2010年1月 5日

[postfix-jp: 3707] Re:不正利用送信?について

System House ACT 山口です。

ご提示されたmaillogからだけの疑問なのですが、どこを見て不正中継と判断
されたのでしょうか?

単にアタックにあっているだけのように思えるのですが…。
昨年末に不正中継されていたとのことでしたので、不正中継可能なサーバー
として、test というユーザーネーム共々その筋に広まっているのだと思います。


正直なところ、この状態ですと、相手があきらめるまで待つしかないでしょう。
ただし、あきらめたとしても、またどこからか復活したりします。

基本的に、connectとdisconnectですからmaillogに残るのは仕方ないと思います。
また、今後、さらに広がっていく可能性もあります。

一度踏み台にされるとそれくらい大変だということで、あきらめてください。

> -----Original Message-----
> From: "空野" <sorano@xxxxx>
> Sent: Tue, 05 Jan 2010 18:00:06 +0900
> To: postfix-jp-list <postfix-jp-list@xxxxx>
> Cc:
> Subject: [postfix-jp: 3700] Re:不正利用送信?について
>
> お世話になっております。空野です。
>
> NTT CommunicationsのWebARENAというサービスのうちSuitePro V1という
> VPSでFedora Core 3+postfix 2.1.5+webmin1.3.20 という環境です。
>
> 年末からの引き続きの問題なのですが、サーバがメールの不正中継にあっているらしく、
> たまにメールキューに訳のわからないメッセージがたまっている状態です。
>
> maillogを確認すると以下のようなログが大量に出てきています。
>
> Jan 5 17:57:17 ****** postfix/smtpd[14795]: warning: 59.35.98.151: hostname 151
> .98.35.59.broad.st.gd.dynamic.163data.com.cn verification failed: Host not found
> Jan 5 17:57:17 ****** postfix/smtpd[14795]: connect from unknown[59.35.98.151]
> Jan 5 17:57:19 ****** postfix/smtpd[14795]: 28A525824B: client=unknown[59.35.98
> .151], sasl_method=CRAM-MD5, sasl_username=test
> Jan 5 17:57:19 ****** postfix/smtpd[14795]: lost connection after RCPT from unk
> nown[59.35.98.151]
> Jan 5 17:57:19 ****** postfix/smtpd[14795]: disconnect from unknown[59.35.98.15
> 1]
> Jan 5 17:57:20 ****** postfix/smtpd[4261]: connect from unknown[116.26.20.30]
> Jan 5 17:57:21 ****** postfix/smtpd[22543]: connect from unknown[120.82.110.98]
> Jan 5 17:57:22 ****** postfix/smtpd[20901]: 420405824B: client=unknown[221.5.21
> .148], sasl_method=CRAM-MD5, sasl_username=test
> Jan 5 17:57:22 ****** postfix/smtpd[20901]: lost connection after RCPT from unk
> nown[221.5.21.148]
> Jan 5 17:57:22 ****** postfix/smtpd[20901]: disconnect from unknown[221.5.21.14
> 8]
> Jan 5 17:57:23 ****** postfix/smtpd[4261]: 5A61F5824B: client=unknown[116.26.20
> .30], sasl_method=CRAM-MD5, sasl_username=test
> Jan 5 17:57:23 ****** postfix/smtpd[4261]: lost connection after RCPT from unkn
> own[116.26.20.30]
> Jan 5 17:57:23 ****** postfix/smtpd[4261]: disconnect from unknown[116.26.20.30
> ]
> Jan 5 17:57:24 ****** postfix/smtpd[14795]: connect from unknown[221.5.21.171]
> Jan 5 17:57:25 ****** postfix/smtpd[20901]: connect from unknown[116.26.21.190]
> Jan 5 17:57:26 ****** postfix/smtpd[14795]: A24C15824B: client=unknown[221.5.21
> .171], sasl_method=CRAM-MD5, sasl_username=test
> Jan 5 17:57:26 ****** postfix/smtpd[14795]: lost connection after RCPT from unk
> nown[221.5.21.171]
> Jan 5 17:57:26 ****** postfix/smtpd[14795]: disconnect from unknown[221.5.21.17
> 1]
> Jan 5 17:57:28 ****** postfix/smtpd[20901]: 59D3A5824B: client=unknown[116.26.2
> 1.190], sasl_method=CRAM-MD5, sasl_username=test
> Jan 5 17:57:28 ****** postfix/smtpd[20901]: lost connection after RCPT from unk
> nown[116.26.21.190]
> Jan 5 17:57:28 ****** postfix/smtpd[20901]: disconnect from unknown[116.26.21.1
> 90]
>
> この「test」というアカウントは当初存在しませんでした。意図的に排除しようと思い作
> 成してログオン不可にしても状況は変わりません。
>
> main.cfの末尾部分は以下のようになっております。
>
> smtpd_sasl_auth_enable = yes
> broken_sasl_auth_clients = yes
> smtpd_hard_error_limit = 100
> mydestination = $myhostname, localhost.$mydomain, $mydomain
> smtp_skip_4xx_greeting = yes
> ignore_mx_lookup_error = yes
> smtpd_recipient_restrictions = permit_sasl_authenticated, reject_unauth_destinat
> ion
>
> いったん荻野様のご指摘のように、
>
> smtpd_recipient_restrictions = permit_mynetworks, reject_unauth_destination, per
> mit_sasl_authenticated
>
> としたところ、全クライアントからのメール送信ができなくなったため、元に戻しており
> ます。
>
>
> どのように設定すればこのtestの認証を拒絶することができるのでしょうか。
> もしくはスパムの中継サーバになっているのは別の要因があるのでしょうか。
>
> ご教授いただけないでしょうか。
> よろしくお願い申し上げます。
>
>
>
>
> > こんにちはuemuraと申します。
> >
> > まえに早くレスすべきだったのかもしれませんが、
> >
> > 貴兄のメールサーバについてチェックをかけさせていただいたのですが、
> > リレーが許可されているようです。つまり踏み台にされているのではないでしょうか。
> > 現時点ではデータベースには登録されていませんが、
> > いずれされると思われます。
> > 登録されると面倒です。
> >
> > main.cfを設定変更してはいかがでしょうか。
>
> *-*-*-*-
> 空野
> sorano@xxxxx
> -*-*-*-*
>
> _______________________________________________
> Postfix-jp-list mailing list
> Postfix-jp-list@xxxxx
> http://lists.sourceforge.jp/mailman/listinfo/postfix-jp-list

_______________________________________________
Postfix-jp-list mailing list
Postfix-jp-list@xxxxx
http://lists.sourceforge.jp/mailman/listinfo/postfix-jp-list


投稿者 xml-rpc : 2010年1月 5日 19:57
役に立ちました?:
過去のフィードバック 平均:(0) 総合:(0) 投票回数:(0)
本記事へのTrackback: http://hoop.euqset.org/blog/mt-tb2006.cgi/92031
トラックバック
コメント
コメントする




画像の中に見える文字を入力してください。