Er wordt gespamd via mijn servertje.

[Verwijderd]

Wat doe ik eraan en hoe kom ik er achter wie het doet en vooral hoe !!!

Reply message van aol:

code:

*** ATTENTION ***

Your e-mail is being returned to you because there was a problem with its delivery.  The address which was undeliverable is listed in the section
labeled: "----- The following addresses had permanent fatal errors -----".

The reason your mail is being returned to you is listed in the section
labeled: "----- Transcript of Session Follows -----".

The line beginning with "<<<" describes the specific reason your e-mail could not be delivered.  The next line contains a second error message which is a general translation for other e-mail servers.

Please direct further questions regarding this message to your e-mail administrator.

--AOL Postmaster



   ----- The following addresses had permanent fatal errors ----- <[e-mail]>

   ----- Transcript of session follows -----
... while talking to air-zd03.mail.aol.com.:
>>> RCPT To:<[e-mail]>
<<< 550 MAILBOX NOT FOUND
550 <[e-mail]>... User unknown

En zo 10 berichten per minuut.

Inhoud van een van de berichten:

code:

Below is the result of your feedback form.  It was submitted by
 ([e-mail]) on Tuesday, February 19, 2002 at 13:35:06
---------------------------------------------------------------------------

: Good news!  Now you can obtain the highest quality Lifestyle Pharmaceuticals, such as Viagra, Rogaine, Propecia, Claritin and more direct to your doorstep at great prices!  Great products for men and women, all with a few clicks of your mouse.   Weight loss, smoking cessation, skin care.  Private and discreet, with no hassles or waiting!  It costs nothing to check it out at <A HREF="aol:/2000:http://www.gerihughes@216.118.142.143/main2.php">FUTURE PHARMACY</A> right now!<BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR>To be removed from future mailings, please reply with "remove" in the subject line.<BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR>grmealjx83umgwee41<BR>grmealjx83umgwee41<BR>grmealjx83umgwee41<BR>grmealjx83umgwee41<BR></FONT></HTML><BR><BR>TML>

---------------------------------------------------------------------------

Stukje sendmail log:

code:

Feb 19 13:42:59 hostname sendmail[28516]: g1JCgxC28516: from=wwwrun, size=1827, class=0, nrcpts=15, msgid=<[e-mail]>, relay=wwwrun@localhost
Feb 19 13:43:01 hostname sendmail[28518]: g1JCgxC28516: to=[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail],[e-mail], ctladdr=wwwrun (30/65534), delay=00:00:02, xdelay=00:00:02, mailer=esmtp, pri=541827, relay=mailin-01.mx.aol.com. [64.12.137.89], dsn=2.0.0, stat=Sent (OK)

Ik heb gekeken in de logfile van de webmail interface, maar vanaf daar wordt niets verstuurd.

[xzenor]

vreemd.. als het goed is moet dit standaard niet kunnen..
dan heb je waarschijnlijk zelf zitten k*tten.
post je configfiles eens effe..

[justmental]

Op dinsdag 19 februari 2002 13:44 schreef BorisGnarf het volgende:
*knip*
Ik heb gekeken in de logfile van de webmail interface, maar vanaf daar wordt niets verstuurd.

Of het wordt niet altijd gelogd.
Meestal zijn webmail interfaces het probleem.

Bijvoorbeeld:
script 1 roept script 2 aan.
script 1 doet de interface en de logging.
script 2 doet de mailing.

De misbruiker roept dan gewoon script 2 direct aan.

[Disciplus-Simplex]

Relay uitzetten. Sorry voor de korte uitleg
Zoek maar even op relay in de help van je mailserver.

[Verwijderd]

Standaard sendmail config file..

in relay-domains 1 domein naam, maar die is van ons zelf ...

het zou kunnen dat daar iets mis mee gaat ...

[Verwijderd]

from=wwwrun
Het lijkt mij dus vanaf een website te komen ?
Dat heeft toch niet met relaying te maken ....

[Kippenijzer]

Ik heb net zoiets, maar dat zijn meer meels die bij mij aankomen, maar nooit bij mij vandaan verstuurd zijn...

Oftewel, iemand send zijn spam met als return adress jou e-mail. En dan komen alle errors niet bij hem zelf (het boeit hem toch niet, undeliverable spam) maar bij jou uit...

[Verwijderd]

Dit krijg ik bovenin mijn message terug:

The original message was received at Tue, 19 Feb 2002 07:46:52 -0500 (EST) from mijnhostname.nl [213.xxx.xxx.xxx]

[justmental]

Geef anders eens een url.
Dan kunnen we die webmail interface bekijken.

[Verwijderd]

Ik heb de access_log van apache helemaal doorgespit en er wordt geen enkele file van de webmail benadert op het moment dat de spam verstuurt wordt...

Sourcecode van webmail hier te bekijken.

http://home.student.utwente.nl/e.vanmaanen/webmail/

[zaphod_b]

Op deze site kun je kijken hoe het moet (relaying stoppen) voor zo ongeveer ALLE mailservers die je bedenken kunt: http://www.mail-abuse.org/tsi/ar-fix.html
Succes!

[justmental]

Op dinsdag 19 februari 2002 14:13 schreef BorisGnarf het volgende:
Ik heb de access_log van apache helemaal doorgespit en er wordt geen enkele file van de webmail benadert op het moment dat de spam verstuurt wordt...

Sourcecode van webmail hier te bekijken.

http://home.student.utwente.nl/e.vanmaanen/webmail/

In compose.php heb je dit staan als action:

code:

<form enctype="multipart/form-data" name=doit action="send_message.php" method=POST>

Als ik nu een html-etje maak met de parameters van send_message.php en als action http://jouwsite/send_message.php, wordt er dan iets gelogd door send_message?
Ik kan het niet vinden namelijk.

[Verwijderd]

Als er een file wordt aangeroepen krijg ik het toch gewoon in de apache log file te zien... zoiets als dit:

myhost - myuser [09/Apr/2001:13:55:24 +0200] "POST /send_message.php HTTP/1.1" 302 5 "http://webmail.mycompany.nl/compose.php?folder=INBOX" "Mozilla/4.0 (compatible; MSIE 5.5; Windows NT 5.0)"

Of als iemand direct send_message.php aanroept geen afkomst adres ...

Ben nu alle log files van de klanten aan het downloaden ... gloeiende 350 meg ... ga ik die even doorzoeken of er iemand zit te spammen via een eigen geschreven mail-scriptje ofzo ... want het komt vanaf wwwrun@localhost ...

Stelletje fukkers zijn het ... wie het ook is/zijn

[Verwijderd]

Op dinsdag 19 februari 2002 14:23 schreef justmental het volgende:

[..]

In compose.php heb je dit staan als action:

code:

<form enctype="multipart/form-data" name=doit action="send_message.php" method=POST>

Als ik nu een html-etje maak met de parameters van send_message.php en als action http://jouwsite/send_message.php, wordt er dan iets gelogd door send_message?
Ik kan het niet vinden namelijk.

Dat wordt dus ook gelogd, maar je kunt die file niet aanroepen zonder eerst in te loggen.

Hij include namelijk altijd: global.php
en daarin staat:

code:

if ((!$PHP_AUTH_USER) or (!$PHP_AUTH_PW) or ($time > time()))
{
    login_prompt();
}

Maar thanks voor de input!

[Verwijderd]

Push up

[justmental]

Op dinsdag 19 februari 2002 14:55 schreef BorisGnarf het volgende:


Push up

Kicken na 20 minuten is niet netjes
24 uur is algemeen geaccepteerd en dan liefst met een zinnige toevoeging.
Lees de faq er maar eens op na.

Heb je misschien nog een cgi directory open op je webserver?

[Verwijderd]

http://www.eenvanonzedomeinen.nl/cgi-bin/formmail.pl?recipient=[e-mail]

Dit werkt dus ....
hmmmm niet zo mooi.

Zo wordt er gespamd.. Is dit een bekend probleem?

[justmental]

Op dinsdag 19 februari 2002 16:15 schreef BorisGnarf het volgende:
http://www.eenvanonzedomeinen.nl/cgi-bin/formmail.pl?recipient=[e-mail]

Dit werkt dus ....
hmmmm niet zo mooi.

Zo wordt er gespamd.. Is dit een bekend probleem?

Heb je die cgi-bin ook echt nodig?
Zo nee: eruit slopen.

Default configuraties laten staan is wel een bekend probleem idd

[Verwijderd]

We hebben een boel klanten, allemaal met hetzelfde formmail scriptje ...
Dus ik kan niet zomaar de cgi-bin uitzetten.

[justmental]

Op dinsdag 19 februari 2002 16:18 schreef BorisGnarf het volgende:
We hebben een boel klanten, allemaal met hetzelfde formmail scriptje ...
Dus ik kan niet zomaar de cgi-bin uitzetten.

Kun je de referrer niet checken in dat formmail scriptje?

[Verwijderd]

[code]
# @recipients defines the e-mail addresses or domain names that e-mail can #
# be sent to. This must be filled in correctly to prevent SPAM and allow #
# valid addresses to receive e-mail. Read the documentation to find out how #
# this variable works!!! It is EXTREMELY IMPORTANT. #
@recipients = @referers;
[code]

Prutsers die klanten, een van die lui heeft deze paar regels eruit gehaald.

Probleem dus opgelost, allen hartelijk bedankt voor alle input! (Vooral justmental :-) !)

[LuCarD]

Op dinsdag 19 februari 2002 14:34 schreef BorisGnarf het volgende:

code:

if ((!$PHP_AUTH_USER) or (!$PHP_AUTH_PW) or ($time > time()))
{
    login_prompt();
}

Maar thanks voor de input!

Maarhe wat nou als je het script aanroept met

http://domein/dir/script.php?PHP_AUTH_USER=1&PHP_AUTH_PW=1&time=0

Dan vliegt hij zo voorbij je beveiliging

Maarhe het idee is leuk

Lees dit maar eens door...
[topic=294247/1/25]

[Verwijderd]

Op dinsdag 19 februari 2002 14:55 schreef BorisGnarf het volgende:


Push up

Gelieve dit niet meer te doen. Zie uzelf als gewaarschuwd bij deze.

Waarom beginnen mensen toch aan een mailserver als ze er niet veel verstand van hebben

[LuCarD]

Op dinsdag 19 februari 2002 17:25 schreef nelske het volgende:

[..]

Gelieve dit niet meer te doen. Zie uzelf als gewaarschuwd bij deze.

Helemaal mee eens....

Waarom beginnen mensen toch aan een mailserver als ze er niet veel verstand van hebben

Vanwaar deze briljante conclusie?

Het lag niet aan de mailserver, het lag aan een script dat is aangepast door een aantal klanten.

[Verwijderd]

Op dinsdag 19 februari 2002 17:28 schreef LuCarD het volgende:
Vanwaar deze briljante conclusie?

Het lag niet aan de mailserver, het lag aan een script dat is aangepast door een aantal klanten.

Als je een mailserver beheert, dan behoor je zoiets snel door te hebben en zelf op te kunnen lossen! Simpel. Alleen is dat volledig offtopic.

[Toink]

Op dinsdag 19 februari 2002 17:34 schreef nelske het volgende:

[..]

Als je een mailserver beheert, dan behoor je zoiets snel door te hebben en zelf op te kunnen lossen! Simpel. Alleen is dat volledig offtopic.

Dingen leer je niet vanzelf en daar is een forum voor IMHO. Leuk als je aan de top van de berg staat en anderen naar beneden kan duwen maar soms is het ook zinvol om mensen te helpen want misschien kunnen die mensen ooit iets betekenen voor jou.

Op het feit dat iemand niet gelezen heeft dat je na 20 min. je thread niet naar boven moet kicken hoef je nog niet op zo'n manier te reageren. Maar dat is mijn mening.

De poster heeft gewoon een lullig probleem en ik kan me voorstellen dat ie dat graag opgelost ziet.

[Verwijderd]

Waarom beginnen mensen toch aan een mailserver als ze er niet veel verstand van hebben

Wie zegt dat ik geen verstand heb van mailservers ...
Lullig doen is makkelijk genoeg.
Dit heeft niets met mailservers te maken, maar met een scriptje van een klant wat wordt misbruikt.

Ik kan begrijpen dat als je weinig klanten hebt dat je er zo achter bent, maar alle logfiles van al je klanten doorspitten is nogal veel werk, ik had al door dat het niet aan de mailserver lag, niet aan mijn webmail, maar aan iets van een ander.

En zoek dan maar eens al je klanten af...

He, als je dus verder niks nuttigs te melden heb, reply dan niet.

edit:

Okay ik zal mijn topics niet meer omhoog pushen binenn 24 uur.. damn zeg. Ik baalde gewoon...

[Verwijderd]

Op dinsdag 19 februari 2002 17:21 schreef LuCarD het volgende:

[..]

Maarhe wat nou als je het script aanroept met

http://domein/dir/script.php?PHP_AUTH_USER=1&PHP_AUTH_PW=1&time=0

Dan vliegt hij zo voorbij je beveiliging

Maarhe het idee is leuk

Lees dit maar eens door...
[topic=294247/1/25]

Je denkt zeker dat er geen check achter zit ofzo die kijkt of de username en het ww wel goed zijn ...

Bekijk de source maar eens!

code:

if ((!$PHP_AUTH_USER) or (!$PHP_AUTH_PW) or ($time > time()))
{
    login_prompt();
} 
else
{ 
    if($PHP_AUTH_USER && $PHP_AUTH_PW)
    {
        $user = $PHP_AUTH_USER;
        $pass = $PHP_AUTH_PW;
        $folder = !$folder ? "INBOX" : $folder;
        $mailbox = mailbox_log_in($folder);

        if(!$mailbox)
        {
            login_prompt();
        }
    }
}

[Verwijderd]

Op dinsdag 19 februari 2002 17:42 schreef Toink het volgende:

[..]

Dingen leer je niet vanzelf en daar is een forum voor IMHO. Leuk als je aan de top van de berg staat en anderen naar beneden kan duwen maar soms is het ook zinvol om mensen te helpen want misschien kunnen die mensen ooit iets betekenen voor jou.

Mwah, lijkt me niet
F.Y.I. Kijk eens in mijn posthistory om te bepalen of ik wel eens mensen help.

Zoals ik al zei moet je niet aan een publieke mailserver beginnen als je daar niet bekwaam genoeg voor bent. Hoe denk je dat alle spam de wereld in komt??? (en kan blijven komen)
Klinkt misschien hard, maar ga eerst eens thuis een beetje spelen met zoiets en verdiep je er een beetje in.

Op het feit dat iemand niet gelezen heeft dat je na 20 min. je thread niet naar boven moet kicken hoef je nog niet op zo'n manier te reageren. Maar dat is mijn mening.

De poster heeft gewoon een lullig probleem en ik kan me voorstellen dat ie dat graag opgelost ziet.

Heel simpel. Topics behoren niet binnen 24 uur omhooggetrapt te worden. Als dat dan na 2o minuten gebeurt dan komt daar een opmerking van mij over.

Op dinsdag 19 februari 2002 17:52 schreef BorisGnarf het volgende:
Wie zegt dat ik geen verstand heb van mailservers ...
Lullig doen is makkelijk genoeg.
Dit heeft niets met mailservers te maken, maar met een scriptje van een klant wat wordt misbruikt.

Mjah en waarom kan dit script misbruikt worden? Het is toch jullie script, zooals ik het begrepen heb? Zorg dan voor een fatsoenlijk script waaarin ze alleen eventueel voor hen belangrijke variabelen kunnen aanpassen en niet het hele script.

Ik kan begrijpen dat als je weinig klanten hebt dat je er zo achter bent, maar alle logfiles van al je klanten doorspitten is nogal veel werk, ik had al door dat het niet aan de mailserver lag, niet aan mijn webmail, maar aan iets van een ander.

En zoek dan maar eens al je klanten af...

Je hebt het elke keer over doorspitten Wel eens van commando's alla grep gehoord?

He, als je dus verder niks nuttigs te melden heb, reply dan niet.

Hmzz, wordt een beetje lastig modereren he!

En whee... big deal dat ik mijn topic een (lees hier 1, as in eerste keer) keertje omhoog duw. Ik vind dat nou niet echt iets om over te klagen...

Tja en ik wel. Ik wil je NOW best in een OW omzetten zodat je er anders over gaat denken. Topics mogen pas na 24 uur omhooggetrapt worden, simpel. Tenzij je gewoon nuttige aanvulllende info o.i.d. hebt. Een simpel kickberichhtje valt daar dus niet onder.

Verder heb ik geen zin om hier nog verder op in te gaan, want zo gaat dit hele topic offtopic.

[Verwijderd]

Mjah en waarom kan dit script misbruikt worden? Het is toch jullie script, zooals ik het begrepen heb? Zorg dan voor een fatsoenlijk script waaarin ze alleen eventueel voor hen belangrijke variabelen kunnen aanpassen en niet het hele script.

okay, maar een paar mensen hebben gewoon hun eigen beschermde cgi-bin... En wij leveren dan een formmail script aan wat goed is beveiligd. Als ze dan zelf iets aan gaan veranderen kom je daar niet snel achter.

Maar ja, alles is opgelost.
Een commando als grep werkt dan wel, maar waar moet je op zoeken dan ... is lastig, gewoon even de files doorbladeren dan zie je snel wat er aan de hand is.

[Toink]

Op dinsdag 19 februari 2002 18:08 schreef nelske het volgende:

[..]

Mwah, lijkt me niet
F.Y.I. Kijk eens in mijn posthistory om te bepalen of ik wel eens mensen help.

Oh maar wat jij voor de rest doet daar zeg ik niets van. Het gaat mij om de manier waarop je dit behandelt. Dat op deze manier spam de wereld in komt en dat je normaal gesproken wel mensen helpt daar wil ik je best gelijk in geven maar daar ging 't even niet om.

[Verwijderd]

Op dinsdag 19 februari 2002 18:13 schreef BorisGnarf het volgende:
okay, maar een paar mensen hebben gewoon hun eigen beschermde cgi-bin... En wij leveren dan een formmail script aan wat goed is beveiligd. Als ze dan zelf iets aan gaan veranderen kom je daar niet snel achter.

Ik weet niet in hoevere dat script configureerbaar is, maar je kan toch gewoon met includes werken? Dan zul je nooit last hebben van dit soort problemen.

Maar ja, alles is opgelost.
Een commando als grep werkt dan wel, maar waar moet je op zoeken dan ... is lastig, gewoon even de files doorbladeren dan zie je snel wat er aan de hand is.

Dat is mooi Ik neem echter aan dat er op een dusdanige manier gelogd wordt (door zowel de scripts als de mailserver), dat het mogelijk moet zijn om gewoon even te greppen op de geadresseerden. Als dat niet het geval is, dan moet je je afvragen of het loggen wel goed gebeurd

[Verwijderd]

Op dinsdag 19 februari 2002 18:14 schreef Toink het volgende:

[..]

Oh maar wat jij voor de rest doet daar zeg ik niets van. Het gaat mij om de manier waarop je dit behandelt. Dat op deze manier spam de wereld in komt en dat je normaal gesproken wel mensen helpt daar wil ik je best gelijk in geven maar daar ging 't even niet om.

Mjah, misschien dat ik wat ongenuanceerder overkwam dan normaliter. Als dat zo is mijn excuses. Neemt niet weg dat ik nog steeds 100% achter die woorden sta. Het was niet op de man maar gewoon een algemene opmerking.

[Verwijderd]

Op dinsdag 19 februari 2002 18:16 schreef nelske het volgende:

[..]

Ik weet niet in hoevere dat script configureerbaar is, maar je kan toch gewoon met includes werken? Dan zul je nooit last hebben van dit soort problemen.
[..]

Dat is mooi Ik neem echter aan dat er op een dusdanige manier gelogd wordt (door zowel de scripts als de mailserver), dat het mogelijk moet zijn om gewoon even te greppen op de geadresseerden. Als dat niet het geval is, dan moet je je afvragen of het loggen wel goed gebeurd

greppen is idd de oplossing geweest, misschien liep ik wel te een beetje te klunzen, maar het gaat om een paar gieg aan logfiles verdeeld over zeer veel files en zeer veel directory's.