還是會被當成廣告信跳板

[掛號信]

我巳經啟用智慧型 SMTP Relay, 但平均每週都會有一、二次仍然會被當跳板, 經過半年以上的觀察, 發現都在公司內部人員一連線後就被利用了, 如下面 LOG, 它利用了使用者剛登入後的瞬間, 成功的入侵(注意31:55這個時間)

[2006/1/6 上午 10:31:52] shalin 從 WEBMAIL 寄信
[2006/1/6 上午 10:31:52] WebMail 要求 SMTP 服務 - 寄信人是 shalin@autoid.com.tw
[2006/1/6 上午 10:31:52] WebMail - 郵件內容已收到 (To:chin5892@ms1314.hinet.net)
[2006/1/6 上午 10:31:54] SMTP 服務接受從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:54] 61.220.158.162 要求 SMTP 服務 - 寄信人是 shalin@autoid.com.tw
[2006/1/6 上午 10:31:55] 61.220.158.162 - 郵件內容已收到 (To:chin5892@ms1314.hinet.net) 661 bytes ( 0.9 KB/s)
[2006/1/6 上午 10:31:55] 傳送郵件從 shalin@autoid.com.tw 到 chin5892@ms1314.hinet.net(ms1314.hinet.net) 成功 656bytes ( 0.7 KB/s)
[2006/1/6 上午 10:31:55] SMTP 服務中斷從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:55] SMTP 服務接受從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:55] 61.220.158.162 要求 SMTP 服務 - 寄信人是 shalin@autoid.com.tw
[2006/1/6 上午 10:31:56] 61.220.158.162 - 郵件內容已收到 (To:chin5892@ms1314.hinet.net) 779 bytes ( 1.1 KB/s)
[2006/1/6 上午 10:31:56] 傳送郵件從 shalin@autoid.com.tw 到 chin5892@ms1314.hinet.net(ms1314.hinet.net) 成功 774bytes ( 0.8 KB/s)
[2006/1/6 上午 10:31:56] SMTP 服務中斷從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:56] SMTP 服務接受從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:56] 61.220.158.162 要求 SMTP 服務 - 寄信人是 shalin@autoid.com.tw
[2006/1/6 上午 10:31:56] 61.220.158.162 - 郵件內容已收到 (To:chin5892@ms1314.hinet.net) 897 bytes ( 1.2 KB/s)
[2006/1/6 上午 10:31:56] 傳送郵件從 shalin@autoid.com.tw 到 chin5892@ms1314.hinet.net(ms1314.hinet.net) 成功 892bytes ( 0.9 KB/s)
[2006/1/6 上午 10:31:56] SMTP 服務中斷從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:57] SMTP 服務接受從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:57] 61.220.158.162 要求 SMTP 服務 - 寄信人是 shalin@autoid.com.tw
[2006/1/6 上午 10:31:57] 61.220.158.162 - 郵件內容已收到 (To:chin5892@ms1314.hinet.net) 1015 bytes ( 1.4 KB/s)
[2006/1/6 上午 10:31:57] 傳送郵件從 shalin@autoid.com.tw 到 chin5892@ms1314.hinet.net(ms1314.hinet.net) 成功 1010bytes ( 1.0 KB/s)
[2006/1/6 上午 10:31:57] SMTP 服務中斷從 61.220.158.162 來的連線
[2006/1/6 上午 10:31:57] SMTP 服務接受從 61.220.158.162 來的連線

從此就一直寄信一直寄信, 我試著暫停服務再開, 仍然會在5分鐘後繼續寄, 每一秒鐘寄一封, 我結束 [雷電MAILD] 程式, 並於10分鐘後再執行, 結果還是繼續寄, 最後我把這個 USER 停用後, 才出現 [不支援轉寄] 的訊息, 終於成功, 希望能修補這個漏洞

[Arnor]

你其實要注意的重點是...

61.220.158.162 這個 IP 是誰的?
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

[掛號信]

就是郵件伺服器自己

[掛號信]

這是上一次的狀況, 平均一個月會有一到兩次, 以下是剛被當成跳板的 LOG (一刀不剪), 被當跳板是 info@autoid.com.tw 一直寄到 terry@giantimes.com 信箱

[2005/12/14 下午 01:41:43] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:41:44] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:41:47] 61.220.158.162 - 郵件內容已收到 (To:fax@autoid.com.tw) 56894 bytes ( 14.7 KB/s)
[2005/12/14 下午 01:41:48] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:41:48] 儲存郵件到 <fax> 的信箱, 檔名為 _20051214134144-193205938-2540.eml 57006bytes

[2005/12/14 下午 01:42:17] SMTP 服務接受從 218.63.92.154 來的連線
[2005/12/14 下午 01:42:18] 218.63.92.154 找不到此信箱或已被停用 : karen@autoid.com.tw

[2005/12/14 下午 01:43:25] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:25] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:25] 61.220.158.162 - 郵件內容已收到 (To:terry@giantimes.com) 1331 bytes ( 1.9 KB/s)
[2005/12/14 下午 01:43:25] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:26] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:26] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:26] 61.220.158.162 - 郵件內容已收到 (To:info@autoid.com.tw) 495 bytes ( 0.7 KB/s)
[2005/12/14 下午 01:43:26] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:26] 儲存郵件到 <info> 的信箱, 檔名為 _20051214134326-193307969-2540.eml 624bytes

[2005/12/14 下午 01:43:48] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:48] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:49] 61.220.158.162 - 郵件內容已收到 (To:terry@giantimes.com) 1460 bytes ( 1.9 KB/s)
[2005/12/14 下午 01:43:49] 傳送郵件從 info@autoid.com.tw 到 terry@giantimes.com(giantimes.com) 成功 1455bytes ( 1.5 KB/s)
[2005/12/14 下午 01:43:49] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:49] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:49] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:50] 61.220.158.162 - 郵件內容已收到 (To:terry@giantimes.com) 1579 bytes ( 1.3 KB/s)
[2005/12/14 下午 01:43:50] 傳送郵件從 info@autoid.com.tw 到 terry@giantimes.com(giantimes.com) 成功 1574bytes ( 1.6 KB/s)
[2005/12/14 下午 01:43:51] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:51] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:51] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:52] 61.220.158.162 - 郵件內容已收到 (To:terry@giantimes.com) 1698 bytes ( 1.4 KB/s)
[2005/12/14 下午 01:43:52] 傳送郵件從 info@autoid.com.tw 到 terry@giantimes.com(giantimes.com) 成功 1693bytes ( 1.7 KB/s)
[2005/12/14 下午 01:43:52] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:52] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:52] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:53] 61.220.158.162 - 郵件內容已收到 (To:terry@giantimes.com) 1817 bytes ( 1.6 KB/s)
[2005/12/14 下午 01:43:53] 傳送郵件從 info@autoid.com.tw 到 terry@giantimes.com(giantimes.com) 成功 1812bytes ( 1.8 KB/s)
[2005/12/14 下午 01:43:53] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:53] SMTP 服務接受從 61.220.158.162 來的連線
[2005/12/14 下午 01:43:53] 61.220.158.162 要求 SMTP 服務 - 寄信人是 info@autoid.com.tw
[2005/12/14 下午 01:43:55] 61.220.158.162 - 郵件內容已收到 (To:terry@giantimes.com) 1936 bytes ( 1.7 KB/s)
[2005/12/14 下午 01:43:55] 傳送郵件從 info@autoid.com.tw 到 terry@giantimes.com(giantimes.com) 成功 1931bytes ( 1.9 KB/s)
[2005/12/14 下午 01:43:55] SMTP 服務中斷從 61.220.158.162 來的連線

[jackyg]

Mail Server 自己寄..

電腦中毒?? 被值木馬??
_________________
系統配備及OS:
Intel Dual-Core E6600 3.06GHz /4096MB RAM
WINDOWS 7 專業版 Service Pack 1

[掛號信]

應該不是中毒也沒有中木馬, 記不記得, 一個月才偶發一、二次, 而且都在真正使用者登入登出以後開始, 在停用使用者後才結束, 我想應該是 [智慧型 SMTP Relay] 這個部份的工作原理被了解, 科學日新月異, 很多駭客會針對某些特定的軟體作攻擊, 我想這個攻擊是持續性的, 當使用者登入登出的瞬間, 剛好出現一點點的空檔, 被利用了, 其實 [智慧型 SMYP Relay] 本來就是用來應付這個跳板的問題, 只是駭客技巧更新了, 我們就要跟著更新才行

[Arnor]

幾點說明:
1. 使用者在伺服器上收寄信?
2. 61.220.158.162 既是你伺服器IP, 那又不是你伺服器上的人員寄的,
但你又說"應該不是中毒也沒有中木馬",
那麼應該是..... =_=?

3. maild 本就對自己IP 會允許寄信, 所以, 應該不是"智慧型SMTP RELAY" 之後才會有的事.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

[掛號信]

是的, 這個不難理解, 如果使用者用的是 WebMail, 那麼就是透過 Web Server 的 IP 來寄信, 所以大家都會使用同一個 IP 來寄信, 不巧, Web Server 與 Mail Server 是同一台的話, 結果就是自己在寄信, 當然, 我是不知道 [智慧型 SMTP Relay] 的運作原理, 只是看到說明檔, 自行猜測, 事實上就發生的過程來說, 都是在真正使用者登入登出後才開始一直寄信, 是否可以有一個登出後一定的時間不能再寄信的功能, 例如1分鐘或3分鐘, 我覺得對使用者來說, 是沒有感覺的, 影響層面不大, 應該可以阻斷這類的跳板行為.

[掛號信]

再看這個案例, sunny 是因為閒置過久被斷線, 可是在斷線後5分鐘以上, 才開始大量寄信, 這個部份我就比較搞不清楚了....

[2005/11/24 下午 05:51:14] SMTP 服務接受從 220.228.242.203 來的連線
[2005/11/24 下午 05:51:16] SMTP 服務中斷從 220.228.242.203 來的連線

[2005/11/24 下午 05:51:50] 從 61.220.158.162 來的使用者 SUNNY 因為閒置 WEBMAIL 過久被強迫斷線

[2005/11/24 下午 05:55:34] SMTP 服務接受從 220.130.168.50 來的連線
[2005/11/24 下午 05:55:39] SMTP 服務中斷從 220.130.168.50 來的連線

[2005/11/24 下午 05:56:50] 完成待重寄信件的列表, 開始重寄機制

[2005/11/24 下午 05:57:20] POP3 服務接受從 61.220.158.174 來的連線
[2005/11/24 下午 05:57:21] daniel 從 61.220.158.174 登入 POP3 服務
[2005/11/24 下午 05:57:21] daniel 從 61.220.158.174 登出 POP3 服務

[2005/11/24 下午 05:58:38] SMTP 服務接受從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:38] 61.220.158.162 要求 SMTP 服務 - 寄信人是 sunny@autoid.com.tw

[2005/11/24 下午 05:58:39] 61.220.158.162 - 郵件內容已收到 (To:tseng.fumi@seasojitz.com) 6361 bytes ( 7.0 KB/s)
[2005/11/24 下午 05:58:39] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:44] SMTP 服務接受從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:44] 61.220.158.162 要求 SMTP 服務 - 寄信人是 sunny@autoid.com.tw
[2005/11/24 下午 05:58:45] 61.220.158.162 - 郵件內容已收到 (To:tseng.fumi@seasojitz.com) 6490 bytes ( 7.3 KB/s)
[2005/11/24 下午 05:58:45] 傳送郵件從 sunny@autoid.com.tw 到 tseng.fumi@seasojitz.com(seasojitz.com) 成功 6485bytes ( 6.5 KB/s)
[2005/11/24 下午 05:58:45] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:45] SMTP 服務接受從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:45] 61.220.158.162 要求 SMTP 服務 - 寄信人是 sunny@autoid.com.tw
[2005/11/24 下午 05:58:46] 61.220.158.162 - 郵件內容已收到 (To:tseng.fumi@seasojitz.com) 6609 bytes ( 7.4 KB/s)
[2005/11/24 下午 05:58:46] 傳送郵件從 sunny@autoid.com.tw 到 tseng.fumi@seasojitz.com(seasojitz.com) 成功 6604bytes ( 6.6 KB/s)
[2005/11/24 下午 05:58:46] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:46] SMTP 服務接受從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:46] 61.220.158.162 要求 SMTP 服務 - 寄信人是 sunny@autoid.com.tw
[2005/11/24 下午 05:58:47] 61.220.158.162 - 郵件內容已收到 (To:tseng.fumi@seasojitz.com) 6728 bytes ( 7.6 KB/s)
[2005/11/24 下午 05:58:47] 傳送郵件從 sunny@autoid.com.tw 到 tseng.fumi@seasojitz.com(seasojitz.com) 成功 6723bytes ( 6.7 KB/s)
[2005/11/24 下午 05:58:47] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:48] SMTP 服務接受從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:48] 61.220.158.162 要求 SMTP 服務 - 寄信人是 sunny@autoid.com.tw
[2005/11/24 下午 05:58:48] 61.220.158.162 - 郵件內容已收到 (To:tseng.fumi@seasojitz.com) 6847 bytes ( 7.7 KB/s)
[2005/11/24 下午 05:58:48] 傳送郵件從 sunny@autoid.com.tw 到 tseng.fumi@seasojitz.com(seasojitz.com) 成功 6842bytes ( 6.8 KB/s)
[2005/11/24 下午 05:58:48] SMTP 服務中斷從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:49] SMTP 服務接受從 61.220.158.162 來的連線
[2005/11/24 下午 05:58:49] 61.220.158.162 要求 SMTP 服務 - 寄信人是 sunny@autoid.com.tw
[2005/11/24 下午 05:58:50] 61.220.158.162 - 郵件內容已收到 (To:tseng.fumi@seasojitz.com) 6966 bytes ( 7.8 KB/s)
[2005/11/24 下午 05:58:50] 傳送郵件從 sunny@autoid.com.tw 到 tseng.fumi@seasojitz.com(seasojitz.com) 成功 6961bytes ( 7.0 KB/s)
[2005/11/24 下午 05:58:50] SMTP 服務中斷從 61.220.158.162 來的連線

[jackyg]

我很好奇..你有沒掃過毒或系統重灌過或換過機器試看看..

依你貼出來的怎麼看都是你自己 Server 的 IP 在寄信...

下面是剛剛用 DnsReport 測的..一般來當跳版..怎會出現你自己 Server 的IP
[2006/1/11 上午 11:11:41] SMTP 服務接受從 66.36.241.109 來的連線
[2006/1/11 上午 11:11:44] SMTP 服務不提供轉寄給從 66.36.241.109 來的連線, 從 寄到 Not.abuse.see.www.DNSreport.com.from.IP.61.218.48.222@DNSreport.com
_________________
系統配備及OS:
Intel Dual-Core E6600 3.06GHz /4096MB RAM
WINDOWS 7 專業版 Service Pack 1

[Liang]

[掛號信]

ISP 給我的是 61.220.158.174 這個 IP, 經過 Router 後, 內部 IP 是 192.168.XX.XX 虛擬的, 為什麼說不是中毒或是木馬呢? 原因很簡單, 因為 Server 上有裝防火牆, 而且公司規定所有人都一定要從 Web Mail 來寄信, 不是使用 OutLook 或其他軟體, 這樣一來, 所有寄信的人都等同於在外面寄信, 都使用同一 IP 在寄信, 然後我又鎖定了寄信人的 IP 一定要在 192.168.XX.XX 的範圍內, 基本上的運作都沒什麼問題, 所有的信件及登入者都必須經過 Router 及防火牆的檢查, 這就是為什麼不是中毒或木馬, 當 Server 在大量寄信的時候, 使用者其實巳經離線了, 甚至下班了還在寄信, 表示使用者登出後虛擬 IP 巳經斷線, 而 61.220.158.174 並不會斷線, 問題可能就在這裡, 因為 Server 是無人操作的, 而且我是 [雷電MailD] 長期使用者, 至少經歷過三台的 Server, 都使用相同的安裝方式, SMTP 與 POP3 的設定是採一般的設定方式, 只是 IP 是虛擬的, 長期下來發現的情況都一樣, 之前都是人工檢查, 發現大量的外送資料後就趕快來查看, 每次都是大量寄信, 老實說 [雷電MAILD] 巳經相當不錯了, 我對軟體的看法可能比較不同, Server 端的軟體不在強不強, 而是在維護的簡單與否, 相信有防火牆的人都知道, 也是一天到晚在改設定或更新, [雷電MAILD] 算是人力不吃重的軟體, 這次的大量寄信一直都有發生, 過去是人工解決, 因為實在太忙, 希望能有自動解決的方案

[掛號信]

可以看一下這個月的 Chart 就明瞭
http://61.220.158.162/20060111.bmp

[jackyg]

[掛號信]

61.220.158.174 這佪 IP 是我自己偶而要直接對外連線測試用, 依目前的情況, 仍是要手動處理, 只是看能不能設定使用者的允許時間, 至少讓我下班後可以不用再擔心大量寄信, 讓所有使用者只能在上班時間登入, 能夠這樣就幫助相當大