|
커피향이 나는 *NIX
커피닉스
시스템/네트웍/보안을 다루는 곳
|
|
|
|
| 이전 주제 보기 :: 다음 주제 보기 |
| 글쓴이 |
메시지 |
햇살한모금
손님
|
 올려짐: 2008.9.24 수, 9:55 pm 주제: 보내지 않은 스팸메일이 나갑니다. |
  |
|
저희 서버에서 보내지 않은 스팸이 자꾸 나가서 블랙 IP가 되어버렸습니다..
릴레이 설정 안되있고, 샌드메일도 최신버젼입니다.
그래서 로그를 분석하면서 이것 저것 의심해보았는데, 아무래도 있지도 않은 계정으로의 메일이 마구 날아오다가,
"DSN: Service unavailable"
이런게 뜨고난 후에, 결국 왔던 메일이 (위조되었을 법한 반송처로) 리턴 되면서 스팸이 나가는 거 아닌 가 추측하고 있습니다..
이렇게 보이는 로그를 두 가지만 뽑아보았습니다.
[첫 번째 로그 예]
| 코드: | Sep 24 20:23:30 xxx sendmail[15445]: m8OBNTVw015445: from=<tdturdiqbngrjwgxheun@freechal.com>, size=3053, class=0, nrcpts=3, msgid=<WLVOOFHJYVANVHNYHQDUILUI@hanmail.net>, bodytype=8BITMIME, proto=SMTP, daemon=MTA, relay=[125.211.65.158]
; 메일 받음
Sep 24 20:23:32 xxx sendmail[15446]: m8OBNTVw015445: to=<shinheu@xxx.xxxxxxx.xxx>, delay=00:00:02, xdelay=00:00:02, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:34 xxx sendmail[15446]: m8OBNTVw015445: to=bkchoi@xxx.xxxxxxx.xxx, delay=00:00:04, xdelay=00:00:02, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:38 xxx sendmail[15446]: m8OBNTVw015445: to=<hkoh@xxx.xxxxxxx.xxx>, delay=00:00:08, xdelay=00:00:04, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:39 xxx sendmail[15446]: m8OBNTVw015445: to=<jskim@xxx.xxxxxxx.xxx>, delay=00:00:09, xdelay=00:00:01, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNTVw015445: to=hkoh@xxxxxxx.xxx, delay=00:00:10, xdelay=00:00:01, mailer=esmtp, pri=153206, relay=spam7.xxxxxxx.kr. [166.104.177.35], dsn=5.0.0, stat=Service unavailable
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNTVw015445: m8OBNeVw015446: DSN: Service unavailable
Sep 24 20:23:32 xxx sendmail[15446]: m8OBNTVw015445: to=<shinheu@xxx.xxxxxxx.xxx>, delay=00:00:02, xdelay=00:00:02, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:34 xxx sendmail[15446]: m8OBNTVw015445: to=bkchoi@xxx.xxxxxxx.xxx, delay=00:00:04, xdelay=00:00:02, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:38 xxx sendmail[15446]: m8OBNTVw015445: to=<hkoh@xxx.xxxxxxx.xxx>, delay=00:00:08, xdelay=00:00:04, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:39 xxx sendmail[15446]: m8OBNTVw015445: to=<jskim@xxx.xxxxxxx.xxx>, delay=00:00:09, xdelay=00:00:01, mailer=local, pri=153206, dsn=2.0.0, stat=Sent
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNTVw015445: to=hkoh@xxxxxxx.xxx, delay=00:00:10, xdelay=00:00:01, mailer=esmtp, pri=153206, relay=spam7.xxxxxxx.kr. [166.104.177.35], dsn=5.0.0, stat=Service unavailable
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNTVw015445: m8OBNeVw015446: DSN: Service unavailable
;;존재하지 않는 계정으로 메일 뿌림
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNeVw015446: to=<tdturdiqbngrjwgxheun@freechal.com>, delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=34230, relay=mx01.freechal.com. [211.218.200.130], dsn=5.1.1, stat=User unknown
;;메일 반송
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNeVw015446: m8OBNeVx015446: return to sender: User unknown
Sep 24 20:23:41 xxx sendmail[15446]: m8OBNeVx015446: to=hyeran\t, delay=00:00:01, xdelay=00:00:01, mailer=local, pri=35254, dsn=2.0.0, stat=Sent |
[두 번째 로그 예]
| 코드: | Sep 24 20:27:09 xxx sendmail[15673]: m8OBR6Yw015673: <inheu@xxx.xxxxxxx.xxx>... User unknown
Sep 24 20:27:14 xxx sendmail[15673]: m8OBR6Yw015673: from=<VilmapersonaMayberry@dukeallies.org>, size=926, class=0, nrcpts=4, msgid=3985c801c91e3c$e6129ba0$1702a8c0@Balthasar, proto=SMTP, daemon=MTA, relay=p57BCCB62.dip.t-dialin.net [87.188.203.98]
;;메일 받음
Sep 24 20:27:19 xxx sendmail[15687]: m8OBR6Yw015673: to=<jhpark@xxx.xxxxxxx.xxx>, delay=00:00:09, xdelay=00:00:05, mailer=local, pri=151104, dsn=2.0.0, stat=Sent
Sep 24 20:27:22 xxx sendmail[15687]: m8OBR6Yw015673: to=<bkchoi@xxx.xxxxxxx.xxx>, delay=00:00:12, xdelay=00:00:03, mailer=local, pri=151104, dsn=2.0.0, stat=Sent
Sep 24 20:27:25 xxx sendmail[15687]: m8OBR6Yw015673: to=<kimjs@xxx.xxxxxxx.xxx>, delay=00:00:15, xdelay=00:00:03, mailer=local, pri=151104, dsn=2.0.0, stat=Sent
Sep 24 20:27:29 xxx sendmail[15687]: m8OBR6Yw015673: to=<hkoh@xxx.xxxxxxx.xxx>, delay=00:00:19, xdelay=00:00:04, mailer=local, pri=151104, dsn=2.0.0, stat=Sent
Sep 24 20:27:33 xxx sendmail[15687]: m8OBR6Yw015673: to=hkoh@xxxxxxx.xxx, delay=00:00:23, xdelay=00:00:04, mailer=esmtp, pri=151104, relay=spam7.xxxxxxx.kr. [166.104.177.35], dsn=5.0.0, stat=Service unavailable
Sep 24 20:27:33 xxx sendmail[15687]: m8OBR6Yw015673: m8OBRXYw015687: DSN: Service unavailable
;;존재하지 않는 계정으로 메일 뿌림
Sep 24 20:27:34 xxx sendmail[15687]: m8OBRXYw015687: to=<VilmapersonaMayberry@dukeallies.org>, delay=00:00:01, xdelay=00:00:01, mailer=esmtp, pri=32128, relay=dukeallies.org. [66.84.26.179], dsn=4.0.0, stat=Deferred: Connection reset by dukeallies.org.
;; 메일 반송 |
그런데, 혹시나 해서 제가 없는 계정으로 한 번 메일을 보내보았습니다.
그런데 이번에는 "DSN: Service unavailable" 이런 메세지도 없었고, 저에게 어떤 메일이 반송되어 오는 로그도 남지 않더라구요.
또 혹시나 해서,
cat /var/log/maillog | grep sendmail | grep rcpt 도 해보았는데
결과가 http://coffeenix.net/bbs/viewtopic.php?t=513 이 분과 같아서 ip를 살펴보았는데, 제 경우에는 한 동안 같은 ip로 메일이 쏟아지다가, 또 다른 ip로 메일이 쏟아지는데, 동일한 ip가 반복되는 거 같진 않았습니다..
이걸 대체 어떻게 막아야 할지 모르겠네요.. |
|
| 위로 |
|
 |
truefeel
카페 관리자
가입: 2003년 7월 24일
올린 글: 1277
위치: 대한민국
|
| 올려짐: 2008.9.24 수, 11:56 pm 주제: Re: 보내지 않은 스팸메일이 나갑니다. |
|
|
첫번째 것을 보니 스팸 메일을 수신한게 맞습니다. 그리고, 가짜 from 주소로 송신하는 것도 맞습니다.
메일 서버에서 가장 급한 것은 스팸 필터링 설정이 필요하겠습니다. 스팸 필터링이 되어 있다면 반송처리도 되 않았을거니깐요.
- 1단계 : clamAV 등으로 바이러스 필터링
- 2단계 : SPF 필터링 툴을 통해 메일주소를 위조해서 보내는 메일 필터링
- 3단계 : 베이시안 필터링 툴(spamassassin, bogofilter 등)을 사용하여 인공지능적으로 스팸 필터링
- 4단계 : procmail 등을 이용하여 3단계까지 통과된 메일은 수동으로 제목이나 내용을 지정해서 필터링 적용
다 적용하시기는 힘드시겠죠? 바이러스를 많이 받지 않으면 2단계와 4단계를 먼저 해보세요.
SPF 필터링에 대해서는 '스팸필터링을 위한 SPF 설정과 운영' ( http://coffeenix.net/board_view.php?bd_code=1426 )에 있습니다.
메일 로그 내용을 간단히 살펴보면
from = tdturdiqbngrjwgxheun @ freechal.com
msgid = WLVOOFHJYVANVHNYHQDUILUI @ hanmail.net
from주소에서 ID의 자리수가 너무 길죠. 15자리가 넘습니다. freechal.com은 알기론 15자리까지 ID만 허용합니다. naver.com는 12자리까지.
msgid 도 형식이 잘못됐습니다. 저렇게 대문자로만 이뤄진 msgid는 스팸으로 보면 됩니다.
그리고, 보통 스팸들이 from, msgid, reply 등 등의 각각 다르게 갖고 보내지는 경우가 많습니다.
/etc/procmailrc 설정 등을 통해서 ID가 너무 길거나 Message-ID 형식이 틀린 것을 필터링 설정해볼 수 있겠죠.
예를 들어 Message-ID 경우 다음과 같은 유형처럼.
| 코드: |
:0D
* ^Message-ID: *(<[A-Z][A-Z][A-Z][A-Z][A-Z][A-Z][A-Z][A-Z][A-Z][A-Z]+@[a-z]+.*)
/var/spool/mail/SPAM.log
|
한번 메일을 수신하면 여러명에게 보내지는 것을 보니, alias 설정 되어있나보네요.
그리고, 중간에 relay=spam7.xxxxxxx.kr 라고 나오는 부분이 있습니다. 메일 수신자중에 같은 메일서버가 아닌 다른 곳에 있어서 그 쪽으로 포워딩처리하는 것입니다.
그런데 수신하는 spam7.xxxxxxx.kr 서버에서 현재 서비스를 할 수 없는 상태라서 DSN: Service unavailable 라고 메시지가 뿌려지는 겁니다.
m8OBNeVw015446 이게 보이시죠? 아래의 2번째줄과 3번째줄에 동일하게 보입니다.
'Service unavailable'이 계속 나오는 상황이라면 spam7.xxxxxxx.kr로 포워딩되는 ID(hkoh@xxxxxxx.xxx)를 alias에서 빼보세요. 가짜 주소로 return하는 현상은 줄어들 거라 추측해봅니다.
| 코드: |
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNTVw015445: to=hkoh@xxxxxxx.xxx, delay=00:00:10, xdelay=00:00:01, mailer=esmtp, pri=153206, relay=spam7.xxxxxxx.kr. [166.104.177.35], dsn=5.0.0, stat=Service unavailable
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNTVw015445: m8OBNeVw015446: DSN: Service unavailable
Sep 24 20:23:40 xxx sendmail[15446]: m8OBNeVw015446: to=<tdturdiqbngrjwgxheun@freechal.com>, delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=34230, relay=mx01.freechal.com. [211.218.200.130], dsn=5.1.1, stat=User unknown
|
스팸 필터링 방법에 대해서는 일일히 다 설명드릴 수가 없습니다. 직접 찾아보시고 공부하셔야. ^^ |
|
| 위로 |
|
|
|
|
새로운 주제를 올릴 수 없습니다
답글을 올릴 수 없습니다
주제를 수정할 수 있습니다
올린 글을 삭제할 수 없습니다
투표를 할 수 없습니다
|
Powered by phpBB © 2001, 2005 phpBB Group
|
FAQ
검색
멤버리스트
사용자 그룹
사용자 등록하기
개인 정보
비공개 메시지를 확인하려면 로그인하십시오
로그인
가입없이 누구나 글을 쓸 수 있습니다. 공지사항에 대한 댓글까지도..
BBS >>
설치, 운영 Q&A |
네트웍, 보안 Q&A |
일반 Q&A ||
정보마당 |
AWS ||
자유게시판 |
구인구직 ||
공지사항 |
의견제시
