Прошлой ночью мой почтовый сервер postfix (Debian Squeeze с включенными dovecot, roundcube, opendkim и spamassassin) начал рассылать спам с одного моего домена, например:
$cat mail.log|grep D6930B76EA9
Jul 31 23:50:09 myserver postfix/pickup[28675]: D6930B76EA9: uid=65534 from=<myemail@mydomain.dk>
Jul 31 23:50:09 myserver postfix/cleanup[27889]: D6930B76EA9: message-id=<4DD98EC6-A7B9-D0B2-A9AE-1E0FEF1EA28B@mydomain.dk>
Jul 31 23:50:09 myserver postfix/qmgr[7018]: D6930B76EA9: from=<myemail@mydomain.dk>, size=957, nrcpt=1 (queue active)
Jul 31 23:50:09 myserver postfix/error[7819]: D6930B76EA9: to=<randommail@yahoo.com>, relay=none, delay=0.03, delays=0.02/0/0/0, dsn=4.4.2, status=deferred (delivery temporarily suspended: lost connection with mta5.am0.yahoodns.net[66.196.118.33] while sending RCPT TO)
В рассматриваемом домене не было включено ни одной учетной записи, а был установлен только общий псевдоним, установленный через postfixadmin - большинство писем отправлялось с определенного адреса, который я часто использую, но некоторые также были отправлены с поддельных адресов. Ни один из других виртуальных доменов, обрабатываемых postfix, не пострадал.
Как я могу узнать, какой процесс загружал postfix / sendmail или дополнительную информацию о том, откуда они возникли? Насколько я могу судить, php mail () не использовался, и я провел несколько тестов открытого реле. Я немного повозился (удалил winbind с сервера и адреса ipv6 из main.cf) после атаки, и похоже, что она утихла, но я до сих пор не понимаю, как мой сервер внезапно рассылает спам. Может, я исправил - может, нет. Может ли кто-нибудь помочь выяснить, как я был скомпрометирован? Куда еще мне следует поискать? Я запустил Linux Malware Detect для недавно измененных файлов, но ничего не нашел.
Вы не можете определить виновный процесс по идентификатору сообщения, так как он может быть подделан (и, вероятно, это так).
Единственный способ - заменить sendmail программа со сценарием оболочки оболочки. Затем этот сценарий можно использовать для регистрации всего, что вам нужно. Как идентификатор родительского процесса, пользователь и другая информация о процессе.
Программа подбора Postfix запускается программой sendmail. Более подробную информацию можно найти здесь http://www.postfix.org/sendmail.1.html Может быть, это поможет увеличить логирование sendmail Postfix.