Beiträge von gbrunmayr

  • Abuse- Sperrung des Hostingpakets

    Zitat von vmk;27490

    gbrunmayr, bist du sicher das du mit einem Server klar kommst? Dein Mailingproblem ist nicht das einzige was an deinem Server fahrlässig falsch eingerichtet ist. Der offene Proxy ist zwar sicherlich nett gemeint, dürfte aber schnell rechtliche bzw. vor allem finanzielle Konsequenzen nach sich ziehen.

    Danke aber ich denke ich komme zurecht ;) Nach ein wenig Starthilfe sollte ich, nach 5 Jahren einschlägiger Ausbildung und ein wenig Interesse doch so weit sein, mit dem System umgehen zu können...

    Den Proxy sollt ich dann wohl doch lieber abschalten :D

    Hier noch ein Auszug aus dem apache Logfile, der interessant sein könnte:

    Ports 110 und 25 sind ein- und ausgehend geblockt...

    Ja es ist lenny mit syscp, womit ich fürs erste sehr zufrieden bin, auch wenn ich nicht in den Config- Files rumwurschteln kann, wies mir gefällt...

    Die PHP Scripte werd ich demnächst absichern und werde dann versuchen, den SMTP Server verschlüsselt wieder zu aktivieren...

    Das mit dem OpenRelay Check hab ich dann wohl falsch verstanden ;) Werd auch das noch testen...

    Danke

    lg

    gbrunmayr

  • Abuse- Sperrung des Hostingpakets

    Hallo!

    Danke erstmal für die Rückmeldungen!

    Wie mache ich sie am besten dicht? Ich habs wie gesagt per iptables versucht, dies missglückte, wonach ich auf die Firewall im vServerControlPanel zurückgegriffen hab!

    Den Mailserverdienst hab ich natürlich sofort nach Erhalt der Mahnung abgewürgt...

    Hab die Logfiles mal analysiert, sie zeigen für besagten Zeitraum einerseits komische HTTP- Requests am Apache:


    und andererseits Aktivitäten von postfix:

    Allgemein fällt in der mail.log im 5- Minuten- Takt folgender Eintrag auf:

    Zitat

    Nov 25 15:56:00 v220101174144372 postfix/qmgr[28064]: 0FEFF1D1C44C: removed
    Nov 25 15:56:00 v220101174144372 postfix/qmgr[28064]: 145761D1C3A3: from=<root@v220101174144372.yourvserver.net>, size=833, nrcpt=1 (queue active)
    Nov 25 15:56:00 v220101174144372 postfix/pickup[28063]: 16CEE1D1C3BF: uid=0 from=<root>
    Nov 25 15:56:00 v220101174144372 postfix/cleanup[28065]: 16CEE1D1C3BF: message-id=<20101125155600.16CEE1D1C3BF@v220101174144372.yourvserver.net>
    Nov 25 15:56:00 v220101174144372 postfix/local[28068]: 145761D1C3A3: to=<root@v220101174144372.yourvserver.net>, orig_to=<root>, relay=local, delay=1859, delays=1859/0/0/0.01, dsn=2.0.0, status=sent (delivered to mailbox)

    Lässt sich damit irgendwas anfangen?

    Die einzigen PHP- Scripte die laufen sind Feedback- Formulare die per mail() den Inhalt versenden! Auch läuft ein phpbb Forum auf einer der Domains!

    Ein RelayCheck fällt negativ aus, so gesehen dürfte der SMTP Port fürs erste gesperrt sein. (Warum ist der generell offen bzw. ein SMTP vorinstalliert? bzw wie kann man diesen absichern?)

    Vielen Dank für die Analyse ;)

    lg

    gbrunmayr

  • Abuse- Sperrung des Hostingpakets

    Hallo liebe NetCup- Menschen...
    Hab seit 2 Tagen einen vRoot- Server und bin soweit sehr zufrieden. Heute jedoch bekam ich folgende E- Mail:

    wir haben folgende Abusemeldung f僡 Ihr Produkt v220101174144372 - easyV Lite vServer erhalten und bitten Sie um umgehende Stellungnahme an uns sowie den Absender der Meldung. Beachten Sie das wir jeglichen Abusemeldungen aus Grden der Sicherheit nachgehen m媠sen. Bei Ausbleiben einer Stellungsnahme oder wiederholtem vorkommen solcher Meldungen muss das betroffene Hostingprodukt ggf. gesperrt werden um weiteren Schaden zu vermeiden.

    Wir bitten um Ihr Verst鄚dnis.

    Abuse Meldung:


    Return-path: <scomp@aol.net>
    Envelope-to: abuse@hetzner.de
    Delivery-date: Wed, 24 Nov 2010 22:09:10 +0100
    Received: from [205.188.249.66] (helo=omr-d22.mx.aol.com)
    by lms.your-server.de with esmtp (Exim 4.69)
    (envelope-from <scomp@aol.net>)
    id 1PLMaT-0004dx-DV
    for abuse@hetzner.de; Wed, 24 Nov 2010 22:09:10 +0100
    Received: from scmp-m47.mail.aol.com (scmp-m47.mail.aol.com [172.21.139.225]) by
    omr-d22.mx.aol.com (v117.7) with ESMTP id MAILOMRD227-7d6b4ced7edd35f; Wed, 24 Nov 2010
    16:08:45 -0500
    Received: from scomp@aol.net by scmp-m47.mail.aol.com; Wed, 24 Nov 2010 16:08:42 EST
    To: abuse@hetzner.de
    From: scomp@aol.net
    Date: Wed, 24 Nov 2010 16:08:42 EST
    Subject: Email Feedback Report for IP 78.47.34.57
    MIME-Version: 1.0
    Content-Type: multipart/report; report-type=feedback-report;
    boundary=\"boundary-1138-29572-2659438-21527\"
    X-AOL-INRLY: static.57.34.47.78.clients.your-server.de [78.47.34.57] scmp-m47
    X-Loop: scomp
    X-AOL-IP: 172.21.139.225
    Message-ID: <201011241608.7d6b4ced7edd35f@omr-d22.mx.aol.com>
    X-Virus-Scanned: Clear (ClamAV 0.96/12316/Wed Nov 24 21:09:36 2010)
    X-Spam-Score: 3.7 (+++)
    Delivered-To: he1-abuse@hetzner.de

    --boundary-1138-29572-2659438-21527
    Content-Type: text/plain; charset=\"US-ASCII\"
    Content-Transfer-Encoding: 7bit

    This is an email abuse report for an email message with the message-id of
    845549937634.uhfzg9sp1dqa@pchome.com.tw received from IP address 78.47.34.57 on Wed, 24
    Nov 2010 12:03:01 -0500 (EST)

    For information, please review the top portion of the following page:
    http://postmaster.aol.com/tools/fbl.html

    For information about AOL E-mail guidelines, please see
    http://postmaster.aol.com/guidelines/

    If you would like to cancel or change the configuration for your FBL please use the tool
    located at:
    http://postmaster.aol.com/waters/fbl_change_form.html


    --boundary-1138-29572-2659438-21527
    Content-Disposition: inline
    Content-Type: message/feedback-report

    Feedback-Type: abuse
    User-Agent: AOL SComp
    Version: 0.1
    Received-Date: Wed, 24 Nov 2010 12:03:01 -0500 (EST)
    Source-IP: 78.47.34.57
    Reported-Domain: static.57.34.47.78.clients.your-server.de
    Redacted-Address: redacted
    Redacted-Address: redacted@


    --boundary-1138-29572-2659438-21527
    Content-Type: message/rfc822
    Content-Disposition: inline

    Return-Path: <nwrhag@pchome.com.tw>
    Received: from mtain-ma11.r1000.mx.aol.com (mtain-ma11.r1000.mx.aol.com [172.29.96.19]) by
    air-ma06.mail.aol.com (v129.4) with ESMTP id MAILINMA061-b5284ced459624d; Wed, 24 Nov 2010
    12:04:23 -0500
    Received: from static.57.34.47.78.clients.your-server.de
    (static.57.34.47.78.clients.your-server.de [78.47.34.57])
    by mtain-ma11.r1000.mx.aol.com (Internet Inbound) with SMTP id C3EEB380023B6;
    Wed, 24 Nov 2010 12:03:01 -0500 (EST)
    Received: from lnvzf.pchome.com.tw (gdftdg.pchome.com.tw [61.247.175.166]) by 78.47.34.57
    with SMTP id ujd287UN4Avjc3613;
    Wed, 01 Dec 2010 13:29:25 -0300
    Message-ID: <845549937634.uhfzg9sp1dqa@pchome.com.tw>
    Organization: Internet Mail Service (5.5.2650.21)
    From: \"＊＊我c敢發誓，這裡保證s最便宜＊＊ w\" <nwrhag@pchome.com.tw>
    Reply-To: \"＊＊我c敢發誓，這裡保證s最便宜＊＊ w\" <nwrhag@pchome.com.tw>
    To: redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com, redacted@aol.com,
    redacted@aol.com
    Subject: 專門販售,歐美日品牌情趣用品,真的很貼心喔!!!
    Date: Wed, 01 Dec 2010 11:34:25 -0500
    X-Mailer: Internet Mail Service (5.5.2650.21)
    MIME-Version: 1.0
    Content-Type: multipart/alternative;
    boundary=\"_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_\"
    x-aol-global-disposition: G
    x-aol-sid: 3039ac1d60134ced45450031
    X-AOL-IP: 78.47.34.57


    --_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_
    Content-Type: text/plain; charset=\"big5\"
    Content-Disposition: inline
    Content-Transfer-Encoding: quoted-printable


    --_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_
    Content-Type: text/html; charset=\"big5\"
    Content-Disposition: inline
    Content-Transfer-Encoding: quoted-printable

    <!DOCTYPE HTML PUBLIC \"-//W3C//DTD HTML 4.0 Transitional//EN\">
    <html>
    <body>
    <p>=A1@</p>
    <p>=A1@</p>
    <p><font color=3D\"#0000FF\" size=3D\"4\">
    <a href=3D\"http://b.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorati=
    on: none\">
    =B1M=C0=E7=A4=E9=A5=BB=B1=A1=BD=EC=BA=EB=AB~=A7=E5=B5o=A1A=A4k=A9=CA=AB=C8=
    =AAA=A1A=B6W=B0=D3=A8=FA=B3f=A1A=B3f=A8=EC=A5I=B4=DA=A1C</a></font></p>
    <p>=A1@</p>
    <p><font color=3D\"#FF0000\" size=3D\"4\">
    <a href=3D\"http://da.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorat=
    ion: none\">
    <font color=3D\"#FF0000\">=B6R=B1=A1=BD=EC=A5=CE=AB~=C1=D9=A6=B3=B0e=BA=EB=
    =AC=FC=BC=FA=AB~=A1A=A6n=A6n=A8=C9=A8=FC=B0=B7=B1d=A1B=A9=AF=BA=D6=AA=BA=
    =A9=CA=A5=CD=AC=A1=A1C</font></a></font></p>
    <p>=A1@</p>
    <p><font color=3D\"#0000FF\" size=3D\"4\">
    <a href=3D\"http://e.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorati=
    on: none\">
    =A8k=A5=CE=A6=DBX=AEM=A1B=AB=F6X=B4=CE=A1B=B8=F5X=A1B=B1=A1=BD=EC=A4=BA=A6=
    =E7!=AD=AD=B6q=BEP=B0=E2</a></font></p>
    <p>=A1@</p>
    <p><font color=3D\"#FF0000\" size=3D\"4\">
    <a href=3D\"http://t.mmmaaaggg.com\" target=3D\"blank\" style=3D\"text-decorati=
    on: none\">
    <font color=3D\"#FF0000\">=A1=F8=A1=F8SM=B9D=A8=E3=A5=CE=AB~=A1B=BC=ED=B7=C6=
    =B2G=A1B=BF=DF=B8=CB=A1B=A8=A4=A6=E2=A7=EA=BAt...=B5=A5=B5=A5</font></a></=
    font></p>
    <p>=A1@</p>
    <p>=A1@</p>
    <p>=A1@</p>
    <p>=A1@</p>

    </body>

    </html>

    --_jemsou5c9rjc1tf2i0ms_MULTIPART_ALTERNATIVE_--


    --boundary-1138-29572-2659438-21527--

    Mit freundlichen Gr晧en

    Ihr netcup Team

    ----------------

    Ich muss gestehen, mir noch nicht all zu viele Gedanken über die Sicherheit gemacht zu haben. Natürlich hab ich alle möglichen Dienste deaktiviert, die ich nicht benötige, hab auch versucht, iptables einzusetzen, die jedoch dann zwecks mangelnder Berechtigung nicht aktiviert werden konnten. Hab nun einzelne Ports per Server- Firewall im vServerControlPanel gesperrt, jedoch geht es mir nicht ein, wie ein eigentlich "nackter" vServer zur Zielscheibe für (so vermute ich) SMTP- Einschleichdiebe werden kann.

    Habt ihr irgendwelche Tipps für einen Quereinsteiger, oder einen expliziten Lösungsansatz für mein Problemchen?

    Ich bitte euch, von Meldungen wie "scher dich zuerst um die Serversicherheit, bevor du den vRoot in Betrieb nimmst...", abzusehen, es ist mir durchaus klar, dass ich vor dem Produktiveinsatz noch einige Ports abwürgen und eine Firewall einrichten, bzw einige Bereiche absichern sollte...

    Danke im Voraus

    lg

    gbrunmayr