Newsgroup: it.comp.os.linux.software
Titolo: Qmail attaccato

Credo che il mio server qmail sia stato attakkato dagli spammer. La
cartella QUEQUE è stracolma di mail di spam ed io non riesco più ad
accedere al mio pannello di controllo di qmail tramite webmin perchè il
processo va in crash. Ho chiuso il relay (a dire la verità pensavo lo
fosse anche prima), ma è tutto ancora bloccato. Come cancello tutte le
mail dal queque ?
E' possibile che continuino a mandarmi mail x spam anche se il server non
le inoltra ?



Se può servire questa è la lista dei processi con ps axf:
3090 ?        S      0:00 /bin/sh /command/svscanboot
 3092 ?        S      0:00  \_ svscan /service
 3094 ?        S      0:00  |   \_ supervise qmail-pop3d
 3104 ?        S      0:00  |   |   \_ [tcpserver]
 3095 ?        S      0:00  |   \_ supervise log
 3105 ?        S      0:00  |   |   \_ multilog t /var/log/qmail/pop3d
 3096 ?        S      0:00  |   \_ supervise qmail-pop3ds
 4949 ?        Z      0:00  |   |   \_ [supervise <defunct>]
 3097 ?        S      0:00  |   \_ supervise log
 4948 ?        Z      0:00  |   |   \_ [supervise <defunct>]
 3098 ?        S      0:00  |   \_ supervise qmail-send
 3106 ?        S      0:39  |   |   \_ [qmail-send]
 3116 ?        S      0:00  |   |       \_ qmail-lspawn ./Maildir/
 3117 ?        S      0:00  |   |       \_ [qmail-rspawn]
 4340 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4552 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4688 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4700 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4816 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4823 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4893 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4904 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4906 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4927 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4935 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4936 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4937 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4938 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4942 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4943 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4946 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4947 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4950 ?        S      0:00  |   |       |   \_ [qmail-remote]
 4951 ?        S      0:00  |   |       |   \_ [qmail-remote]
 3118 ?        S      0:00  |   |       \_ [qmail-clean]
 3099 ?        S      0:00  |   \_ supervise log
 3115 ?        S      0:00  |   |   \_ /usr/local/bin/multilog t /var/log/qmail
 3100 ?        S      0:00  |   \_ supervise qmail-smtpd
 3109 ?        S      0:00  |   |   \_ [tcpserver]
 3101 ?        S      0:00  |   \_ supervise log
 3110 ?        S      0:00  |       \_ /usr/local/bin/multilog t /var/log/qmail/smtpd
 3093 ?        S      0:00  \_ readproctitle service errors: ...e: fatal: unable to start log/run: file does not exist?super



Ma qualcuno sa spiegarmi perchè non riesco a killare i messagi neanke con
kill -TERM ?????

 kill -TERM ?????
AFAIK dovrebbe essere dovuto ai daemon tools che restartano il servizio in
automatico.
-- 
= active @ oldskool.actisystem =
=   Linux Gentoo Base System   =
-----BEGIN GEEK CODE BLOCK-----
Version: 3.12
GIT d- s:+>: a-- C+++ UL++++ P+ L+++ E--- W+ N+ o? !K w-- O-- M- V? PS+(++) 
PE Y+>++ PGP++ !t 5? X++(+) R(+) tv+(++) b+>++ !DI D+ G e h! r++ x*
------END GEEK CODE BLOCK------

 ha scritto nel messaggio
news:pan.2003.12.16....@libero.it...

E' un problema che affligge tutti gli utenti di qmail. Quasi sicuramente non
e' un problema di relay. Qmail accetta le mail in ingresso per una serie di
domini (rcpthosts), indipendentemente dal fatto che esista o meno il
destinatario. Il controllo sul destinatario viene fatto in seguito. Se il
destinatario non esiste la mail rimbalza (bounce) verso il mittente, che se
e' uno spammer ha pensato bene di metterne uno finto. Questo vuol dire che
queste mail di rimbalzo ti intasano la coda per un periodo che di default e'
di una settimana, che si puo' modificare (queuelifetime).
In teoria il carico di sistema rimane sempre minimo. Io per un periodo
sopportavo una coda lunga quasi 400 mail, e il server era sempre pimpante.
Puoi provare a ridurre il periodo di permanenza in coda a 2-3 giorni.
Ciao
 Max



Non parlavo di 400 mail, ma di oltre 400.000.... 

 che ti avevo dato?
L' ho seguito e sono riuscito a sbloccare il server che era totalmente
bloccato. Ma non mi spiego perchè con un semplice KILL i processi non
muiono



Allafacciadelc***o....
Ci credo che la macchina si siede... Hai dei domini virtuali? Se si, quanti?
Ciao
 Max



Perche' devi usare:
# svc -d /service/qmail-send
Per eliminare le mail in coda il metodo ufficialmente consigliato mi pare
sia: 
# svc -d /service/qmail-send (dovrebbe bastare) 
# rm -rf /var/qmail/queue (rimuove tutta la coda!!!!) 
# cd /sorgenti_di_qmail_untargzippati 
# make setup check 
# svc -u /service/qmail-send
Ciao
Diego Depaoli
-------------------
s/faked/d per rispondere privatamente