2

Вчера провайдер открыл порт 25 чтобы мой smtp сервер мог отправлять письма сам, без помощи relay сервера. А сейчас посмотрел на логи сервера и они сильно увеличиваются каждую секунду. Приходят запросы на POP3 от каких то непонятных пользователей. marie, jara, sepъlveda, rivera, morais, gonзalves, gonzбles, azevedo и еще кучи других. На что мой сервер отвечает, что требуется указывать полное email имя для авторизации или что пароль не подходит.

Из-за чего это происходит?

"TCPIP" 5104    "2016-02-06 05:29:12.655"   "TCP - 201.27.28.222 connected to 82.151.125.43:110."
"DEBUG" 5104    "2016-02-06 05:29:12.655"   "TCP connection started for session 7796"
"POP3D" 5104    7796    "2016-02-06 05:29:12.655"   "201.27.28.222" "SENT: +OK POP3"
"POP3D" 2452    7771    "2016-02-06 05:29:12.655"   "201.27.28.222" "RECEIVED: QUIT"
"POP3D" 2452    7771    "2016-02-06 05:29:12.655"   "201.27.28.222" "SENT: +OK POP3 server saying goodbye..."
"DEBUG" 2452    "2016-02-06 05:29:12.655"   "Ending session 7771"
"POP3D" 5104    7786    "2016-02-06 05:29:12.655"   "201.27.28.222" "RECEIVED: USER molina"
"POP3D" 5104    7786    "2016-02-06 05:29:12.655"   "201.27.28.222" "SENT: +OK Send your password"
"POP3D" 2452    7778    "2016-02-06 05:29:12.670"   "201.27.28.222" "RECEIVED: PASS ***"
"POP3D" 4740    7773    "2016-02-06 05:29:12.670"   "201.27.28.222" "RECEIVED: QUIT"
"POP3D" 4740    7773    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: +OK POP3 server saying goodbye..."
"DEBUG" 1520    "2016-02-06 05:29:12.670"   "Ending session 7773"
"POP3D" 2452    7778    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: -ERR Invalid user name or password. Please use full email address as user name."
"POP3D" 5104    7785    "2016-02-06 05:29:12.670"   "201.27.28.222" "RECEIVED: USER arias"
"POP3D" 5104    7785    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: +OK Send your password"
"POP3D" 2452    7777    "2016-02-06 05:29:12.670"   "201.27.28.222" "RECEIVED: PASS ***"
"POP3D" 2452    7777    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: -ERR Invalid user name or password. Please use full email address as user name."
"POP3D" 4740    7772    "2016-02-06 05:29:12.670"   "201.27.28.222" "RECEIVED: QUIT"
"POP3D" 4740    7772    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: +OK POP3 server saying goodbye..."
"DEBUG" 5104    "2016-02-06 05:29:12.670"   "Ending session 7772"
"DEBUG" 5104    "2016-02-06 05:29:12.670"   "Creating session 7798"
"TCPIP" 5104    "2016-02-06 05:29:12.670"   "TCP - 201.27.28.222 connected to 82.151.125.43:110."
"DEBUG" 5104    "2016-02-06 05:29:12.670"   "TCP connection started for session 7797"
"POP3D" 5104    7797    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: +OK POP3"
"POP3D" 4740    7770    "2016-02-06 05:29:12.670"   "201.27.28.222" "RECEIVED: QUIT"
"POP3D" 4740    7770    "2016-02-06 05:29:12.670"   "201.27.28.222" "SENT: +OK POP3 server saying goodbye..."
"DEBUG" 2452    "2016-02-06 05:29:12.670"   "Ending session 7770"
"POP3D" 4740    7787    "2016-02-06 05:29:12.686"   "201.27.28.222" "RECEIVED: USER aguirre"
"POP3D" 4740    7787    "2016-02-06 05:29:12.686"   "201.27.28.222" "SENT: +OK Send your password"
"POP3D" 2452    7784    "2016-02-06 05:29:12.702"   "201.27.28.222" "RECEIVED: USER rossi"
"POP3D" 2452    7784    "2016-02-06 05:29:12.702"   "201.27.28.222" "SENT: +OK Send your password"
"POP3D" 4740    7779    "2016-02-06 05:29:12.702"   "201.27.28.222" "RECEIVED: PASS ***"
"POP3D" 4740    7779    "2016-02-06 05:29:12.702"   "201.27.28.222" "SENT: -ERR Invalid user name or password. Please use full email address as user name."
"POP3D" 2452    7788    "2016-02-06 05:29:12.717"   "201.27.28.222" "RECEIVED: USER ramz"
"POP3D" 2452    7788    "2016-02-06 05:29:12.717"   "201.27.28.222" "SENT: +OK Send your password"


Включил TLS требование и через некоторое время запросы прекратились. Сейчас больше не приходят, вот последние строки логов.

"POP3D" 4232    10249   "2016-02-06 05:31:00.639"   "201.27.28.222" "RECEIVED: USER nъсez"
"POP3D" 4232    10249   "2016-02-06 05:31:00.639"   "201.27.28.222" "SENT: -ERR STLS is required."
"POP3D" 4764    10250   "2016-02-06 05:31:00.686"   "201.27.28.222" "RECEIVED: USER hernбndez"
"POP3D" 4764    10250   "2016-02-06 05:31:00.686"   "201.27.28.222" "SENT: -ERR STLS is required."
"POP3D" 1588    10251   "2016-02-06 05:31:00.702"   "201.27.28.222" "RECEIVED: USER gonzбles"
"POP3D" 1588    10251   "2016-02-06 05:31:00.702"   "201.27.28.222" "SENT: -ERR STLS is required."
"POP3D" 4232    10252   "2016-02-06 05:31:00.733"   "201.27.28.222" "RECEIVED: USER gуnzalez"
"POP3D" 4232    10252   "2016-02-06 05:31:00.733"   "201.27.28.222" "SENT: -ERR STLS is required."



"TCPIP" 4232    "2016-02-06 05:32:06.983"   "TCP - 91.238.230.133 connected to 82.151.125.43:25."
"DEBUG" 4232    "2016-02-06 05:32:06.983"   "TCP connection started for session 10077"
"SMTPD" 4232    10077   "2016-02-06 05:32:06.983"   "91.238.230.133"    "SENT: 220 smtp.site.ru"
"SMTPD" 3060    10077   "2016-02-06 05:32:06.999"   "91.238.230.133"    "RECEIVED: EHLO User"
"SMTPD" 3060    10077   "2016-02-06 05:32:06.999"   "91.238.230.133"    "SENT: 250-WIN-3OS58V5F8UK[nl]250-SIZE 20480000[nl]250-STARTTLS[nl]250-AUTH LOGIN PLAIN[nl]250 HELP"
"SMTPD" 4784    10077   "2016-02-06 05:32:07.014"   "91.238.230.133"    "RECEIVED: AUTH LOGIN"
"SMTPD" 4784    10077   "2016-02-06 05:32:07.014"   "91.238.230.133"    "SENT: 334 VXNlcm5hbWU6"
"SMTPD" 3432    10077   "2016-02-06 05:32:07.030"   "91.238.230.133"    "RECEIVED: c3FsZXhlYw=="
"SMTPD" 3432    10077   "2016-02-06 05:32:07.030"   "91.238.230.133"    "SENT: 334 UGFzc3dvcmQ6"
"SMTPD" 4784    10077   "2016-02-06 05:32:07.045"   "91.238.230.133"    "RECEIVED: ***"
"SMTPD" 4784    10077   "2016-02-06 05:32:07.045"   "91.238.230.133"    "SENT: 535 Authentication failed. Restarting authentication process."
"SMTPD" 4232    10077   "2016-02-06 05:32:07.061"   "91.238.230.133"    "RECEIVED: QUIT"
"SMTPD" 4232    10077   "2016-02-06 05:32:07.061"   "91.238.230.133"    "SENT: 221 goodbye"
"DEBUG" 4784    "2016-02-06 05:32:07.061"   "Ending session 10077"
3
  • Непонятно. В тексте говорится об SMTP-сервере и 25 порте. А непосредственно вопрос и логи говорят о POP3 и 110 порте.
    – Yaant
    6 фев 2016 в 5:25
  • @Yaant Ну так есть smtp сервер и pop3(и imap) сервер. До этого smtp сервер работал через relay сервер провайдера и внешний порт 25 у провайдера был закрыт(а на vds моём был открыт), а сейчас сам отправляет письма другим. А боты подключаются к pop3.
    – manking
    6 фев 2016 в 6:03
  • 2
    @manking Я думаю провайдер кроме 25 открыл и 110 порт, а до этого он был закрыт и вы не видели постоянные попытки входа. Это в сегодняшнем интернете совершенно нормальная ситуация, на любой сервис постоянно кто нибудь коннектится пытается взломать и т.п. Если у вас нет снаружи pop3 клиентов, то закройте 110 порт фаерволом
    – Mike
    6 фев 2016 в 9:22

2 ответа 2

5

идет попытка взлома почтовика.

5
  • А зачем? И как понять откуда это идёт, это автомат или человек? Что сделать чтобы этого не было?
    – manking
    6 фев 2016 в 5:17
  • 2
    @manking Зачем? Чтобы потом с вашего почтаря спамить. Автомат или человек? Автомат, естественно! Всё это давно автоматизировано. Откуда? Из бот-сети, "размазанной" по всему миру. Что сделать, чтобы не было? Закрыть порт обратно.
    – user194374
    6 фев 2016 в 5:20
  • @kff А вот я включил TLS и они больше не приходят. Значит c TLS они не будут пытаться взламывать или будут?
    – manking
    6 фев 2016 в 6:04
  • 1
    будут, не обязательно сегодня-завтра. Рекомендовать можно средства блокировки, типа fail2ban для Linux. Тогда попытки взлома минимизируются
    – maint
    6 фев 2016 в 6:09
  • 2
    @manking Опубликовав какой-либо сервис в Интернете, заранее будьте готовы к попыткам взлома. От Вас не отстанут никогда.
    – user194374
    6 фев 2016 в 6:51
1

Поменяйте порт на нестандартный и посмотрите на результат. Например 110 на 9110. Конечно, пров должен открыть для вас этот порт.

1
  • Постарайтесь писать более развернутые ответы. Поясните, на чем основано ваше утверждение? 29 мар 2016 в 5:50

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.