Wenn Sie über Konten verfügen, die gehackt werden, um Spam zu senden, gehen sie davon aus, dass auf ihrem System eine Art Spam-Skript installiert ist.
Bevor ich anfange : Ich habe den Configserver eXploit Scanner vor etwa zwei Jahren gekauft. Er scannt Dateien auf dem Server und hilft mir, einige Spam-Skripts zu identifizieren, bevor sie verwendet werden können. Wenn Sie dieses Problem haben, möchten Sie vielleicht auch nachschauen, wie Sie dieses Programm erhalten.
Wenn dies tatsächlich der Fall ist, ist dieses Handbuch sehr hilfreich bei der Lösung des Problems. Es hat mir dabei geholfen, Dateien zu finden, die bereits einige Male große Mengen an E-Mails versenden.
Es läuft auf folgendes hinaus:
1. Führen Sie den folgenden Befehl aus. Sie erhalten eine Liste der Verzeichnisse, aus denen E-Mails gesendet wurden. Dies durchsucht Ihr exim_mainlog( /var/log/exim_mainlogstandardmäßig unter). Wenn der Spam vor langer Zeit gesendet wurde, ist es möglich, dass die Protokolldatei seitdem gedreht wurde, und Sie können die Verzeichnisse mit diesem Befehl nicht finden. Versuchen Sie, die alte Protokolldatei zu finden und grepstattdessen den ersten Befehl auszuführen.
grep cwd /var/log/exim_mainlog | grep -v /var/spool | awk -F"cwd=" '' | awk '' | sort | uniq -c | sort -n 2. Wechseln Sie in die vom obigen Befehl zurückgegebenen Verzeichnisse und überprüfen Sie die darin befindlichen Dateien. Nach meiner Erfahrung verwenden die meisten dieser Spam-Skripts ziemlich offensichtliche Dateinamen, aber es schadet nicht, Dateien zu untersuchen, bei denen Sie sich nicht sicher sind.
3. Überprüfen Sie das Apache-Zugriffsprotokoll, um herauszufinden, wer das Skript aufruft. Dieser Befehl listet alle IPs auf, die auf die Datei in aufsteigender Reihenfolge zugegriffen haben.
grep "<scriptname>" /home/<username>/access-logs/<domain>.<tld> | awk '' | sort -n | uniq -c | sort -n 4. Es ist auch möglich, dass der Befehl mit einem Cron-Job ausgeführt wird. Verwenden Sie diesen Befehl, um die Cron-Jobs der Benutzer zu überprüfen.
crontab -l -u <username> 5. Ergreifen Sie geeignete Maßnahmen
Sie können das Konto sperren, IP-Adressen sperren, die auf das Skript zugegriffen haben, oder den Inhalt entfernen. Tun Sie, was immer Sie für die beste Lösung halten.