Aide pour analyse logs postfix

Version imprimable

Bonjour à tous
Je crains que ce soit un problème de sécurité mais je n'en suis pas sur...

Voilà, je ne comprends pas mais quand je regarde les logs de postfix (/var/log/mail.log) je vois des choses comme ça :

Code:

1
2
3
4
5
6
Aug 21 14:17:25 den02 postfix/smtp[967]: 7DB024D874: to=<lucad63@tiscalinet.it>, relay=etb-4.mail.tiscali.it[213.205.33.61]:25, delay=236935, delays=236811/0.07/123/0, dsn=4.0.0, status=deferred (host etb-4.mail.tiscali.it[213.205.33.61] refused to talk to me: 554 cmgw-2.mail.tiscali.it  ZoHe1t0231D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:27 den02 postfix/smtp[1069]: A3B8653282: to=<marko.pt@tiscalinet.it>, relay=etb-1.mail.tiscali.it[213.205.33.64]:25, delay=74208, delays=74084/0.49/124/0, dsn=4.0.0, status=deferred (host etb-1.mail.tiscali.it[213.205.33.64] refused to talk to me: 554 cmgw-3.mail.tiscali.it  ZoHg1t01K1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:27 den02 postfix/smtp[1061]: 77B9F54302: to=<blackwhite84@tiscali.it>, relay=etb-3.mail.tiscali.it[213.205.33.61]:25, delay=418099, delays=417974/0.48/125/0, dsn=4.0.0, status=deferred (host etb-3.mail.tiscali.it[213.205.33.61] refused to talk to me: 554 cmgw-1.mail.tiscali.it  ZoHg1t01V1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:27 den02 postfix/smtp[1057]: 71CF853977: to=<fiocco.an@tiscali.it>, relay=etb-3.mail.tiscali.it[213.205.33.62]:25, delay=59130, delays=59005/0.35/125/0, dsn=4.0.0, status=deferred (host etb-3.mail.tiscali.it[213.205.33.62] refused to talk to me: 554 cmgw-1.mail.tiscali.it  ZoHh1t00x1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:17:31 den02 postfix/smtp[1093]: 10E814C651: to=<mkafterblu@tiscalinet.it>, relay=etb-4.mail.tiscali.it[213.205.33.63]:25, delay=43674, delays=43546/0.1/128/0, dsn=4.0.0, status=deferred (host etb-4.mail.tiscali.it[213.205.33.63] refused to talk to me: 554 cmgw-1.mail.tiscali.it  ZoHl1t00N1D2zH201 IP: 46.226.109.56, You are not allowed to send mail. Please see http://csi.cloudmark.com/reset-request/?ip=46.226.109.56 if you feel this is in error.)
Aug 21 14:18:02 den02 postfix/smtpd[1516]: warning: hostname static196-113-236-206-196.adsl196-8.iam.net.ma does not resolve to address 196.206.236.113: Name or service not known

Ou ce qui me semble pire des choses comme ça :

Code:

1
2
3
4
 
Aug 22 16:27:38 den02 postfix/qmgr[17471]: 4CD2C21210: from=<stacy_ramos@3atp.org>, size=1206, nrcpt=1 (queue active)
Aug 22 16:27:38 den02 postfix/qmgr[17471]: 4932021240: from=<nadine_glover@inaden.org>, size=1206, nrcpt=1 (queue active)
Aug 22 16:27:38 den02 postfix/qmgr[17471]: 437472126D: from=<guadalupe_reid@inaden.org>, size=1224, nrcpt=1 (queue active)

Avec des adresses mail sur les noms de domaine qui sont sur le serveur.

Du coup, j'ai désinstallé postfix et l'ai réinstallé... mais le premier type de log est vite réapparu. :? Aussi je l'ai arrêté et si quelqu'un peut me dire ce qu'il se passe ce serait super. Merci d'avance pour votre aide.
Denis

22/08/2016, 16h58
manry

Salut, je remarque tu as des messages en queue,

avec un postif lancé que te renvoie la commande

Code:

postqueue -p

ou bien

Code:

mailq

au choix.

Une fois fait, note l'ID d'un mail qui te semble bizzare et fais un

Code:

postcat -q ID

qui te donnera plus de détails sur le mail en question.
22/08/2016, 20h11
den66

Merci manry.
Je teste cela... mais ça va envoyé tous les mail en queue qui sont des mails dont je suis certains qu'il n'ont rien à voir avec les trois site peu fréquenté qui sont sur le serveur.
Je reviens au plus tard demain avec les résultats.
Encore merci pour ton aide.
Denis
22/08/2016, 20h16
den66

J'ai trouve un mail du 22 et quand je fais postcat -q ID j'ai un mail de cul !
Sexy Leticia toys her dans un mail html avec tout le reste... !
Je vais étudier le lien que tu m'a donné.
Encore merci.
22/08/2016, 20h36
manry

Tu fais maintenant parti d'un réseau de spam, maintenant tu as plus bpc de solutions:

dans un premier temps tu stop tes services succeptibles d'envoyer des mails (rapidement histoire de pas te faire blacklister ton ip), puis:

- soit tu efface toutes les données de ton site et tu repars sur une version clean mais ton problème de sécu n'est pas corrigé et tu te refera hack plus tard
- soit tu coup l'accès au serveur et tu analyse les logs (au besoin fais toi aider par quelqu'un pour l'analyse des logs) et fais un audit de tes applications ou même mieux de ton serveur complet, il est possible qu'ils soient passés par ailleurs que ton appli web...

tu peux aussi regarder les mails si tu as de la chance parfois tu as des indices sur le fichier qui a généré le spam (du déjà vu) mais c'est plutôt rare

@+
22/08/2016, 20h46
den66

Ouais... c'est la merde !

J'ai essayé ça :
# trouver la ligne "mail.log" et la compléter comme ceci :
mail.log = /var/log/mail.php.log

Mais ça ne fonctionne pas.
Donc d'après toi le truc est planqué dans un fichier sur un des sites. Du coup, si je transfère mes sites sur un autre serveur je vais transférer les fichiers coupables...

Tu connais quelqu'un qui fait des audits !
23/08/2016, 00h41
manry

Je ne comprends pas ta phrase:

Citation:

J'ai essayé ça :
# trouver la ligne "mail.log" et la compléter comme ceci :
mail.log = /var/log/mail.php.log

cela dis je vais te filer un coup de main mais j'ai oublié un truc ultra important : ne jamais toucher aux fichiers après une infection

Pour la suite est ce que tu sais de quel jour date tes dernières modifs (au pire tu regarde le dernier fichier dont tu es sur d'avoir modifié en dernier et regarde la date

donc commence par te rendre dans le repertoire de ton application web et poste le résultat de la commande suivante:

Code:

find . -mtime +X -exec ls -l \;

ca te donnera les fichiers modifiés les X derniers jours
deja ca te donne une idée des fichiers modifier par quelqu'un d'autre que toi.

ensuite tu peux (c'est une supposition) faire cette commande (souvent les spammeurs mettent du base64 dans leurs code)

Code:

find . -mtime +X | xargs ls -l | grep -ri base64

qui te donnera les fichiers avec du base64 dedans et qui n'on pas été modifiés par tes soins.

Ensuite tu grep avec les yeux ces fichiers qui te semble anormalaux et si vraiment ils ne sont pas de toi (code malveillant) tu regarde dans les logs comment ils sont arrivés la (mais donne moi en premier lieux les résultats des 2 premières commandes)

Bonjour Manry

Et encore merci pour ton aide.
La première commande ne donne rien

Code:

1
2
root@den02:/var/www# /var/www# find . -mtime +120 -exec ls -l \;
bash: /var/www#: No such file or directory

La seconde donne

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
root@den02:/var/www# find . -mtime +120 | xargs ls -l  | grep -ri base64
ls: cannot access ./ecritures-services/plugins/auto/albums/v3.0.15/REGLES: No such file or directory
ls: cannot access DE: No such file or directory
ls: cannot access COMMIT.md: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/facteur/v3.1.0/erreurs: No such file or directory
ls: cannot access et: No such file or directory
ls: cannot access exceptions.txt: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Papillon.jpg: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Ecureuil.gif: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/SPIP.jpg: No such file or directory
ls: cannot access ./ecritures-services/plugins/auto/article_pdf/v0.4.6/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Code.txt: No such file or directory
ls: cannot access ./ecritures-services/dist/css/fonts/Google: No such file or directory
ls: cannot access Android: No such file or directory
ls: cannot access License.txt: No such file or directory
ls: cannot access ./ecritures-services/dist/css/fonts/Bitter: No such file or directory
ls: cannot access OFL: No such file or directory
ls: cannot access SIL: No such file or directory
ls: cannot access Font: No such file or directory
ls: cannot access License: No such file or directory
ls: cannot access 1.1.txt: No such file or directory
ls: cannot access ./ecritures-services/dist/css/fonts/Apache: No such file or directory
ls: cannot access License.txt: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/albums/v2.2.9/REGLES: No such file or directory
ls: cannot access DE: No such file or directory
ls: cannot access COMMIT.TXT: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/facteur/v3.3.3/erreurs: No such file or directory
ls: cannot access et: No such file or directory
ls: cannot access exceptions.txt: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Papillon.jpg: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Ecureuil.gif: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/SPIP.jpg: No such file or directory
ls: cannot access ./inadenorg/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Code.txt: No such file or directory
ls: cannot access ./inadenorg/demo/ancien_3atp_flash/script/style: No such file or directory
ls: cannot access -: No such file or directory
ls: cannot access copie.css: No such file or directory
ls: cannot access ./3atp/plugins-dist/compagnon/compagnon/article_redaction: No such file or directory
ls: cannot access _redacteur.html: No such file or directory
ls: cannot access ./3atp/plugins/auto/albums/v2.2.11/REGLES: No such file or directory
ls: cannot access DE: No such file or directory
ls: cannot access COMMIT.TXT: No such file or directory
ls: cannot access ./3atp/plugins/auto/v066zip-db53db53/jwplayer/skins/facebook/controlbar/playButton: No such file or directory
ls: cannot access -: No such file or directory
ls: cannot access Copy.png: No such file or directory
ls: cannot access ./3atp/plugins/auto/v066zip-db53db53/jwplayer/skins/facebook/facebook/controlbar/playButton: No such file or directory
ls: cannot access -: No such file or directory
ls: cannot access Copy.png: No such file or directory
ls: cannot access ./3atp/plugins/auto/facteur/v3.0.4/erreurs: No such file or directory
ls: cannot access et: No such file or directory
ls: cannot access exceptions.txt: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Papillon.jpg: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Ecureuil.gif: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/SPIP.jpg: No such file or directory
ls: cannot access ./3atp/plugins/auto/article_pdf/v0.4.5/Code: No such file or directory
ls: cannot access SPIP: No such file or directory
ls: cannot access Demo/Code.txt: No such file or directory

Je vais aller voir ce dossier ./3atp/plugins/auto/v066zip-db53db53 qui ne me dis rien.

23/08/2016, 08h30
den66

Non, fausse alerte.
23/08/2016, 08h33
den66

En fait, c'est ce que je cherche mais je ne trouve pas encore, ce serais de trouver un moyen d'identifier les fichier qui envoient des mails.

J'ai trouvé ça pour activer depuis le php.ini des logs pour les envois de mail par php :
mail.log = /var/log/mail.php.log
Mais le fichier reste vide.
23/08/2016, 10h48
manry

J'ai l'impression que ta première commande n'en est pas une, tu as ton prompte et ensuite de ce que je vois tu as entré

Code:

/var/www# find . -mtime +120 -exec ls -l \;

tu as la partie /var/www# en trop, de plus comme tu as un dièse # le reste de ce que tu as entré n'est pas bon

Exact... mauvais copier-coller.
Quand je lance la commande j'ai :
Code:

1 2 3 4 5 6 drwxr-xr-x 17 admin users 4096 Aug 23 09:49 3atp drwxr-xr-x 21 admin users 4096 Jul 9 11:04 ecritures-services drwxr-xr-x 16 admin users 4096 Aug 21 14:11 inadenorg -rw-r--r-- 1 admin users 177 Aug 28 2015 index.html drwxr-xr-x 2 admin users 4096 Aug 31 2015 test total 20
Qui se répète sans fin. Je l'arrête avec controle C.
En fait, il faut que je fasse ça dossier par dossier.

J'ai chargé toutes les install à jour et tous les plugins. Je vais essayer de refaire mes install sur un autres serveurs à partir des fichiers à jours. J'espère nettoyer le problème comme ça, ça deviens trop compliqué pour moi. Ça me fait vraiment chier, mais j'ai l'impression que je n'ai pas le choix.

Merci pour ton aide, si tu as un dernier conseil, je suis preneur.

23/08/2016, 12h38
manry

Pas de soucis,

je viens de voir que c'est un framework SPIP (qui a une très mauvaise réputation), je ne connais pas tes compétences en dev mais je peux te conseiller de te tourner plutôt vers un framework du type

- symfony3 (pour du php)
- django (pour du pyhton mais avec wsgi pour le faire coller à nginx)
- drupal 8 (CMS plus que framework de dev mais pour ce genre de techno il faut passer du temps à lire la doc et les bonnes pratiques)

je ne sais pas non plus si tu es sur un serveur mutualisé (si c'est le cas laisse tomber django).

De plus c'est un serveur perso ou pro?
24/08/2016, 08h07
den66

Bonjour Manry

Alors c'est un serveur Gandi (virtuel) mais non mutualisé. J'ai pris cela parce que j'ai trois sites (une asso, le mien et celui de mon épouse) et cela me revenait moins cher que trois mutualisés. Je ne suis pas développeur et j'ai dû travailler sur spip dans mon ancien boulot, du coup, je m'y suis habitué. Je pensais qu'il n'avait pas mauvaise réputation.
J'ai pensé me tourner vers Drupal, mais faute de temps, je ne l'ai pas encore fait.
Pour le serveur, j'ai eu quelque base linux (pareil dans mon ancien boulot, mais j'ai quitté celui-ci justement parce qu’il me demandait de m'occuper de plus en plus des serveurs et autres problèmes informatiques alors que ce n'est pas mon boulot).

Ce que je fais, j’ai un serveur ubuntu 14 sur VMWare en local, alors j'ai téléchargé les dernières versions de spip et de tous les plugins que j'utilise et je vais mettre à jour en local les trois sites. Ensuite, je vais monter un nouveau serveur (pareil sur ubuntu 14 et non plus sur ubuntu 12) et je vais tout transférer. D'après ce que j'ai compris, je ne devrais plus avoir le problème. Ensuite, je serais plus vigilant sur les mises à jour des plugins !

Effectivement, dès que je peux, je me tourne vers Drupal... mais je crois que, comme tu dis, c'est un sacré boulot de maîtriser la bête. Difficile de sortir des outils dont on a l'habitude.

Voilà. Je crois que c'est seule façon de me sortir de ce mauvais pas avec les moyens que j'ai. L'idée ensuite est de bien noter chaque date de changement de fichier et en cas de problème de trouver un moyen de chercher dans les dossiers les fichiers qui ont une date postérieure à la dernière date de changement que j'ai fait.

En tout cas, merci pour ton aide et ton soutien, c'est toujours difficile de se sentir seul face à l'informatique.
24/08/2016, 11h59
manry

Pas de soucis,

mais quitte à tout mettre à jour tu peux aussi passer à Ubuntu 16 regarde la version LTS (Long Time Support) qui sera patché pour les failles de sécu. Après pour les technos de dev php je ne connais pas trop malheuresement.

Sur ton serveur tu peux faire ce que tu veux? c'est de la télémaintenance?

si tu as la main complète sur le serveur tu peux jouer avec les droits des fichiers en lecture/ecriture mais ca commence à devenir vite galère malheuresement

et je ne sais pas si tu fais du developpement versionné (si c'est pas le cas regarde du côté de git) comme ca en cas de pépin tu reviens sur la dernière version que tu as.
24/08/2016, 20h16
den66

Merci pour ces conseils avisés.
Je comptais passé de ubuntu 12 à la 14 pour commencer, mais tu as sans doute raison, je devrais faire le grand saut directement !
Sinon, je ne fais pas de dev versionné... il faudrait peut-être que je penche dessus, mais j'avoue que ça dépasse mes compétences... déjà du dev simple... :?
Enfin bref, j'ai eu une proposition d'aide d'un membre du site par couriel privé et je vais surement accepté.
Sinon, le coup des droits est surement une bonne idée pour figer les choses.
Merci pour tous tes conseils et ta patience. :D
25/08/2016, 06h38
Christophe

Plutôt que Drupal, je te conseilles plutôt WordPress. Ce sera plus simple pour toi. Attention aux failles de plugins.
25/08/2016, 11h39
den66

Bonjour Chrstophe,

J'ai entendu pas mal de mal au niveau de la sécurité sur wordpress (plusieurs personnes s'étant fait pirater leur site). Aussi je ne suis pas très chaud.
Je l'ai essayé et je ne suis pas non plus fane de l'interface... j'ai du mal à bien saisir leur logique. Mais merci du tuyau.

Et puis je profite de ce message pour passe la discussion en résolue, même si ce n'est pas tout à fait le cas. Néanmoins, j'ai tous les élément pour essayer de me débrouiller et j'ai reçu quelques proposition d'aide directe.

Merci à tous pour votre contribution.
:chin: :applo: