Sziasztok!
Találtam egy pár eléggé érdekes bejegyzést a logwatch-omban. Segítenétek megszakérteni?1. Adott egy fedorás "szerver" :), Postfix smtp, és egy spam, amit elkapott a clamav:
Blocked SPAM, [24.30.174.0] -> , quarantine: ...
Ezzel eddig nincs is semmi gond.
Viszont nem sokkal alább olvasható a következő bejegyzés, ami miatt már egy kicsit aggódom:
Foreign Bounce:
To blousecanal@rostix.com Msg="host rostix.com[89.108.64.45] said: 554 : Relay access denied (in reply to RCPT TO command" : 1 Time(s)
Különösen a "Foreign Bounce" kifejezés izgat... Ez arra utal, hogy a távoli - közbülső - smtp-n pattant vissza egy levél, és hogy valaki meg tudta próbálni a helyi smtp-n keresztül, kifelé a levélküldést??? Rkhunter nem mutat rootkitet, nincs semmi jele ilyesminek, és hozzátartozik még a dologhoz, hogy -bár nem tudom, mennyit számít - eredményesen teszteltem a szervert az abuse.net relay-teszt funkciójával, nem engedett át semmit.
2. Adott egy szintén fedorás szerver selinuxos httpd-vel, ami 2.2.0-s apache, mögötte egy tomcat, mindkettő névalapú virtuális hosztokkal. Itt más, aggasztó dolgot látok a logwatchban:
Requests with error response codes
400 Bad Request
/: 1 Time(s)
404 Not Found
http://218.150.110.122/index.htm: 1 Time(s)
Az első rendben van, a második viszont nem tetszik. Azok a bejegyzések, amiket eddig láttam, mindig helyi, relatív útvonalak voltak. Hogy kerül ide külső http szerverre mutató link? Valaki "relayként" használja a httpd-met?
Ha valaki megnyugtatna, hogy nincs semmi gond, nyugodtan mehetnék aludni.
Előre is köszi az építő jellegű hozzászólásokat
Chreex
