поиск процесса, который отслылает спам

[dVital]

Добрый день!
Столкнулся с проблемой, которую не могу решить.

Хостер сообщил, что наш сервер шлет спам, и я занялся поиском дыры.
1. Установил параметры:
mail.add_x_header = On
mail.log = /var/log/phpmail.log
в php.ini

Однако, получилось, что логгируются только неспам письма. Это значит, что спам шлется не через php.

2. Попытался через tcpdump определить, какой процесс шлет письма. Конечно, выяснилось, что это postfix =)
Также пробовал lsof -r 1 -i :25 , но из данных этой программы нельзя выяснить какой же процесс отдает письмо, чтобы postfix смог его отправить.

Просто не сталкивался даже никогда с этим. Можете помочь? Спасибо!

[endru]

скорее всего шелл на сайте твоем, если права не правильно выставлял на сайте.
первое, что нужно было сделать это поискать исполняемые файлы в директории сайта:

Код Выделить Развернуть

find /path/to/site/ -perm /a=x
2) остановить postfix, и посмотреть очередь.

Код Выделить Развернуть

postqueue -p
он тебе подскажет сколько писем висит в очереди на отправку.
удалить всю очередь:

Код Выделить Развернуть

postsuper -d ALL
НО, прежде чем удалять нужно посмотреть заголовки отправленного письма, возможно там можно будет что-то узнать!
делаем postqueue -p, смотрим любой ID спам письма, и отправляем его в файл, для дальнейшего анализа:

Код Выделить Развернуть

postcat -q ID > /home/myuser/spam.txt
далее нужно будет анализировать заголовки письма.

[dVital]

Спасибо за консультацию!

А вопрос такой:

почему спам-письма не попадают в лог-файл? Если я через php отправлю письмо, то его параметры тут отразятся, а спама тут нет.

mail.add_x_header = On
mail.log = /var/log/phpmail.log
в php.ini

[ogost]

возможно потому что спам отправляется не через php?

[dVital]

возможно потому что спам отправляется не через php?

Так я и описал проблему поиска и начал именно с этого. Я не знаю что дальше делать. Если есть специалист, который может помочь за плату, то напишите.

[endru]

dVital, я же уже написал что нужно сделать. команды выполнял?

[dVital]

Это все делалось в первую очередь. Ничего не дало в плане информации.

[ogost]

просмотри список запущенных процессов, на предмет незнакомых и подозрительных процессов.

Код Выделить Развернуть

ps -ax | more
в /proc/<pid>/cmdline можно посмотреть по какому пути находится исполняемый файл процесса, а так же с какими параметрами он запущен. тут тоже нужно смотреть подозрительное/незнакомое. дальше гуглим, пользуемся virustotal.com, спрашиваем.
ещё можно посмотреть кто какие порты слушает и отталкиваться уже от этого.