Подскажите способ защиты от DirectMailer -а (Рассылка спама с сервера с использованием DirectMailer)

[Ufomen]

Доброго времени суток!

Проблема в следующем на сервере постоянно запускаются перл или CGI скрипты рассылающие спам из под несуществующего пользователя 10037 в shadow такого нет.

Код: Выделить всё

apache   26060  0.0  0.2 115392 53732 ?        S    05:10   0:00 /usr/sbin/httpd
apache   26572  0.0  0.2 113132 51616 ?        S    05:11   0:00 /usr/sbin/httpd
popuser  28487  0.0  0.1  41816 30840 ?        S    Jun17   1:39 spamd child
mailman  30314  0.0  0.0  10808  6880 ?        S    Jul17   0:01 /usr/bin/python /usr/lib/mailman/bin/qrunner --runner=VirginRunner:0:1 -s
qmailr   30344  0.0  0.0   1604   392 ?        S    Jul16   0:00 qmail-rspawn
10037    30428  0.0  0.0   6340  4176 ?        Ss   Jul17   0:01 /usr/bin/perl coms.cgi
10037    30697  0.0  0.0   6732  4632 ?        S    Jul17   0:02 /usr/bin/perl coms.cgi
root     32386  0.0  0.0   2100   836 pts/0    R+   05:36   0:00 ps aux

до этого были перл скрипты из под того же юзера с именами kk.pl zz.pl
В кроне чисто.

Покопался в гугле выяснил с чем имею дело... имя этому DirectMailer

Нашел пару НЕВНЯТНЫХ топиков по защите

http://www.webhostingtalk.com/showthread.php?p=6281271
http://www.hostsvault.com/blog/howto-preve...ng-modsecurity/

Сейчас выбираю наиболее эффективное решение.
Если у кого был опыт борьбы с этой заразой прошу поделиться!

[Ufomen]

Подошел к вопросу с другой стороны )

Прошарил логи FTP на предмет заливания скриптов. Получил ответ КТО и заблокировал.

Код: Выделить всё

var/log/xferlog.processed |grep "\.pl "
Thu Jul 16 18:05:45 2009 0 IP_ADDR 29426 /var/www/vhosts/XXX/cgi-bin/z.pl b _ i r USER ftp 0 * c
Thu Jul 16 18:05:46 2009 0 IP_ADDR 29426 /var/www/vhosts/XXX/cgi-bin/z.pl b _ d r USER ftp 0 * c
Thu Jul 16 23:50:24 2009 0 IP_ADDR 29426 /var/www/vhosts/XXX/cgi-bin/kwv.pl b _ i r USER ftp 0 * c
Thu Jul 16 23:50:25 2009 0 IP_ADDR 29426 /var/www/vhosts/XXX/cgi-bin/kwv.pl b _ d r USER ftp 0 * c

/var/log/xferlog.processed |grep "\.cgi "
Fri Jul 17 19:43:07 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/godi.cgi a _ d r USER ftp 0 * c
Fri Jul 17 19:43:17 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/coms.cgi a _ i r USER ftp 0 * c
Fri Jul 17 19:43:20 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/godi.cgi a _ i r USER ftp 0 * c
Fri Jul 17 21:29:07 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/coms.cgi a _ d r USER ftp 0 * c
Fri Jul 17 21:29:07 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/godi.cgi a _ d r USER ftp 0 * c
Fri Jul 17 21:29:20 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/coms.cgi a _ i r USER ftp 0 * c
Fri Jul 17 21:29:23 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/godi.cgi a _ i r USER ftp 0 * c
Sat Jul 18 00:04:34 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/coms.cgi a _ d r USER ftp 0 * c
Sat Jul 18 00:04:35 2009 0 IP_ADDR 74537 /var/www/vhosts/XXX/cgi-bin/erri/godi.cgi a _ d r USER ftp 0 * c

Но вопрос защиты В ЦЕЛОМ остается открытым.

[skor]

а iptables`ом заблокировать 25й порт?

[Ufomen]

а iptables`ом заблокировать 25й порт?

Ну а почту тогда как? ))

[skor]

А у iptables есть много полезных ключиков...
К примеру --uid-owner
Никто не мешает почту вынести на отдельный сервер и с хостинга разрешить почту только на этот сервер, с авторизацией и выдавать логины/пароли только тем кому это надо.