服务器上的SMTP攻击

我在Rackspace有一个IIS7 Web服务器，它以某种方式被利用/攻击发送垃圾邮件。我已经在服务器上运行了几种变种的反病毒和恶意软件，并清除了发现的任何东西，但仍然在发生。服务器上的SMTP攻击

我倾向于某种形式的网页形式攻击，但这个服务器上有几个网站，我没有创建所有这些网站，所以弄清楚了什么样的表单正在被使用（甚至是他们在哪里所有这些）证明具有挑战性。

有谁知道任何解决方案以查明哪些脚本可能会触发这些电子邮件？有没有办法通过更多信息来监控SMTP服务？我看过SMTP日志，但我看到的东西都是这样的：

2014-02-14 06:00:52 127.0.0.1 [--- server info，etc ---] SMTPSVC1 [-compname- ] 127.0.0.1 0 MAIL - + FROM：< -------- @ -------------------> 250 0 56 43 0 SMTP - - - - -

事实上，在我看到的这个日志文件中，在大约16小时内有19,608个。但不幸的是，这似乎没有帮助。

如果有人可以提供任何见解，那会很棒！

来源

2014-02-14 Delford Chaffin

电子邮件是否都来自同一个地址？ – Drewness

这些都说相同的FROM地址...通常，有一些不同的TO地址。我认为这就是为什么我倾向于形式攻击。我在整个文件系统中搜索了该地址，但没有找到它。如果该地址位于某个数据库的某个位置，我不知道该如何找到它。 –

因此，FROM地址确实是<-------- @ ------------------->或者您是否因隐私原因将其更改为破折号？ – Drewness

如果我猜的话，你已经被破坏（这是我认为你怀疑），并且被用来生成的所有消息的网页。网页可能会接受一个FROM和一个TO，没有任何验证。

如果你开始看到这些进来，作为一个测试，开始关闭网站，直到你看到攻击停止。

然后，启动网站备份，看它是否继续。然后，我会开始为该电子邮件相关文件寻找该网站的位置。

来源

2014-02-15 18:41:51

我标记这是正确的，因为这接近我所做的解决（我希望）的问题。首先，我完全关闭了IIS，并且攻击停止了。我重新启动了IIS，并关闭了似乎最有可能的罪魁祸首，并最终找到了网站。然后，我开始删除文件夹，直到我缩小到所有地方的css文件夹。在那里我发现了一个奇怪的PHP文件。移除它似乎已经停止了攻击。没有Joomla网站在这台服务器上，但我发现这个人有同样的问题： http://forum.parallels.com/showthread.php?294510-Suspicious-%93sys0972500-1-php%94-inside-httpdocs –

很可能您的服务器配置为充当电子邮件中继服务器，它允许任何人发送正在传输到您的服务器的电子邮件，以供您的服务器发送（中继）。垃圾邮件发送者会这样做来掩盖电子邮件的原始发送点。

解决的办法是将您的服务器配置为不成为中继服务器。更多背景信息在这里：

http://en.wikipedia.org/wiki/Open_mail_relay

来源

2014-02-14 21:51:10

我已经测试过这些开放式继电器： http://mxtoolbox.com/diagnostic.aspx http://www.mailradar.com/openrelay/ http：//www.spamhelp。org/shopenrelay/shopenrelaytest.php ...并让同事用telnet进行测试。不相信开放式继电器是问题。我原本应该提到那个问题，对不起。 –

服务器上的SMTP攻击

回答

相关问题