|
커피향이 나는 *NIX
커피닉스
시스템/네트웍/보안을 다루는 곳
|
|
|
|
| 이전 주제 보기 :: 다음 주제 보기 |
| 글쓴이 |
메시지 |
bird72
가입: 2003년 9월 24일
올린 글: 77
|
 올려짐: 2004.1.28 수, 5:37 pm 주제: [질문] 메일로그에서.. 다양한 IP에서 규칙적인 메일이... |
 |
|
안녕하세요...
운영자님 잘 지내시죠..^^
오늘보니 어제 말씀드렸던 메일로그가 좀더 늘었네요... IP도 더 다양해진것 같고....
아래는 메일 로그 샘플입니다...
| 코드: |
Jan 28 17:23:55 bi-system sendmail[27195]: i0S8NtLo027195: <matt@xxx.com>... User unknown
Jan 28 17:23:55 bi-system sendmail[27195]: i0S8NtLo027195: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:23:55 bi-system sendmail[27195]: i0S8NtLo027195: from=<ted@championzone.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:24:00 bi-system sendmail[27199]: i0S8O0Lo027199: <matt@xxx.com>... User unknown
Jan 28 17:24:00 bi-system sendmail[27199]: i0S8O0Lo027199: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:24:00 bi-system sendmail[27199]: i0S8O0Lo027199: from=<ted@championzone.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:24:07 bi-system sendmail[27202]: i0S8O7Lo027202: <matt@xxx.com>... User unknown
Jan 28 17:24:07 bi-system sendmail[27202]: i0S8O7Lo027202: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:24:07 bi-system sendmail[27202]: i0S8O7Lo027202: from=<ted@championzone.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:24:12 bi-system sendmail[27205]: i0S8OCLo027205: <matt@xxx.com>... User unknown
Jan 28 17:24:12 bi-system sendmail[27205]: i0S8OCLo027205: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:24:12 bi-system sendmail[27205]: i0S8OCLo027205: from=<ted@championzone.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:25:04 bi-system sendmail[27272]: i0S8P4Lo027272: <tom@xxx.com>... User unknown
Jan 28 17:25:04 bi-system sendmail[27272]: i0S8P4Lo027272: lost input channel from [218.147.64.194] to MTA after rcpt
Jan 28 17:25:04 bi-system sendmail[27272]: i0S8P4Lo027272: from=<jane@all-m.com>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.147.64.194]
Jan 28 17:25:09 bi-system sendmail[27396]: i0S8P9Lo027396: <tom@xxx.com>... User unknown
Jan 28 17:25:09 bi-system sendmail[27396]: i0S8P9Lo027396: lost input channel from [218.147.64.194] to MTA after rcpt
Jan 28 17:25:09 bi-system sendmail[27396]: i0S8P9Lo027396: from=<jane@all-m.com>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.147.64.194]
Jan 28 17:25:20 bi-system sendmail[27410]: i0S8PKLo027410: <tom@xxx.com>... User unknown
Jan 28 17:25:20 bi-system sendmail[27410]: i0S8PKLo027410: lost input channel from [218.147.64.194] to MTA after rcpt
Jan 28 17:25:20 bi-system sendmail[27410]: i0S8PKLo027410: from=<jane@all-m.com>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.147.64.194]
Jan 28 17:25:54 bi-system sendmail[27456]: i0S8PsLo027456: <julie@xxx.com>... User unknown
Jan 28 17:25:54 bi-system sendmail[27456]: i0S8PsLo027456: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:25:54 bi-system sendmail[27456]: i0S8PsLo027456: from=<john@cyworld.com>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:25:59 bi-system sendmail[27460]: i0S8PxLo027460: <julie@xxx.com>... User unknown
Jan 28 17:25:59 bi-system sendmail[27460]: i0S8PxLo027460: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:25:59 bi-system sendmail[27460]: i0S8PxLo027460: from=<john@cyworld.com>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:26:01 bi-system sendmail[27462]: i0S8Q1Lo027462: <ray@xxx.com>... User unknown
Jan 28 17:26:01 bi-system sendmail[27462]: i0S8Q1Lo027462: lost input channel from [61.107.28.6] to MTA after rcpt
Jan 28 17:26:01 bi-system sendmail[27462]: i0S8Q1Lo027462: from=<leo@mail.ddc.ac.kr>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[61.107.28.6]
Jan 28 17:26:06 bi-system sendmail[27463]: i0S8Q6Lo027463: <julie@xxx.com>... User unknown
Jan 28 17:26:06 bi-system sendmail[27463]: i0S8Q6Lo027463: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:26:06 bi-system sendmail[27463]: i0S8Q6Lo027463: from=<john@cyworld.com>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:26:06 bi-system sendmail[27464]: i0S8Q6Lo027464: <ray@xxx.com>... User unknown
Jan 28 17:26:06 bi-system sendmail[27464]: i0S8Q6Lo027464: lost input channel from [61.107.28.6] to MTA after rcpt
Jan 28 17:26:06 bi-system sendmail[27464]: i0S8Q6Lo027464: from=<leo@mail.ddc.ac.kr>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[61.107.28.6]
Jan 28 17:26:14 bi-system sendmail[27470]: i0S8QELo027470: <ray@xxx.com>... User unknown
Jan 28 17:26:14 bi-system sendmail[27470]: i0S8QELo027470: lost input channel from [61.107.28.6] to MTA after rcpt
Jan 28 17:26:14 bi-system sendmail[27470]: i0S8QELo027470: from=<leo@mail.ddc.ac.kr>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[61.107.28.6]
Jan 28 17:26:19 bi-system sendmail[27471]: i0S8QJLo027471: <ray@xxx.com>... User unknown
Jan 28 17:26:19 bi-system sendmail[27471]: i0S8QJLo027471: lost input channel from [61.107.28.6] to MTA after rcpt
Jan 28 17:26:19 bi-system sendmail[27471]: i0S8QJLo027471: from=<leo@mail.ddc.ac.kr>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[61.107.28.6]
Jan 28 17:26:27 bi-system sendmail[27474]: i0S8QRLo027474: <brenda@xxx.com>... User unknown
Jan 28 17:26:27 bi-system sendmail[27474]: i0S8QRLo027474: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:26:27 bi-system sendmail[27474]: i0S8QRLo027474: from=<yhj9990@hanmail.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:26:32 bi-system sendmail[27476]: i0S8QWLo027476: <brenda@xxx.com>... User unknown
Jan 28 17:26:32 bi-system sendmail[27476]: i0S8QWLo027476: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:26:32 bi-system sendmail[27476]: i0S8QWLo027476: from=<yhj9990@hanmail.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:26:40 bi-system sendmail[27479]: i0S8QeLo027479: <brenda@xxx.com>... User unknown
Jan 28 17:26:40 bi-system sendmail[27479]: i0S8QeLo027479: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:26:40 bi-system sendmail[27479]: i0S8QeLo027479: from=<yhj9990@hanmail.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:26:45 bi-system sendmail[27483]: i0S8QjLo027483: <brenda@xxx.com>... User unknown
Jan 28 17:26:45 bi-system sendmail[27483]: i0S8QjLo027483: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:26:45 bi-system sendmail[27483]: i0S8QjLo027483: from=<yhj9990@hanmail.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:26:55 bi-system sendmail[27489]: i0S8QtLo027489: <brenda@xxx.com>... User unknown
Jan 28 17:26:55 bi-system sendmail[27489]: i0S8QtLo027489: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:26:55 bi-system sendmail[27489]: i0S8QtLo027489: from=<yhj9990@hanmail.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
|
이러한 메세지가 며칠전부터 조금씩 발생하더니... 오늘은 좀더 확실히 많아졌습니다..
분명히 서버에는 그러한 메일계정이 없는데 아이피가 변경되면서 꾸준히 보내고 있네요...
그리고 계정명도 전부 외국인...흠.. 영어책에서나 나올만한 흔한 이름이고...
무엇이 문제이고.. 혹시 이것때문에 서버가 다운되거나 서비스에 문제가 생길 수 있을까요???
아시는분... 알려주시면 감사하겠습니다...
그럼 좋은 하루 되세요... ^^;;
_________________
ilovesusu |
|
| 위로 |
|
 |
truefeel
카페 관리자
가입: 2003년 7월 24일
올린 글: 1277
위치: 대한민국
|
| 올려짐: 2004.1.28 수, 7:18 pm 주제: Re: 메일로그에 다양한 IP에서 (마이둠 웜임) |
|
|
| bird72 씀: | 안녕하세요...
운영자님 잘 지내시죠..^^
오늘보니 어제 말씀드렸던 메일로그가 좀더 늘었네요... IP도 더 다양해진것 같고....
아래는 메일 로그 샘플입니다...
| 코드: |
Jan 28 17:23:55 bi-system sendmail[27195]: i0S8NtLo027195: <matt@xxx.com>... User unknown
Jan 28 17:23:55 bi-system sendmail[27195]: i0S8NtLo027195: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:23:55 bi-system sendmail[27195]: i0S8NtLo027195: from=<ted@championzone.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
Jan 28 17:24:00 bi-system sendmail[27199]: i0S8O0Lo027199: <matt@xxx.com>... User unknown
Jan 28 17:24:00 bi-system sendmail[27199]: i0S8O0Lo027199: lost input channel from [218.237.27.235] to MTA after rcpt
Jan 28 17:24:00 bi-system sendmail[27199]: i0S8O0Lo027199: from=<ted@championzone.net>, size=0, class=0, nrcpts=0, proto=ESMTP, daemon=MTA, relay=[218.237.27.235]
... 생략 ...
|
이러한 메세지가 며칠전부터 조금씩 발생하더니... 오늘은 좀더 확실히 많아졌습니다..
분명히 서버에는 그러한 메일계정이 없는데 아이피가 변경되면서 꾸준히 보내고 있네요...
그리고 계정명도 전부 외국인...흠.. 영어책에서나 나올만한 흔한 이름이고...
무엇이 문제이고.. 혹시 이것때문에 서버가 다운되거나 서비스에 문제가 생길 수 있을까요???
아시는분... 알려주시면 감사하겠습니다...
그럼 좋은 하루 되세요... ^^;; |
현재 기승을 부리고 있는 마이둠(mydoom) 웜(또는 MIMAIL.R 웜이라 불림)입니다.
다행인 것은 없는 메일 계정으로 보내니 수신은 되지 않은 것이며, 혹시 받게되면 열지 말고 바로 삭제하시기 바랍니다.
이 웜에 대해서는 다음 글을 읽어보세요.
이 웜이 2.1일에 SCO 홈페이지를 공격하도록 되어 있습니다. 그 날 어떻게 될지...
http://coffeenix.net/bbs/viewtopic.php?t=512
http://info.ahnlab.com/smart2u/virus_detail_1298.html
그리고 procmail 을 통한 필터링할 방법이
http://groups.google.co.kr/groups?selm=bv6920%24gdh%241%40FreeBSD.csie.NCTU.edu.tw&oe=UTF-8&output=gplain 에 있으니 참고하세요.
이 procmailrc 설정은
- 메일크기 50KB 미만
- 제목, 첨부파일명, 본문
모두를 비교하여 처리합니다. 좀 복잡하죠. 간단한 것은 본문 내용만으로도 가능하겠지요.
서버에서 iptables 등으로 계속적으로 들어오는 IP는 차단하는 것도 좋을 것 같네요. |
|
| 위로 |
|
|
bird72
가입: 2003년 9월 24일
올린 글: 77
|
| 올려짐: 2004.1.29 목, 12:11 pm 주제: iptable 설정이... |
|
|
안녕하세요..
말씀하신대로 iptables에서 해당 ip를 막아보려고 했는데...
잘 안되네요...
| 코드: |
iptables -A INPUT -s aaa.aaa.aaa.aaa -d bbb.bbb.bbb.bbb -p tcp --dport 25 -j DROP
|
위와 같이 했는데... 안막아지네요..
이게 틀린 방법이라면 어떻게 해야할지...
_________________
ilovesusu |
|
| 위로 |
|
|
바라미
가입: 2003년 8월 22일
올린 글: 26
위치: 서울
|
| 올려짐: 2004.1.29 목, 12:35 pm 주제: Re: iptable 설정이... |
|
|
| bird72 씀: | 안녕하세요..
말씀하신대로 iptables에서 해당 ip를 막아보려고 했는데...
잘 안되네요...
| 코드: |
iptables -A INPUT -s aaa.aaa.aaa.aaa -d bbb.bbb.bbb.bbb -p tcp --dport 25 -j DROP
|
위와 같이 했는데... 안막아지네요..
이게 틀린 방법이라면 어떻게 해야할지... |
맞는 방법입니다.
근데, 이 룰셋 이전에 25번 포트에 대해 모두 열린 것은 아닌가요?
룰셋은 위에 있는 것 먼저 적용이 되거든요.
아래 명령으로 확인해보세요.
| 코드: |
iptables -L 또는 iptalbes -L INPUT
|
|
|
| 위로 |
|
|
bird72
가입: 2003년 9월 24일
올린 글: 77
|
| 올려짐: 2004.1.29 목, 1:10 pm 주제: iptables -L 에 보니.. |
|
|
안녕하세요... 먼저 답변 감사하구요..^^
iptable 스크립을 열어보니...
| 코드: |
/sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
|
이런식으로 25번 포트를 열어주더군요..
그럼 먼저 막을 ip들을 저 라인 위에서 drop시키고
다시 25번 포트를 열어야 하나요???
_________________
ilovesusu |
|
| 위로 |
|
|
바라미
가입: 2003년 8월 22일
올린 글: 26
위치: 서울
|
| 올려짐: 2004.1.29 목, 1:53 pm 주제: Re: iptables -L 에 보니.. |
|
|
| bird72 씀: | 안녕하세요... 먼저 답변 감사하구요..^^
iptable 스크립을 열어보니...
| 코드: |
/sbin/iptables -A INPUT -p tcp --dport 25 -j ACCEPT
|
이런식으로 25번 포트를 열어주더군요..
그럼 먼저 막을 ip들을 저 라인 위에서 drop시키고
다시 25번 포트를 열어야 하나요??? |
그렇죠. 저 ACCEPT 보다 위에서 막을 IP에 대해 DROP 해주면 되죠.
당연히 25번 포트를 열어야 정상적인 메일에 대해서는 받겠지요.
iptables .... -j DROP
iptables .... -j DROP
쭉 막을 것을 나열하고,
iptables -A INPUT -p tcp --dport 25 -j ACCEPT
뭐 저런 형태 정도. |
|
| 위로 |
|
|
|
|
새로운 주제를 올릴 수 없습니다
답글을 올릴 수 없습니다
주제를 수정할 수 없습니다
올린 글을 삭제할 수 없습니다
투표를 할 수 없습니다
|
Powered by phpBB © 2001, 2005 phpBB Group
|
FAQ
검색
멤버리스트
사용자 그룹
사용자 등록하기
개인 정보
비공개 메시지를 확인하려면 로그인하십시오
로그인
가입없이 누구나 글을 쓸 수 있습니다. 공지사항에 대한 댓글까지도..
BBS >>
설치, 운영 Q&A |
네트웍, 보안 Q&A |
일반 Q&A ||
정보마당 |
AWS ||
자유게시판 |
구인구직 ||
공지사항 |
의견제시
