Регистрация Войти
Рейтинг:1
avatar Server

Как запретить вход sasl_username root?

флаг bo
user102362

Мой сервер Postfix продолжает использоваться спамерами. Вот результат судо postcat -vq для последнего пойманного спам-сообщения:

âââ> sudo postcat -vq 3513818A8A
посткат: name_mask: все
postcat: inet_addr_local: настроено 2 адреса IPv4
postcat: inet_addr_local: настроено 2 адреса IPv6
*** КОНВЕРТЫ ЗАПИСЕЙ deferred/3/3513818A8A ***
размер_сообщения: 8412 720 1 0 8412
message_arrival_time: Чт, 19 августа, 13:35:50 2021
create_time: Чт, 19 августа, 13:35:50 2021
named_attribute: log_ident=3513818A8A
named_attribute: rewrite_context = удаленный
named_attribute: sasl_method=ВХОД
named_attribute: sasl_username=root
отправитель: [email protected]
named_attribute: log_client_name = неизвестно
named_attribute: log_client_address=93.122.252.4
named_attribute: log_client_port=16374
named_attribute: log_message_origin = неизвестно [93.122.252.4]
named_attribute: log_helo_name=109-166-129-221.orangero.net
named_attribute: log_protocol_name = ESMTP
named_attribute: имя_клиента = неизвестно
named_attribute: reverse_client_name = неизвестно
named_attribute: client_address=93.122.252.4
named_attribute: client_port=16374
named_attribute: helo_name=109-166-129-221.orangero.net
named_attribute: имя_протокола = ESMTP
named_attribute: client_address_type=2
named_attribute: dsn_orig_rcpt=rfc822;[email protected]
original_recipient: [email protected]
получатель: [email protected]

На основе этих двух строк:

named_attribute: sasl_method=ВХОД
named_attribute: sasl_username=root

Я считаю, что спамер успешно регистрируется как корень а затем рассылает свои спам-сообщения с моего сервера. И это подтверждается запуском sudo cat /var/log/maillog | grep sasl_username = корень который показывает много записей, таких как:

19 августа 17:13:15 почтовый постфикс/smtpd[11442]: EA58D18CCD: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:17 почтовый постфикс/smtpd[11442]: BDA4E18D32: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:19 почтовый постфикс/smtpd[11442]: 7387E18D31: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:21 почтовый постфикс/smtpd[11442]: 1C0FB18D34: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:22 почтовый постфикс/smtpd[11442]: DCB4418D36: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:24 почтовый постфикс/smtpd[11442]: B62DD18D39: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:26 почтовый постфикс/smtpd[11442]: 6F52B18D38: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:28 почтовый постфикс/smtpd[11442]: 24DEF18D3A: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:29 почтовый постфикс/smtpd[11442]: A30B418D3C: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:31 почтовый постфикс/smtpd[11442]: 88D8318D3B: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root
19 августа 17:13:33 почтовый постфикс/smtpd[11442]: 11F6118D44: client=unknown[93.122.252.4], sasl_method=LOGIN, sasl_username=root

У меня на сервере работает Dovecot, помимо Postfix, поэтому проверка /etc/dovecot/conf.d/10-mail.conf файлы показывает:

# Допустимый диапазон UID для пользователей, по умолчанию 500 и выше. Это в основном
# чтобы убедиться, что пользователи не могут войти в систему как демоны или другие системные пользователи.
# Обратите внимание, что запрет входа в систему с правами суперпользователя жестко запрограммирован в двоичном коде dovecot и не может
# быть выполнено, даже если для first_valid_uid установлено значение 0.
первый_действительный_uid = 1000
#last_valid_uid = 0

Так что теперь я не понимаю, как именно спамеру удается аутентифицироваться как корень. Само собой разумеется корень пользователь отключен в системе.

Любые предложения, как полностью предотвратить sasl_username корень от входа в систему?

240
1 + 2
anx avatar
флаг fr
anx
Я подозреваю, что вы не используете Dovecot для проверки входа в систему sasl. Вывод команды `postconf smtpd_sasl_type` расскажет. Я также сомневаюсь, что у вас есть веская причина принимать аутентифицированные отправки через порт 25 (строка, начинающаяся с `smtp inet`), поэтому просмотрите свой master.cf и убедитесь, что `-o smtpd_sasl_auth_enable=yes` отображается только в службах, предназначенных для отправки. (строка, начинающаяся с `smtps inet` и необязательно `submission inet`).
0
Ответить
флаг bo
user102362
Вы были правы: запуск `postconf smtpd_sasl_type` указал на `cyrus`. Но затем поиск `cyrus` в системе показывает некоторые записи в `selinux` (который отключен) и некоторые в `/usr/share/doc/`, так что никаких файлов конфигурации.
1
Ответить
Рейтинг:1
avatar Server
флаг ec
Jarris

В последнее время у меня было то же самое на моей обновленной коробке Ubuntu. Я уверен, что у меня установлены smtpd_sasl_type = dovecot и smtpd_sasl_path = private/auth.

У меня тот же вопрос, что и у пользователя 102362: когда я читаю это в своей конфигурации:

# Обратите внимание, что запрет входа в систему с правами суперпользователя жестко запрограммирован в двоичном коде dovecot и не может
# быть выполнено, даже если для first_valid_uid установлено значение 0.

Я предполагаю, что невозможно аутентифицироваться как root. Но тогда ПОЧЕМУ это возможно:

19 января 21:16:46 Постфикс VPS/smtpd[9392]: EF1B6BD5B8: client=unknown[213.233.y.x], sasl_method=LOGIN, sasl_username=root

и привело к отправке большого количества нежелательной почты?

Совпадение или нет, но (успешные) аутентификации SASL пришли из одной и той же страны и оператора, поэтому я решил полностью заблокировать следующие блоки:

93.122.128.0/17
213.233.88.0/24
46.97.176.0/21
178.138.64.0/18
109.166.128.0/17

И я изменил пароль root (и других учетных записей).

0 + 0
Рейтинг:1
anx avatar Server
флаг fr
anx

Не зная, кто так настроил эту систему и почему, я не могу дать конкретную рекомендацию. Но я могу сказать, что подавляющее большинство серверов, на которых Dovecot обрабатывает аутентификацию IMAP, хорошо обслуживаются, позволяя Dovecot также обрабатывать аутентификацию SMTP, и именно так ваша конфигурация Dovecot first_valid_uid вступит в силу и для отправки по почте.

Читать соответствующая документация а затем рассмотрите возможность настройки вашего Postfix для отсрочки аутентификации до Dovecot, как правило, эти строки в main.cf:

smtpd_sasl_type = голубятня
smtpd_sasl_path = частный/авторизация

Кроме того, рассмотрите возможность установки smtpd_sasl_auth_enable = нет в main.cf и удаление первого smtpd_sasl_auth_enable=да в твоем master.cf. Аутентификация, как правило, желательна только для служб, предназначенных для отправки (строка, начинающаяся с smtps inet и опционально для отправки inet), поэтому ее следует включать только для одной или двух таких служб через master.cf. Это нарушит работу клиентов, использующих порт 25 для отправки аутентифицированной почты, но такая конфигурация клиентов, вероятно, все равно нуждается в проверке, если вы меняете конфигурацию.

0 + 3
anx avatar
флаг fr
anx
После того, как *новые* отправка будет должным образом ограничена, вам все равно придется иметь дело с ранее отправленной и все еще находящейся в очереди почтой, для этого вы, вероятно, захотите использовать [postsuper](https://serverfault.com/search?q=postsuper).
0
Ответить
флаг bo
user102362
Система была настроена таким образом вместе с Webmin/Virtualmin. Установка `smtpd_sasl_auth_enable=` в `no` в строке, которая начинается с `smtp` в файле master.cf, по-видимому, остановила все нежелательные попытки аутентификации sasl, в то же время предоставив законным пользователям возможность продолжать использовать свои почтовые клиенты. Большое спасибо!
0
Ответить
anx avatar
флаг fr
anx
@user102362 user102362 Просто чтобы быть предельно ясным: отключение функций аутентификации на одном конкретном порту, где это не нужно, может остановить одного конкретного бота, злоупотребляющего вашей неправильно настроенной настройкой аутентификации - * но вы все равно должны исправить * вашу конфигурацию аутентификации, так как ваш сервер все еще может быть взломан таким образом на других портах, используемых законным пользователем!
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.