Fil-qosor: Meta s-server jibgħat spam, ġeneralment hemm waħda minn tliet kawżi: skript ta' PHP introdott jew użat ħażin, kaxxa tal-posta b'password misruqa jew server tal-posta ikkonfigurat ħażin. Salva ftit mill-posta li qed tistenna, aqra l-headers tagħha u l-log tal-posta, u fil-biċċa l-kbira tal-każijiet issib is-sors. Wara waqqaf l-ibgħat, agħlaq il-kawża u biss imbagħad itlob it-tneħħija mil-listi tal-imblukkar.
Meta l-klijenti jsibu l-fatturi tiegħek fil-folder tal-ispam
Rari tibda b'avviż tas-sigurtà. Ġeneralment jikkuntattjawk klijenti li ma jirċevux aktar l-offerti tiegħek, jew il-kaxxa tal-posta timtela b'messaġġi ta' ritorn dwar posta li ħadd qatt ma kiteb. Kultant il-hoster jimblokka l-ibgħat u jsemmi bħala raġuni traffiku tal-posta mhux tas-soltu.
Għall-kumpanija dan malajr għandu konsegwenzi li jinħassu. Jekk l-indirizz tas-server jinsab fuq lista tal-imblukkar, servers oħra tal-posta jirrifjutaw anke l-posta vera tiegħek: fatturi, konfermi tal-ordnijiet, links tal-password mill-ħanut. Ir-reputazzjoni tad-dominju tbati, u l-ħsara tikber ma' kull siegħa li fiha l-ibgħat ikompli.
L-ibgħat ta' spam jappartjeni fost il-konsegwenzi magħrufa ta' kompromess. Wara PHP2Shell, il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 b'eżekuzzjoni ta' kodiċi mingħajr login, huwa raġuni oħra biex tħares mill-qrib. Indikazzjoni speċifika ta' PHP2Shell, madankollu, spam mhuwiex; Indicators of Compromise ikkonfermati ma hemmx. Sinjali ġenerali oħra jiddeskrivihom Diġà kompromess?.
Tliet kawżi tipiċi meta s-server jibgħat spam
| Kawża | Stampa tipika | Fejn tħares |
|---|---|---|
| Skript PHP introdott | Posta mingħajr login, imwassla lokalment permezz ta' sendmail |
Headers, log tal-posta ta' PHP, fajls ġodda ta' PHP |
| Formola użata ħażin | Posta permezz ta' formola ta' kuntatt jew ta' rakkomandazzjoni lil riċevituri barranin | Log tal-aċċess tal-formola, headers |
| Kaxxa tal-posta maħtufa | Ibgħat b'login validu fuq is-server tal-posta | Log tal-posta bl-isem tal-login, postijiet tal-login |
| Server tal-posta miftuħ | Mittenti barranin jużaw is-server tiegħek bħala relay | Konfigurazzjoni tas-server tal-posta, verifika esterna |
L-ewwel żewġ kawżi jolqtu l-websajt, it-tielet il-kontijiet tal-posta, ir-raba' l-konfigurazzjoni tas-server. Id-distinzjoni hija importanti, għax il-miżuri kontra huma kompletament differenti.
Aqra l-kju tal-posta
Fuq servers b'Postfix il-kju juri dak li bħalissa għandu jintbagħat. Il-kmandi li ġejjin jaqraw biss:
# Uri l-kontenut tal-kju (jikkorrispondi għal mailq)
postqueue -p | tail -30
# Uri l-headers ta' posta waħda (daħħal l-ID tal-kju mil-lista)
sudo postcat -q -h QUEUE-ID
# Logins b'suċċess fuq is-server tal-posta bl-isem tal-utent
sudo grep 'sasl_username=' /var/log/mail.log | awk -F'sasl_username=' '{print $2}' | sort | uniq -c | sort -rn | head
L-headers spiss diġà juru s-sors. Jekk il-posta ġejja minn kaxxa tal-posta illoggjata, l-isem tal-login jidher fil-log tal-posta. Jekk hemmhekk jiġbor kont wieħed b'logins minn pajjiżi barranin, il-password ta' din il-kaxxa tal-posta bi probabbiltà kbira saret magħrufa. Jekk il-posta, min-naħa l-oħra, ġiet imwassla lokalment, ġeneralment tiġi minn skript fuq is-server.
Jekk fuq is-server tiegħek taħdem server ieħor tal-posta, pereżempju Exim, il-kmandi jvarjaw, il-prinċipju jibqa' l-istess: ħares lejn il-kju, aqra l-headers, għodd il-logins fil-log. Fil-hosting kondiviż mingħajr aċċess għal shell itlob lill-hoster bil-miktub estratt mil-log tal-posta u ftit eżempji ta' posta bl-headers sħaħ. Ħafna hosters jipprovdu dawn id-dettalji fuq talba, għax huma stess għandhom interess li jtemmu l-ibgħat.
Salva ftit messaġġi sħaħ, qabel twaqqaf jew tbattal il-kju. Huma provi għall-analiżi aktar tard u għal diskussjonijiet mal-hoster jew mal-operaturi tal-listi tal-imblukkar.
Sib l-iskript PHP responsabbli
Jekk l-ibgħat jgħaddi minn PHP, jgħin il-konfigurazzjoni tal-posta ta' PHP. Skont il-manwal ta' PHP, mail.log jirreġistra kull sejħa tal-funzjoni mail() bil-mogħdija sħiħa tal-iskript, in-numru tal-linja, ir-riċevitur u l-headers. mail.add_x_header jikteb addizzjonalment header X-PHP-Originating-Script bl-identifikatur tal-utent u l-isem tal-fajl f'kull posta.
; Fil-php.ini jew fil-pool FPM, wara erġa' ibda l-workers kollha
mail.add_x_header = On
mail.log = /var/log/php/mail.log
Il-fajl tal-log irid jista' jinkiteb mill-proċess ta' PHP. L-header juri lir-riċevituri isem ta' fajl; itfih mill-ġdid wara l-analiżi, jekk ma tridx iżżommu b'mod permanenti.
Jekk bħala mittenti jinstab fajl mhux magħruf, pereżempju fil-folder tal-upload jew tal-cache, dan huwa indikazzjoni ta' webshell. Kif tikklassifika fajls bħal dawn jiddeskrivih Agħraf u neħħi webshells. Jekk, min-naħa l-oħra, hija formola ta' kuntatt magħrufa, probabbilment ġiet użata ħażin, pereżempju għax ir-riċevituri jew l-headers jittieħdu mill-input tal-formola. Dan huwa żball fil-kodiċi, mhux dħul, imma għandu jiġi rranġat bl-istess rapidità.
Mhux kull spam juża l-funzjoni mail(). Kodiċi malizzjuż jista' jibni wkoll direttament konnessjoni lejn servers barranin tal-posta. Imbagħad l-ibgħat ma jidhirx la fil-kju u lanqas fil-log tal-posta ta' PHP, imma bħala konnessjonijiet ħerġin fuq il-port 25. Kif tiċċekkjahom jinsab taħt Iċċekkja l-konnessjonijiet ħerġin ta' server.
Waqqaf l-ibgħat u erġa' ibda b'mod nadif
Meta s-sors jinstab, jsegwi t-tindif f'din is-sekwenza:
- Waqqaf l-ibgħat: Imblokka t-triq affettwata, jiġifieri iddiżattiva l-iskript, imblokka l-kaxxa tal-posta jew waqqaf il-kju. Salva l-posta li qed tistenna bħala prova.
- Agħlaq il-kawża: F'każ ta' webshell ġib PHP għal stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat), erġa' ibda l-workers kollha u naddaf il-websajt. F'każ ta' formola irranġa l-kodiċi. F'każ ta' kaxxa tal-posta biddel il-password u iċċekkja l-apparat tal-utent.
- Fittex traċċi oħra: Min jibgħat spam permezz ta' webshell spiss waqqaf backdoors oħra.
- Illimita l-ħruġ: Ippermetti konnessjonijiet ħerġin fuq il-port 25 biss għas-server tal-posta, mhux għall-utent tas-server tal-web.
- Naddaf il-listi tal-imblukkar: Biss issa itlob mingħand l-operaturi tal-listi tal-imblukkar it-tneħħija u iddeskrivi fil-qosor x'ġie rranġat.
F'din l-okkażjoni iċċekkja SPF, DKIM u DMARC tad-dominju tiegħek. Dawn id-daħliet tad-DNS jistabbilixxu liema servers jistgħu jibagħtu f'isem id-dominju tiegħek, u jagħmluha aktar diffiċli għal barranin li jabbużaw mill-indirizz tal-mittent tiegħek.
Kif tgħin PHP SOS b'mod konkret?
- Nevalwaw il-kju, l-headers u l-logs tal-posta u niddeterminaw jekk skript, formola, kaxxa tal-posta jew konfigurazzjoni huma l-kawża.
- Inwaqqfu l-ibgħat b'mod ikkontrollat u nsalvaw provi għall-hoster u għal-listi tal-imblukkar.
- Intnaddfu l-websajt fil-qafas tat-Tneħħija tal-malware u nagħlqu l-bieb tad-dħul.
- Nillimitaw it-traffiku tal-posta ħerġin fil-livell tas-server u nakkumpanjaw it-tneħħija mil-listi tal-imblukkar.
Mistoqsijiet frekwenti
Kif nagħraf li s-server tiegħi jibgħat spam?
Tipiċi huma messaġġi ta' ritorn dwar posta li ħadd ma kiteb, avviżi mill-hoster, kju tal-posta mimli u klijenti li fl-għarrieda jsibu l-posta tiegħek fil-folder tal-ispam. Anke daħliet tal-indirizz tas-server tiegħek fuq listi pubbliċi tal-imblukkar huma sinjal ċar.
Kif insib l-iskript PHP li jibgħat l-ispam?
PHP jista' jirreġistra kull sejħa tal-funzjoni mail() bil-mogħdija tal-iskript, jekk mail.log huwa ssettjat. B'mail.add_x_header PHP jikteb l-isem tal-iskript addizzjonalment fl-header ta' kull posta. Fil-posta diġà mibgħuta jew li qed tistenna jgħin li tħares lejn l-headers.
Għandi nbattal minnufih il-kju tal-posta?
Mhux qabel ma tkun salvajt xi ftit messaġġi bħala prova. L-headers spiss juru liema skript jew liema kaxxa tal-posta attivat l-ibgħat. Li twaqqaf ġeneralment huwa aħjar milli tħassar, sakemm is-sors ikun magħruf.
Kif noħroġ mil-listi tal-imblukkar?
L-ewwel neħħi l-kawża, imbagħad għand l-operaturi rispettivi tal-listi talbu t-tneħħija. Il-biċċa l-kbira jitolbu spjegazzjoni ta' x'ġie rranġat. Min jitlob kmieni wisq u jkompli jibgħat spam jerġa' jiġi elenkat.