Plesk Qmail Queue Explodindo de Possível Ataque do Webform

Question

A fila do qmail no meu servidor (executando o Plesk no CentOS 5.2) recebe até 120.000 mensagens na fila durante a noite. As mensagens na fila são obviamente spam.

Limpei-os no último dia usando o qmHandle, mas não consigo determinar como eles ainda estão sendo enviados. O endereço de e-mail do qual eles são enviados foi adicionado ao arquivo qmail badmailfrom (e testei através do Telnet que ele realmente bloqueia o e-mail desse endereço), mas os e-mails continuam sendo inundados.

Estou quase certo de que o ataque está explorando um formulário da web de um dos domínios hospedados no servidor. Estou bastante confiante de que posso encontrar uma maneira de garantir o formulário, se puder determinar qual deles é. A pergunta é: como determinar de qual formulário os e-mails estão vindo?

    

Answer 1

Aqui está a solução! Cada parte do email de spam terá um uid nos cabeçalhos mostrando qual conta no servidor está sendo usada para enviar os emails. Eu era capaz de ver os cabeçalhos dos e-mails na fila do qmail olhando no Plesk (8.6.0) em Servidor > Mail > Fila de Correio. Quando eu cliquei no assunto, pude ver na primeira linha algo como:

qmail 11850 invoked by uid 10059

O uid 10059 identifica o usuário no servidor que chamou o qmail. Para ver qual usuário é, faça login no seu servidor como root e execute o seguinte comando no terminal:

grep 10059 /etc/passwd

Isso irá procurar no arquivo passwd em seu servidor pela string 10059 e retornar o texto resultante.

Depois que descobri que usuário era esse, consegui desativar o acesso ao shell, adicionar CAPTCHAs a todos os formulários da Web no site e alterar o FTP e outras senhas associadas. Isso me ajudou a impedir que o spammer ganhasse controle.