Re: [問題] always_bcc會有備不到的信嗎?

[JCC (JCC )]

我去看了一下LOG
發現port53/udp活動瀕繁
一堆不同的ip連到這個port
一秒10次到好幾十次之間
請問這樣子有可能是怎麼樣的狀況呢?

※ 引述《JCC (JCC                    )》之銘言：
: 今天中華電信打來說有外國投訴我這邊亂發垃圾信
: 他有跟我講一個ip 我沒仔細聽 反正我就認定是我的linux mail server出問題了
: 然後一看mail server那條線 果然從八月底開始有個1mb左右的流量固定往外送
: 這台上次webmail被猜出密碼後被盜發過一次 我先把webmail整個目錄搬走
: 後來看了webmail的log也沒啥東西
: 用mailq看有些東西卡住 清掉後就好了 也沒啥東西一直出現
: 後來設定了always_bcc把所有信都copy起來一份
: 結果一小時頂多幾十封 都是正常值 沒有爆送東西出去
: 有沒有可能被拿去當發垃圾信但我這邊無法把他copy一份??
: 上次才幾十k的流亮我就被rbl列黑名單了
: 這次查了rbl還沒有被列
: 但linux這台還是有在送東西出去 把他停機後流量就沒有 所以確定是他送的
: 這台除了當mail server之外就只有當web server放個網頁
: 網頁流量應該很小的
: 我的防火牆是fortigate 80c 我有用synology的syslog收他的log
: 這幾天是爆大量沒錯 但實在不知該怎麼分析那log啊
: 請問還有可能是啥原因呢? 有沒可能那個通知的電話跟本是詐騙
: 因為他講話聽起來怪怪的 很詐騙的聲音 但他只問我email 我就跟他講想說也不會怎樣
: 他說會再寄資料給我我也沒收到 我去問企客經理我這到底有沒亂送信也還沒有回應
: 但我有個流量一直出去 到底該怎麼去看這個是什麼東西呢?
: 我這個LINUX就當MAIL跟WEB SERVER DNS 請問我該開哪些PORT給他就好?

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 60.251.161.18
※ 文章網址: http://www.ptt.cc/bbs/Linux/M.1410315880.A.1F1.html
→ chang0206: 如果有開DNS Service，有流量是正常的啊
→ JCC: 這台本身是DNS SERVER 但是流量一向都很小 是這兩週突然飆高
→ JCC: 大約上傳的量有幾百K到1MB DNS一般不會這麼高吧
推 asadfish: 用pflogsumm分析一下maillog…
→ asadfish: 然後DNS看看recursion是不是全開了…
→ JCC: 後來聯絡上中華電信 原來不是這台LINUX出問題 是一般USSER上
→ JCC: 網的IP 不過這台LINUX到底為啥有那樣流量還是搞不清楚 現在得
→ JCC: 另外想辦法去抓是哪一台電腦了\Y
推 noluv: 其實dns被查也有可能是發信出去被對方反查，也有可能是歹人
→ noluv: 在try你的機器。沒有log有可能是被駭之後發信完清掉log，或
→ noluv: 是你用的mail server的log不夠完整…既然確認有不明流量，
→ noluv: 應該還是要處理. 被駭或是被盜mail帳號的可能性都有，要查
推 noluv: PORT的話mail 25 110 143有支援加密要另開web 80 dns 53
→ noluv: 哦 是user的pc的話那就是被駭入裝東西，被當zombie發信了