SpamBot kapert meinen SMTP

Hallo Freunde,

ich bin etwas ratlos. Ein SpamBot hat meinen SMTP gekapert und ich weiß auch genau wie er es gemacht hat. Aber ich bekomm die Sicherheitslücke einfach nicht geschlossen....

Hier erstmal ein kleiner Auszug wie er sich Zugang verschafft:

Out: 220 v221091619.yourvserver.net ESMTP Postfix (Debian/GNU)
 In:  EHLO User
 Out: 250-v221091619.yourvserver.net
 Out: 250-PIPELINING
 Out: 250-SIZE 10240000
 Out: 250-VRFY
 Out: 250-ETRN
 Out: 250-STARTTLS
 Out: 250-AUTH PLAIN LOGIN
 Out: 250-ENHANCEDSTATUSCODES
 Out: 250-8BITMIME
 Out: 250 DSN
 In:  AUTH LOGIN
 Out: 334 VXNlcm5hbWU6
 In:  YWRtaW4=
 Out: 334 UGFzc3dvcmQ6
 In:  YWRtaW4=
 Out: 235 2.7.0 Authentication successful
 In:  RSET
 Out: 250 2.0.0 Ok
 In:  MAIL FROM:<notice@microsoftlottery.org>
 Out: 250 2.1.0 Ok
 In:  RCPT TO:<gamal.fathy@rashpetco.com>
 Out: 250 2.1.5 Ok

An diesem Auszug kann man erkennen, dass sich der SpamBot nicht normal mit "ehlo domain.com" sondern als Systemuser mit dem Usernamen "admin" und dem Passwort "admin" anmeldet. Was schonmal garnicht sein kann, da ein solcher User in meinem System nicht existiert (habe ich zur Sicherheit nochmal geprüft).
Das Ganze habe ich mal via telnet getestet - und es funktioniert.

Da ich das allerneuste Debian sid betreibe gehe ich davon aus, dass im Postfix ein bug sein könnte. Egal.

Jetzt bekomm ich es einfach nicht gebacken den Systemuser-login beim Postfix einfach komplett zu unterbinden. Ich finde keine passende Config und Google ist auch nicht so freundlich...

P.S. Natürlich habe ich den Postfixdienst vorrübergehend deaktiviert um weitere Übergriffe zu vermeiden.

Vielen Dank im Voraus
Joe

Wie ich bereits sagte, habe ich sichergestellt, dass ein solcher User in meinem System nicht existiert (indem ich die /etc/passwd ausgelsen habe).

Den postfix habe ich auf virtuelle Domains/User umgestellt (alles von Hand konfiguriert; kein SysCP).

Hier mal die Config

main.cf

Zitat

# See /usr/share/postfix/main.cf.dist for a commented, more complete version

# Debian specific: Specifying a file name will cause the first
# line of that file to be used as the name. The Debian default
# is /etc/mailname.
#myorigin = /etc/mailname

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job.
append_dot_mydomain = no

# Uncomment the next line to generate "delayed mail" warnings
#delay_warning_time = 4h

readme_directory = no

# TLS parameters
smtpd_tls_cert_file = /etc/ssl/certs/postfix.pem
smtpd_tls_key_file = /etc/ssl/private/postfix.pem
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.

myhostname = v221091619.yourvserver.net
alias_maps = hash:/etc/aliases
alias_database = hash:/etc/aliases
myorigin = /etc/mailname
mydestination = v221091619.yourvserver.net, localhost.yourvserver.net, localhost
relayhost =
mynetworks = 127.0.0.0/8 [::ffff:127.0.0.0]/104 [::1]/128
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
virtual_mailbox_domains = mysql:/etc/postfix/mysql-virtual-mailbox-domains.cf
virtual_mailbox_maps = mysql:/etc/postfix/mysql-virtual-mailbox-maps.cf
virtual_alias_maps = mysql:/etc/postfix/mysql-virtual-alias-maps.cf,mysql:/etc/postfix/mysql-email2email.cf
virtual_transport = dovecot

Alles anzeigen

und die master.cf

Zitat

#
# Postfix master process configuration file. For details on the format
# of the file, see the master(5) manual page (command: "man 5 master").
#
# Do not forget to execute "postfix reload" after editing this file.
#
# ==========================================================================
# service type private unpriv chroot wakeup maxproc command + args
# (yes) (yes) (yes) (never) (100)
# ==========================================================================
smtp inet n - - - - smtpd
#submission inet n - - - - smtpd
# -o smtpd_tls_security_level=encrypt
# -o smtpd_sasl_auth_enable=yes
# -o smtpd_client_restrictions=permit_sasl_authenticated,reject
# -o milter_macro_daemon_name=ORIGINATING
#smtps inet n - - - - smtpd
# -o smtpd_tls_wrappermode=yes
# -o smtpd_sasl_auth_enable=yes
# -o smtpd_client_restrictions=permit_sasl_authenticated,reject
# -o milter_macro_daemon_name=ORIGINATING
#628 inet n - - - - qmqpd
pickup fifo n - - 60 1 pickup
cleanup unix n - - - 0 cleanup
qmgr fifo n - n 300 1 qmgr
#qmgr fifo n - - 300 1 oqmgr
tlsmgr unix - - - 1000? 1 tlsmgr
rewrite unix - - - - - trivial-rewrite
bounce unix - - - - 0 bounce
defer unix - - - - 0 bounce
trace unix - - - - 0 bounce
verify unix - - - - 1 verify
flush unix n - - 1000? 0 flush
proxymap unix - - n - - proxymap
proxywrite unix - - n - 1 proxymap
smtp unix - - - - - smtp
# When relaying mail as backup MX, disable fallback_relay to avoid MX loops
relay unix - - - - - smtp
-o smtp_fallback_relay=
# -o smtp_helo_timeout=5 -o smtp_connect_timeout=5
showq unix n - - - - showq
error unix - - - - - error
retry unix - - - - - error
discard unix - - - - - discard
local unix - n n - - local
virtual unix - n n - - virtual
lmtp unix - - - - - lmtp
anvil unix - - - - 1 anvil
scache unix - - - - 1 scache
#
# ====================================================================
# Interfaces to non-Postfix software. Be sure to examine the manual
# pages of the non-Postfix software to find out what options it wants.
#
# Many of the following services use the Postfix pipe(8) delivery
# agent. See the pipe(8) man page for information about ${recipient}
# and other message envelope options.
# ====================================================================
#
# maildrop. See the Postfix MAILDROP_README file for details.
# Also specify in main.cf: maildrop_destination_recipient_limit=1
#
maildrop unix - n n - - pipe
flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${recipient}
#
# See the Postfix UUCP_README file for configuration details.
#
uucp unix - n n - - pipe
flags=Fqhu user=uucp argv=uux -r -n -z -a$sender - $nexthop!rmail ($recipient)
#
# Other external delivery methods.
#
ifmail unix - n n - - pipe
flags=F user=ftn argv=/usr/lib/ifmail/ifmail -r $nexthop ($recipient)
bsmtp unix - n n - - pipe
flags=Fq. user=bsmtp argv=/usr/lib/bsmtp/bsmtp -t$nexthop -f$sender $recipient
scalemail-backend unix - n n - 2 pipe
flags=R user=scalemail argv=/usr/lib/scalemail/bin/scalemail-store ${nexthop} ${user} ${extension}
mailman unix - n n - - pipe
flags=FR user=list argv=/usr/lib/mailman/bin/postfix-to-mailman.py
${nexthop} ${user}

dovecot unix - n n - - pipe
flags=DRhu user=vmail:vmail argv=/usr/lib/dovecot/deliver -d ${recipient}

Alles anzeigen

Nach einem virtuellen User in der Datenbank brauche ich garnicht erst gucken, da sich der SpamBot nicht anhand einer Domain, sondern anhand eines Systemusers einloggt siehe "In: EHLO USER".
Da ich meinen Server von Hand konfiguriert habe kann ich mit an Sicherheit grenzender Wahrscheinlichkeit sagen, dass es keinen User mit dem Namen "admin" in meinem System gibt, den hat auch keiner eingeschleust, wie gesagt - das habe ich bereits geprüft. Vielleicht ein Konfigurationsfehler? Vielleicht findet ja einer von Euch was, oder hat noch eine andere Idee.

Danke für die vielen Antworten
ich hoffe wir bekommen das bald wieder hin, damit ich den postfix-deamon wieder starten kann...

vmk; ich bin Dir dankbar, dass Du helfen möchtest, aber ich wäre Dir noch dankbarer, wenn Du einen Thread vorher komplett durchliest, denn die von Dir gennante mögliche Fehlerquelle habe ich bereits ausgeschlossen schon bevor ich Euch überhaupt kontaktiert habe (siehe Threadanfang). Daher; nein die Frage ist leider nicht geklärt.

Ich verwende kein pam. Die Virtuellen User werden aus der datenbank ausgelesen.

Okay. Das ist jetzt peinlich. Nach langem Suchen habe ich doch den gesuchten admin:admin gefunden... Meine Virtuellen User werden in einer Datenbank festgehalten. Da diese Ellenlang ist muss ich das übersehen haben. Als ich jetzt via SQL Befehl nach einem "admin" gesucht habe, habe ich ihn sammt passwort "admin" (in md5) gefunden. Wer von den Zugangsberechtigen das Ding angelegt hat weiß ich noch nicht, aber das find ich schon raus...

vmk: Entschuldige, Du hattest doch Recht... Das ist mir jetzt peinlich^^

Danke für die vielen Antworten, hier findet man immer Hilfe