.

Re: Spam von meinem Server

Posted: 2013-01-16 10:12
by pod-o-mart
Hallo ddm3ve, danke für deine Antwort.
Ich schätze, da liegt noch ein ganz "aktuelles" Plesk drauf.
Ist Plesk 10.4.4, habe ich vor einigen Tagen geupdated.
Der Faule würde nun zur Neusinstallation raten, der Kluge nimmt die Kiste erstmal offline und prüft akribisch genau, wo wleche Dateien liegen und ob die jeweilige Datei auch dort hin gehört.
Ich kann mir leider nicht leisten, den Server länger als 5 Minuten vom Netz zu nehmen.
Als Tip: md5sum um potentielle Unterschiede der einzelnen Dateien zu einem Referenzsytem zu ermitteln. Lasst sich also notfalls scripten.
Ich habe eine ungefähre Ahnung, was md5sum als Prüfsumme sein soll. Wie gehe ich da am Besten vor? Hört sich vielversprechend an...
Ansonsten wiederspricht sich 'Deine Aussage btw. der sendmail-wrapper liefert keine Informationen darüber, dass es spammails gegeben haben soll.
In der Datei /var/tmp/mail.send vom sendmail-wrapper wurden nur Mails geloggt, die in Ordnung waren, also kein Spam. Spam habe ich nur in den Maillogs in var/log/ und /usr/local/psa/var/log/maillog festgestellt.
als die sendbmail binary fehlte, wurden nach Deiner Aussage keine spammails versendet. Woran machst Du das fest? Danach wieder....
In den Maillogs kam in genau diesem Zeitraum kein Spam vor.

Re: Spam von meinem Server

Posted: 2013-01-16 11:18
by ddm3ve
Ob Du Plesk vor wenigen Tagen geupdated hast spielt in folge der letztlich vohanden und Oftmals ausgenutzten Lücken der bis dahin aktuellsten Versionen, keine Rolle.

2. Du musst es dir ggf. irgendwann mal leisten den Server auch länger als 5 Minuten offline zu nehmen spätestens wenn Dein Provider dir den Hahn ab dreht. Plane also mit sowas und überlege dir eine geeignete Massnahme dazu. z.B. redundantes 2. System?

3. Grundsätzlich ziemlich simpel.
md5sum /bin/bash
Ergibt eine md5sum der geprüften Datei.

Jetzt erstellst Du Dir einfach nur eine simples script, und gehst durch alle Datein auf dem System durch z.B.

find / -type f -exec md5sum {} >> /md5sum.txt \;

Sinngemäss muss nicht syntaktisch korrekt sein. Das ganze führst Du auf einem gesicherten System aus. also die Kiste z.B. im Rescue System booten.
Danach benötigst Du eine "identische" Referenzinstallation, gleiche Patchlevel Ubuntu, Plesk etc.
Fürhst das gleiche aus und vergleichst die beiden Dateien. speziell die bestehenden Dateien.
Aller Unterschiede musst Du akribisch untersuchen.

Re: Spam von meinem Server

Posted: 2013-01-16 13:14
by Joe User
Du wirst zunächst mal sämtliche Software auf Deinem System aktualisieren müssen. Dazu gehört Ubuntu (12 ist aktuell), Plesk, alle Ubuntu-Pakete, alle Webapplikationen und alles Andere was sich auf dem System befindet.
Dann musst Du alle Konfigurationsdateien überprüfen und gegebenenfalls anpassen (Fehler beseitigen, Optionen anpassen).
Zum Schluss überprüfst Du alle Webapps auf richtige Konfiguration und auf eventuell eingeschmuggelte Schadscripte.
Erst wenn das Alles erledigt ist, gibst Du Deinem Provider grünes Licht und kümmerst Dich künftig intensiver um die Kiste.


Eine gut gemeinte Empfehlung habe ich noch: Da Du Dich offenbar mit dem Server beziehungsweise dessen Administration übernommen hast, solltest Du ernsthaft über regulären Webspace oder einen managed Server nachdenken.

Re: Spam von meinem Server

Posted: 2013-01-16 14:37
by ddm3ve
Joe User wrote:Du wirst zunächst mal sämtliche Software auf Deinem System aktualisieren müssen. Dazu gehört Ubuntu (12 ist aktuell), Plesk, alle Ubuntu-Pakete, alle Webapplikationen und alles Andere was sich auf dem System befindet.
Ich rate an der Stelle zwingend dazu, das System neu "komplett neu" auf zu bauen und nicht mir igrndwelchen Upgrades herum basteln.
Denn nur mit einem sauberen neuen System kann man sich sicher sein, dass es Sauber ist. Bei allem anderen kann man sich nie 100% sicher sein, ob da noch Leichen herum liegen.

Re: Spam von meinem Server

Posted: 2013-02-10 12:58
by pod-o-mart
Ich habe die Spamquelle gefunden. War ein Verzeichnis, dass ich aus Versehen bei öffentlichen Rechten belassen hatte. Dort war das Schadskript dann. Inzwischen habe ich überhaupt kein Problem mehr mit Spam.
Du wirst zunächst mal sämtliche Software auf Deinem System aktualisieren müssen. Dazu gehört Ubuntu (12 ist aktuell), Plesk, alle Ubuntu-Pakete, alle Webapplikationen und alles Andere was sich auf dem System befindet.
Ubuntu 8.04 hat doch EoL 2013?!
Plesk ist 10.4.4, auch aktuell genug, oder nicht?
Bin auch ständig dabei, meine CMS zu aktualisieren.
Dann musst Du alle Konfigurationsdateien überprüfen und gegebenenfalls anpassen (Fehler beseitigen, Optionen anpassen).
Schon klar.
und kümmerst Dich künftig intensiver um die Kiste.
Eine gut gemeinte Empfehlung habe ich noch: Da Du Dich offenbar mit dem Server beziehungsweise dessen Administration übernommen hast,
Woran erkennst du das?
solltest Du ernsthaft über regulären Webspace oder einen managed Server nachdenken.
Sollte ich meine Energie nicht besser dazu verwenden, meine Kenntnisse zu verbessern um den Anforderungen für einen Server gerecht zu werden, anstatt unendlich viel Geld und Zeit zu verschwenden, zum Webspace zurückzugehen? Verstehe, ich bin ein hoffnungsloser Fall. Dieses Forum ist eine andere Liga.

Re: Spam von meinem Server

Posted: 2013-02-10 13:15
by ddm3ve
pod-o-mart wrote:Ich habe die Spamquelle gefunden. War ein Verzeichnis, dass ich aus Versehen bei öffentlichen Rechten belassen hatte. Dort war das Schadskript dann. Inzwischen habe ich überhaupt kein Problem mehr mit Spam.


Sollte ich meine Energie nicht besser dazu verwenden, meine Kenntnisse zu verbessern um den Anforderungen für einen Server gerecht zu werden, anstatt unendlich viel Geld und Zeit zu verschwenden, zum Webspace zurückzugehen? Verstehe, ich bin ein hoffnungsloser Fall. Dieses Forum ist eine andere Liga.

Zu 1. ein etwas "übermässig" freie Filesystem Berechtigung ist das eine. Warum durfte Deine App überhaupt dahin schreiben. Also wer konnte auf d´Dein System soweit zu greifen, dass er Daten hoch laden durfte.
War das Spamtool das einzigste was dorthin gepackt wurde oder hat sich der Angreifer noch ein Hintertürchen offen gelassen.

Zu 2. Du sollst das Autofahren nicht auf der öffentlichen Strasse üben. Deine Linux Kentnisse frischt Du mit Schulungen und einer lokal zuhause aufgebauten Kiste weiter auf. Eine Maschine also, die von extern nicht erreichbar ist.

Wenn Du dieses Buch z.B. mal durch gelesen hast und bei dir zuhause so manche Angriffstechnik probiert sowie konfigurativ verhindet hast.
Dann wirst Du verstehen warum Du mit dem heutigen Wissenstand erstmal besser ein manged Produkt nutzt.

http://www.cl.cam.ac.uk/~rja14/book.html

BTW: dieses Forum ist keine "Andere" Liege.
Es ist nur so, dass das prüfen und suchen nach Änderungen im Prinzip mit 2-3 Zeilen Code gemacht werden kann.
Mit einem gesicherten System kann man also die Datenquelle und das erwartete Ergebniss z.B. einer Initialen und für sicher befunden prüfung vergleichen.
Dazu ermittelt man jede Datei auf dem System und erstellt eine Quersumme.
Die Prüfung muss auf einem zu 100% Sicherheit sauberen System erfolgen sonst taugt das nicht.
Ebenfalls wird die Liste mit den Prüfsummen an einem sicheren Ort aufbewahrt.

Im Prinzip also sehr simepl nur ein Script z.B. ein find, der durch die ganze Dateien geht und prüft ob die noch so sind, wie man Sie erwartet und wenn nicht, muss man prüfen was sich geändert hat und ob das ggf. ein Problem ist.

Re: Spam von meinem Server

Posted: 2013-02-10 13:32
by ddm3ve
pod-o-mart wrote:Ubuntu 8.04 hat doch EoL 2013?!
Plesk ist 10.4.4, auch aktuell genug, oder nicht?
Bin auch ständig dabei, meine CMS zu aktualisieren.
https://wiki.ubuntu.com/Releases EOL ist im April also eigentlich wenig Zeit um ein Upgrade zu planen und dann auch zeitnah durch zu führen.
Ich würde auf Ubuntu 12.04 setzen denn dann hast Du theoretisch 4 Jahre "ruhe".

4,5 Jahre dauert der Support ca. rund 1/2 Jahr vorher sollte man sich mal Gedanken zum upgrade machen. Ein Jahr wäre wohl besser.
Nur der Server ich spreche noch gar nicht von der Eingesetzen Software / Webanwendung...

Plesk 10.4.4 scheint wohl aktuell zu sein.

Re: Spam von meinem Server

Posted: 2013-02-10 14:49
by Joe User
pod-o-mart wrote:Ubuntu 8.04 hat doch EoL 2013?!
Ja, aber bereits am 1. April 2013. Da sich viel zu viel zwischen 8.04 und 12.04 geändert hat, hätte man schon längst mit den Upgrade-Planungen abgeschlossen haben und mit Testläufen beginnen müssen.
pod-o-mart wrote:Plesk ist 10.4.4, auch aktuell genug, oder nicht?
Auch hier ist dank Ubuntu 8.04 das EOL am 1. April 2013 und Plesk-Upgrades sind oft problematisch, so dass man auch dies hätte längst planen und testen müssen.
pod-o-mart wrote:Bin auch ständig dabei, meine CMS zu aktualisieren.
Das ist sehr gut.
pod-o-mart wrote:
und kümmerst Dich künftig intensiver um die Kiste.
Eine gut gemeinte Empfehlung habe ich noch: Da Du Dich offenbar mit dem Server beziehungsweise dessen Administration übernommen hast,
Woran erkennst du das?
Unter Anderem daran, dass Du mehrere Wochen benötigt hast, um das falsch berechtigte Verzeichnis zu finden. Auch das wilde Löschen des sendmail-Binary zeugt nicht gerade von strukturiertem Vorgehen.

pod-o-mart wrote:
solltest Du ernsthaft über regulären Webspace oder einen managed Server nachdenken.
Sollte ich meine Energie nicht besser dazu verwenden, meine Kenntnisse zu verbessern um den Anforderungen für einen Server gerecht zu werden, anstatt unendlich viel Geld und Zeit zu verschwenden, zum Webspace zurückzugehen? Verstehe, ich bin ein hoffnungsloser Fall. Dieses Forum ist eine andere Liga.
Weder noch, aber Du musst Dir selbst nunmal eingestehen, dass Du mit dem Betrieb eines dedizierten Servers derzeit überfordert bist. Ein hoffnungsloser Fall wirst Du erst dann, wenn Du diesen Umstand ignorierst und Dir nicht die nötige Hilfe holst. Die nötige Hilfe besteht aktuell darin, Dir einen Admin für den Server zu organisieren. Dies kann ein externer Admin, der regelmässig und darüberhinaus auf Zuruf nach dem Server schaut, sein, oder aber Du wechselst zum managed Server, wo Dir die System-Administration abgenommen wird.

Zum Lernen und Testen setzt Du Dir zu Hause eine virtuelle Maschine (VirtualBox) auf und simulierst darin einen Server. Dazu besorgst Du Dir ein paar Fachbücher und übst und übst und wenn Du glaubst, dass Du wirklich fit genug bist, dann traust Du Dich langsam und unter Aufsicht ans lebende Objekt.

Das ist nunmal ein langer und steiniger Weg, auch wenn die tausenden Tutorials im Netz etwas völlig Anderes suggerieren.

Du möchtest doch nicht unerwarteten Besuch der Staatsanwaltschaft bekommen, weil auf Grund Deiner Unerfahrenheit ein pöser Pube Kinderpornographie über Deinen Server getauscht hat, oder? Das hätte nämlich statt dem Spamscript auch in Deinem Verzeichnis liegen können.

Wir wollen Dir nichts Böses, auch wenn es nicht immer auf den ersten Blick offensichtlich ist.

Re: Spam von meinem Server

Posted: 2013-02-13 16:15
by pod-o-mart
Gut ok, ich dachte nur eine gewisse Genervtheit aus euren Antworten herausgelesen zu haben. Denn es ist mir schon klar, dass die Software eines Servers aktuell sein muss und richtig konfiguriert.

Jedenfalls steht das Lesen von geeigneter Literatur und die gründlichere Einarbeitung in die Thematik von Serveradministration und -sicherheit bei mir ganz oben auf der Agenda. Ihr habt beide recht, also werde ich euren Tip zu Herzen nehmen und mich bis zum notwendigen Update vor dem EOL von 8.04 fit machen.

Re: Spam von meinem Server

Posted: 2013-02-13 18:08
by Joe User
Wir helfen Dir dabei gerne weiter, sofern es im Rahmen eines Forums möglich und sinnvoll ist. Konkrete Fragen, möglichst inklusive Fehlermeldungen/Logauszügen und Infos zum bisherigen Vorgehen, zu Problemen sind dabei am Besten.

Ansonsten empfehle ich ein paar Fachbücher und auch die Lektüre von http://www.linuxfromscratch.org/lfs/view/stable/ und http://tldp.org/LDP/abs/html/abs-guide.html sind empfehlenswert.

Darüberhinaus würde ich Dir empfehlen beim Upgrade beziehungsweise der Neuinstallation von Ubuntu 12.04 auch gleich auf Postfix zu wechseln, da dieser Mailserver leichter und umfassender konfigurierbar ist.
All times are UTC+01:00
Page 1 of 1