URL: https://linuxfr.org/users/niol_/journaux/tentatives-r%C3%A9p%C3%A9t%C3%A9es-denvoi-de-spam-par-ma-machine Title: Tentatives répétées d'envoi de spam par ma machine Authors: niol Date: 2005年02月25日T15:24:01+01:00 Tags: Score: 0 Je m'insurge un peu, bien que cela ne soit pas très grave non plus. Je m'explique. Comme beaucoup d'entre nous, j'ai une machine allumé 24h/24 où j'héberge un petit site. Et logiquement, sans pour cela être obsédé par cela, je jette un coup d'oeil aux logs de temps. Et c'est là que je trouve des requêtes http utilisant la méthode CONNECT vers le port 25 de serveurs obscure. Google m'apprends que cette méthode CONNECT est liée à mod_proxy (que je n'ai pas installé avec la version d'apache que j'utilise). J'en déduis donc tout simplement que quelqu'un essaye d'envoyer du spam en utilisant ma machine comme proxy. Extrait des requêtes:

61.31.140.98 - - [22/Feb/2005:13:33:27 +0100] "CONNECT maila.microsoft.com:25 HTTP/1.0" 301 319 "-" "-" 61.31.129.70 - - [25/Feb/2005:12:59:54 +0100] "CONNECT news98.idv.tw:25 HTTP/1.0" 301 319 "-" "-" 61.31.147.188 - - [25/Feb/2005:14:05:20 +0100] "CONNECT news98.idv.tw:25 HTTP/1.0" 301 319 "-" "-"

Bref vous avez compris l'idée générale, et çà depuis un mois, et à peu près toutes les 70 minutes. (le statut 301 est normal, çà vient de la redirection vers le bon nom de domaine).

$ host 61.31.147.188 Name: 61-31-147-188.dynamic.tfn.net.tw Address: 61.31.147.188

Donc un petit mail à abuse@tfn.net.tw (email obtenue à l'aide de la base whois), avec en pièce jointe toutes les lignes apache de la requête en question. Comme je n'ai toujours pas de réponse (mais çà ne fait que deux jours), je décide de regarder un peu plus. Je reprends donc la dernière ligne de mes logs apache pour avoir la dernière adresse ip dynamique, et puis :

$ nmap -sT 61.31.147.188 Starting nmap V. 2.54BETA31 ( www.insecure.org/nmap/ ) Interesting ports on 61-31-147-188.dynamic.tfn.net.tw (61.31.147.188): (The 1548 ports scanned but not shown below are in state: closed) Port State Service 25/tcp open smtp 79/tcp open finger 110/tcp open pop-3 135/tcp filtered loc-srv 1026/tcp open nterm 5631/tcp open pcanywheredata Nmap run completed -- 1 IP address (1 host up) scanned in 68 seconds

Bon, c'est une machine sous windows. Le pop nous donne

$ telnet 61.31.147.188 110 Trying 61.31.147.188... Connected to 61.31.147.188. Escape character is '^]'. +OK ArGoSoft Mail Server, Version 1.8 (1.8.1.1)

Serveur mail proprio... Le finger :

$ finger Administrator@61.31.147.188 [news98.idv.tw] This is news98.idv.tw finger server. Sorry, user Administrator not found

Tient, il se déclare étant news98.idv.tw, et effectivement :

$ host 61.31.147.188 Name: 61-31-147-188.dynamic.tfn.net.tw Address: 61.31.147.188

Ce qui permet de retrouver cet âne à tous les coups. Une recherche Google sur news98.idv.tw me donne quelques exemples d'email de spam envoyés par cet individu, de la pub pour un logiciel[1] pour distribuer des spams! Franchement...

$ whois news98.idv.tw Domain Name: news98.idv.tw Contact: lin zo 777777@msa.hinet.net

J'envoie un petit mail de ce pas. Quels solutions envisageriez vous pour ce genre de problème? Je laisse courir? Je DROP le sous réseau 61.31.0.0/16? Avez vous des expériences de ce genre? [1]http:NOLINK//t988.com.tw/Sagittarius/AnonySagittarius/index.htm