|
http://www.hackerschool.org/HS_Boards/zboard.php?id=QNA_linux&no=1942 [복사]
===============================================================================
>Linux 서버가 스팸 릴레이 or 스팸 발송지로 사용되고 있는것 같습니다.
>
>tcp 0 0 147.46.56.69:48291 216.93.66.112:25 TIME_WAIT timewait (30.00/0/0)
>tcp 0 1731 147.46.56.69:43714 67.28.113.19:25 ESTABLISHED on (0.70/0/0)
>tcp 0 0 147.46.56.69:45449 64.70.34.196:25 TIME_WAIT timewait (44.73/0/0)
>tcp 0 0 147.46.56.69:60188 205.188.159.217:25 TIME_WAIT timewait (8.91/0/0)
>tcp 0 0 147.46.56.69:60266 205.188.159.217:25 TIME_WAIT timewait (17.01/0/0)
>tcp 0 1 147.46.56.69:33619 67.28.113.11:25 SYN_SENT on (0.95/1/0)
>tcp 0 1 147.46.56.69:51292 200.31.30.44:25 SYN_SENT on (2.69/0/0)
>tcp 0 0 147.46.56.69:44465 216.247.140.222:25 TIME_WAIT timewait (5.11/0/0)
>tcp 0 7 147.46.56.69:48347 64.37.76.162:25 FIN_WAIT1 on (0.32/0/0)
>tcp 0 1 147.46.56.69:57971 205.178.189.131:25 SYN_SENT on (19.56/3/0)
>tcp 0 0 147.46.56.69:37580 65.254.254.56:25 TIME_WAIT timewait (50.38/0/0)
>
>
>위와같이 Netstat 를 통해 확인한 정보입니다..
>windows 처럼 PID 이 바로 나오는게 아니라.
>어떠한 순서로 추적해서 해당 프로세서를 죽이고 제거를 해야하는지..
>
>조언좀 부탁드립니다..
>감사합니다..
===============================================================================
위 netstat 정보를 통해 soarrr님이 관리하시는 서버에서 다른 E-Mail 주소로
메일을 발송하고 있음을 알 수 있습니다. 메일을 전달하기 위해선 상대방
E-Mail 주소에 해당하는 Mail Server에 접속해야 하는데, 그 때 사용되는
포트가 위에서 보이는 바와 같은 25번(SMTP)이기 때문입니다.
제 3자가 soarrr님의 서버를 이용하여 다른 E-Mail 주소로 메일을 발송하는
방법들은 다음과 같습니다.
soarrr님의 서버를 A, 제 3자를 C라고 했을 때,
1. C가 A 서버의 25번 포트에 접속한 후 SMTP 명령을 이용하여 메일 발송
==> 위 netstat 결과를 보면 특정 IP(C)가 현 서버(A)의 25번 포트로 접속한
정보가 없기 때문에 이 경우는 아닙니다. (허나, 위 netstat 정보가 전체 출력
결과를 복사한 것은 아닌 것 같네요. 직접 한번 확인해 보시고요.)
2. C가 A 서버로 터미널 접속을 한 후 mail 명령을 이용하여 메일 발송
==> A 서버의 25번 포트로 접속하지 않더라도, A 서버의 쉘 권한을 얻은 후
/bin/mail 프로그램을 이용하여 이 /bin/mail 프로그램이 다시 localhost의
25번 포트로 접속하여 메일을 발송합니다. 따라서, C의 IP가 직접적으로
A의 25번 포트에 연결된 모습이 netstat에 나타나지 않습니다.
하지만, 터미널 접속을 했다면 22번(SSH)나 23번(TELNET) 등에 나타나겠죠.
이 정보를 확인하면 됩니다.
3. Web 메일 전송 프로그램을 이용하여 메일을 발송하는 경우
==> PHP로 예를 들면, mail()이라는 함수를 이용하여 메일을 발송할 수 있습니다.
이 때엔 C의 IP가 A의 80번 포트에 연결된 것으로 나타납니다.
위 1번의 경우엔 최근 외부에서 SMTP 서버에 접속할 경우 LOCAL 사용자를 제외한
E-Mail 사용자에게 메일을 전송하는 것이 금지되어 있기 때문에 가능성이 적고,
2번 또한 서버가 크래킹당하지 않은 이상 가능성이 적으므로, 이 3번에 해당할
가능성이 가장 큽니다. 이 경우엔 메일 발송 역할을 하는 그 Web 프로그램을
찾아 조치를 취하는 방법으로 해결하시면 되겠습니다.
grep mail * -R 과 같은 명령으로 mail 함수를 검색하여 찾으면 됩니다.
도움이 되셨길 바랍니다. |
Hit : 2323 Date : 2006/06/14 07:13
|
3923, 
11/197 
멍멍
