[1171415] Правин предлагает некоторые хорошие общие моменты, но на самом деле не конкретизирует ни один из них и не решает ваши вероятные [1171864] фактические [1171865] проблемы.
Сначала вам нужно выяснить, как postfix получает эти сообщения и почему он выбирает их пересылку (эти два вопроса, скорее всего, связаны).[12169] Лучший способ сделать это - посмотреть ID сообщения любого из сообщений, а затем поприветствовать файл [1171866]mail.log[1171867] для всех записей в журнале, относящихся к этому сообщению. Это скажет вам, по крайней мере, откуда пришло сообщение и что postfix делал с ним до тех пор, пока не оставил его в покое и не отправился в мир. Вот (отредактированный) отрывок:[12170]Это говорит мне о следующем:[12171]Сообщение пришло от foo.bar.com, сервера с IP-адресом 1.2.3.4, называющего себя foo.bar.com[12172] (Подразумевается отсутствием предупреждений) Согласно forward и reverse DNS, этот адрес действительно совпадает с этим именем.[12173]Сообщение предназначалось для пользователя с именем [1172081]fred@someplace.else[1172082], который, по мнению сервера, был приемлемым адресом получателя. [12174]В соответствии со своей конфигурацией, почтовый сервер передал сообщение через [1172083]127.0.0.1:10024[1172084] (наш спам-вирусный фильтр) для дальнейшей обработки.[12175]Фильтр сказал: "Хорошо, я поставлю это в очередь как сообщение с ID 6EA115E038F и буду обрабатывать его отсюда. "[12176]Получив это подтверждение, главный сервер объявил, что это сделано, и удалил оригинальное сообщение из очереди.[12177]Теперь, как только вы узнаете, как сообщение попало в систему, вы можете начать выяснять, где находится проблема. [12178]Если оно пришло откуда-то и было полностью передано куда-то еще,
постфикс в настоящее время работает как разомкнутое реле. Это очень, очень
плохо, и вы должны ужесточить свои [1172121]smtpd_recipient_restrictions[1172122] и
[1172123]smtpd_client_restrictions[1172124] настройки в [1172125]/etc/postfix/main.cf[1172126].[12179] Если он поступил от [1172127]localhost[1172128], то очень вероятно, что тот или иной пользователь веб-хостинга был скомпрометирован php-скриптом, который рассылает спам по требованию. Используйте команду [1172129] find[1172130], чтобы найти .php файлы, которые были недавно добавлены или изменены, а затем внимательно посмотрите на любые подозрительные имена.[12180] Что-либо более конкретное будет слишком сильно зависеть от результатов вышеупомянутого расследования, поэтому бессмысленно пытаться что-либо уточнить. Оставлю вам более общее замечание: как минимум, при первой возможности установите и настройте [1171884]postgrey[1171885].[1171430].
27.01.2020, 20:16
Ссылка
