[Techinfo] spammer - hogyan?

[Ferenc Bajan]

Rájöttem, a Joomla tartalmaz phpmailert, a szerver logjában benne volt:
31.184.253.149 - - [12/Nov/2019:21:30:38 +0100] "GET
/index.php?option=com_conta
ct&view=contact&id=1 HTTP/1.1" 200 8840 "-" "-"
31.184.253.149 - - [12/Nov/2019:21:30:39 +0100] "POST
/index.php?option=com_cont
act&view=contact&id=1 HTTP/1.1" 303 - "-" "-"
Nincs szükségem rá, egyelőre átneveztem a com_contact könyvtárat, innen
404-es hiba...

Ferenc Bajan <ferenc.bajan at gmail.com> ezt írta (időpont: 2019. nov. 14.,
Cs, 11:58):

> Sziasztok!
> Mielőtt bárki megijedne, nem technikai segítség kell hozzá, hanem azt
> szeretném tudni, mitől keletkezett.
> Kaptam egy értesítést, hogy a site-omra robot regisztrált, és emaileket
> küld. Joomla fut rajta, a regisztráció le van tiltva, az adatbázisban nem
> látok senkit a két jogosult felhasználón kívül. A jhackguard-log.php-ban
> ilyen sorok vannak:
> 2019-11-14      10:38:39        -       5.101.51.201    -       Changed
> POST value from:
> itt különböző nyelvű, vlszleg spam szövegek
> to:
> ugyanaz még egyszer
>
> Az értesítésben néhány levelet beidéztek fejlécestől, az egyiket
> ideveszem, az érzékeny infókat és a tartalmat kiszedve. Előrebocsátom,
> PHPMailer nincs nálam.
> Ötlet a kivédésre? (Jó, persze, a Joomlát le kéne cserélni újabbra, de
> ezen kívül? Úgy örököltem...)
>
> Headers spool file
> 1iUm3m-002bBj-Iy-H
> xxxxxxxx 741 505
> <xxxxxxxx at azenszolgaltatom.hu>
> 1573626202 0
> -received_time_usec .588412
> -active_hostname azenszolgaltatom.hu
> -ident xxxxxxxx
> -received_protocol local
> -aclc _outgoing_spam_scan 1
> 1
> -body_linecount 5
> -max_received_linelength 231
> -auth_id xxxxxxxx
> -auth_sender xxxxxxxx at azenszolgaltatom.hu
> -allow_unqualified_recipient
> -allow_unqualified_sender
> -local
> -spam_bar /
> -spam_score 0.5
> -spam_score_int 5
> XX
> 1
> email at email.com
>
> 193P Received: from xxxxxxxx by azenszolgaltatom.hu with local (Exim 4.92)
> (envelope-from <xxxxxxxx at azenszolgaltatom.hu>)
> id 1iUm3m-002bBj-Iy
> for email at email.com; Wed, 13 Nov 2019 07:23:27 +0100
> 020T To: email at email.com
> 232  Subject:
> =?utf-8?Q?azenszajtom_megnevezese_Eu_quero_que_?=
> =?utf-8?Q?esta_mensagem_seja_a_raz=C3=A3o_pela_qual_voc=C3=AA_sorri.?=
> 062  X-PHP-Script: www.azenszajtom.hu/index.php for 31.184.253.149
> 081  X-PHP-Filename: /home/xxxxxxxx/public_html/index.php REMOTE_ADDR:
> 31.184.253.149
> 038  Date: Wed, 13 Nov 2019 07:23:22 +0100
> 033* Return-Path: minniko1995 at live.it
> 037F From: jitfgvne <minniko1995 at live.it>
> 066I Message-ID: <2a874e0a71ee84f37649898b6ab69c5b at www.azenszajtom.hu>
> 014  X-Priority: 3
> 064  X-Mailer: PHPMailer (phpmailer.sourceforge.net) [version 2.0.4]
> 018  MIME-Version: 1.0
> 032  Content-Transfer-Encoding: 8bit
> 042  Content-Type: text/plain; charset="utf-8"
> 038  X-OutGoing-Spam-Status: No, score=0.5
> Data spool file
> 1iUm3m-002bBj-Iy-D
> Ez egy Êrdeklődő e-mail a(z) https://www.azenszajtom.hu/ webhelyről,
> melynek feladĂłja:
> jitfgvne <minniko1995 at live.it>
> <nyissz>
>
> --
> --
> ------------------------------------------
>                               Baján Ferenc
>


-- 
--
------------------------------------------
                              Baján Ferenc
--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <http://lista.sulinet.hu/pipermail/techinfo/attachments/20191114/e7942c14/attachment.html>