Esta é uma análise SIP (VoIP) e nada a ver com SMTP ou E-mail.
Quando eu estava rodando tcpdump e assistindo a saída no meu novo VPS criado (OS: CentOS 7.1) via SSH, uma mensagem apareceu de repente:
OPTIONS sip:100@My_VPS_IP SIP/2.0
Via: SIP/2.0/UDP 69.64.57.15:5596;branch=z9hG4bK-1736040942;rport
Content-Length: 0
From: "sipvicious"<sip:[email protected]>;tag=3264346531356562313363340132313937303630383239
Accept: application/sdp
User-Agent: friendly-scanner
To: "sipvicious"<sip:[email protected]>
Contact: sip:[email protected]:5596
CSeq: 1 OPTIONS
Call-ID: 557316745284479406993575
Max-Forwards: 70
Primeiramente, achei que recebi um e-mail falso e confuso, pois nunca configurei um serviço de e-mail.
Aí vem o resultado de ss -tunpl :
[root@localhost ~]# ss -tunpl
Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port
Cannot open netlink socket: Protocol not supported
udp UNCONN 0 0 *:46413 *:* users:(("ss-server",pid=25065,fd=5))
udp UNCONN 0 0 :::443 :::* users:(("kcp_server",pid=25027,fd=3))
Cannot open netlink socket: Protocol not supported
tcp LISTEN 0 0 *:22 *:* users:(("sshd",pid=128,fd=3))
tcp LISTEN 0 0 127.0.0.1:1080 *:* users:(("ss-server",pid=25065,fd=6))
tcp LISTEN 0 0 :::22 :::* users:(("sshd",pid=128,fd=4))
[root@localhost ~]#
Programe ss-server e kcp_server são ambos algo como um servidor proxy socks5 com autorização forçada, o que significa que nada sobre o serviço de e-mail foi instalado no meu VPS (mesmo mail is Command not found ).
Nesse meio tempo, o ssh só permite a autorização RSA e tenho certeza de que minha chave privada é segura o suficiente. E o comando w mostra que há apenas um usuário on-line.
Mas, acima não são importantes. A razão pela qual eu chamo isso de e-mail fantasma é que /var/mail/ e /var/spool/mail/ têm apenas um arquivo vazio chamado rpc:
[root@localhost ~]# ls /var/mail
rpc
[root@localhost ~]# file /var/mail/rpc
/var/mail/rpc: empty
[root@localhost ~]# ls /var/spool/mail/
rpc
[root@localhost ~]# file /var/spool/mail/rpc
/var/spool/mail/rpc: empty
O email que recebi desapareceu!
Espero que este não seja um bug de segurança que possa tornar meu VPS inseguro.
Mas, o mais importante é: eu quero saber como isso pode acontecer? Qual é o mecanismo por trás disso?