[postfix-jp: 3707] Re: 不正利用送信？について

["[ACT]山口" <tyamaguchi@xxxxxxxxxxxxxx>]

System House ACT 山口です。

ご提示されたmaillogからだけの疑問なのですが、どこを見て不正中継と判断
されたのでしょうか？

単にアタックにあっているだけのように思えるのですが…。
昨年末に不正中継されていたとのことでしたので、不正中継可能なサーバー
として、test というユーザーネーム共々その筋に広まっているのだと思います。

正直なところ、この状態ですと、相手があきらめるまで待つしかないでしょう。
ただし、あきらめたとしても、またどこからか復活したりします。

基本的に、connectとdisconnectですからmaillogに残るのは仕方ないと思います。
また、今後、さらに広がっていく可能性もあります。

一度踏み台にされるとそれくらい大変だということで、あきらめてください。



> -----Original Message-----
> From: "空野" <sorano@xxxxxxxxxxxxxxxxxx>
> Sent: Tue, 05 Jan 2010 18:00:06 +0900
> To: postfix-jp-list <postfix-jp-list@xxxxxxxxxxxxxxxxxxxx>
> Cc: 
> Subject: [postfix-jp: 3700]  Re:不正利用送信？について
>
> お世話になっております。空野です。
> 
> NTT CommunicationsのWebARENAというサービスのうちSuitePro V1という
> VPSでFedora Core 3＋postfix 2.1.5＋webmin1.3.20 という環境です。
> 
> 年末からの引き続きの問題なのですが、サーバがメールの不正中継にあっているらしく、
> たまにメールキューに訳のわからないメッセージがたまっている状態です。
> 
> maillogを確認すると以下のようなログが大量に出てきています。
> 
> Jan  5 17:57:17 ****** postfix/smtpd[14795]: warning: 59.35.98.151: hostname 151
> .98.35.59.broad.st.gd.dynamic.163data.com.cn verification failed: Host not found
> Jan  5 17:57:17 ****** postfix/smtpd[14795]: connect from unknown[59.35.98.151]
> Jan  5 17:57:19 ****** postfix/smtpd[14795]: 28A525824B: client=unknown[59.35.98
> .151], sasl_method=CRAM-MD5, sasl_username=test
> Jan  5 17:57:19 ****** postfix/smtpd[14795]: lost connection after RCPT from unk
> nown[59.35.98.151]
> Jan  5 17:57:19 ****** postfix/smtpd[14795]: disconnect from unknown[59.35.98.15
> 1]
> Jan  5 17:57:20 ****** postfix/smtpd[4261]: connect from unknown[116.26.20.30]
> Jan  5 17:57:21 ****** postfix/smtpd[22543]: connect from unknown[120.82.110.98]
> Jan  5 17:57:22 ****** postfix/smtpd[20901]: 420405824B: client=unknown[221.5.21
> .148], sasl_method=CRAM-MD5, sasl_username=test
> Jan  5 17:57:22 ****** postfix/smtpd[20901]: lost connection after RCPT from unk
> nown[221.5.21.148]
> Jan  5 17:57:22 ****** postfix/smtpd[20901]: disconnect from unknown[221.5.21.14
> 8]
> Jan  5 17:57:23 ****** postfix/smtpd[4261]: 5A61F5824B: client=unknown[116.26.20
> .30], sasl_method=CRAM-MD5, sasl_username=test
> Jan  5 17:57:23 ****** postfix/smtpd[4261]: lost connection after RCPT from unkn
> own[116.26.20.30]
> Jan  5 17:57:23 ****** postfix/smtpd[4261]: disconnect from unknown[116.26.20.30
> ]
> Jan  5 17:57:24 ****** postfix/smtpd[14795]: connect from unknown[221.5.21.171]
> Jan  5 17:57:25 ****** postfix/smtpd[20901]: connect from unknown[116.26.21.190]
> Jan  5 17:57:26 ****** postfix/smtpd[14795]: A24C15824B: client=unknown[221.5.21
> .171], sasl_method=CRAM-MD5, sasl_username=test
> Jan  5 17:57:26 ****** postfix/smtpd[14795]: lost connection after RCPT from unk
> nown[221.5.21.171]
> Jan  5 17:57:26 ****** postfix/smtpd[14795]: disconnect from unknown[221.5.21.17
> 1]
> Jan  5 17:57:28 ****** postfix/smtpd[20901]: 59D3A5824B: client=unknown[116.26.2
> 1.190], sasl_method=CRAM-MD5, sasl_username=test
> Jan  5 17:57:28 ****** postfix/smtpd[20901]: lost connection after RCPT from unk
> nown[116.26.21.190]
> Jan  5 17:57:28 ****** postfix/smtpd[20901]: disconnect from unknown[116.26.21.1
> 90]
> 
> この「test」というアカウントは当初存在しませんでした。意図的に排除しようと思い作
> 成してログオン不可にしても状況は変わりません。
> 
> main.cfの末尾部分は以下のようになっております。
> 
> smtpd_sasl_auth_enable = yes
> broken_sasl_auth_clients = yes
> smtpd_hard_error_limit = 100
> mydestination = $myhostname, localhost.$mydomain, $mydomain
> smtp_skip_4xx_greeting = yes
> ignore_mx_lookup_error = yes
> smtpd_recipient_restrictions = permit_sasl_authenticated, reject_unauth_destinat
> ion
> 
> いったん荻野様のご指摘のように、
> 
> smtpd_recipient_restrictions = permit_mynetworks, reject_unauth_destination, per
> mit_sasl_authenticated 
> 
> としたところ、全クライアントからのメール送信ができなくなったため、元に戻しており
> ます。
> 
> 
> どのように設定すればこのtestの認証を拒絶することができるのでしょうか。
> もしくはスパムの中継サーバになっているのは別の要因があるのでしょうか。
> 
> ご教授いただけないでしょうか。
> よろしくお願い申し上げます。
> 
> 
> 
> 
> > こんにちはuemuraと申します。
> > 
> > まえに早くレスすべきだったのかもしれませんが、
> > 
> > 貴兄のメールサーバについてチェックをかけさせていただいたのですが、
> > リレーが許可されているようです。つまり踏み台にされているのではないでしょうか。
> > 現時点ではデータベースには登録されていませんが、
> > いずれされると思われます。
> > 登録されると面倒です。
> > 
> > main.cfを設定変更してはいかがでしょうか。
> 
> *-*-*-*-
> 空野 
> sorano@xxxxxxxxxxxxxxxxxx
> -*-*-*-*
> 
> _______________________________________________
> Postfix-jp-list mailing list
> Postfix-jp-list@xxxxxxxxxxxxxxxxxxxx
> http://lists.sourceforge.jp/mailman/listinfo/postfix-jp-list

_______________________________________________
Postfix-jp-list mailing list
Postfix-jp-list@xxxxxxxxxxxxxxxxxxxx
http://lists.sourceforge.jp/mailman/listinfo/postfix-jp-list