[Techinfo] spammer - hogyan?

2019. Nov. 14., Cs, 13:28:12 CET

hello,

Igen, a contact form-on keresztül szoktak spammelni régi jumlikban.  Akkor is ha nincs is kint az oldalon.  

Egyszerűen a bővítményeknél le kell tiltani.

üdv,

Gyafi

From: techinfo-bounces at lista.sulinet.hu [mailto:techinfo-bounces at lista.sulinet.hu] On Behalf Of Ferenc Bajan
Sent: Thursday, November 14, 2019 1:24 PM
To: Techinfo <techinfo at lista.sulinet.hu>
Subject: Re: [Techinfo] spammer - hogyan?

Rájöttem, a Joomla tartalmaz phpmailert, a szerver logjában benne volt:

31.184.253.149 - - [12/Nov/2019:21:30:38 +0100] "GET /index.php?option=com_conta
ct&view=contact&id=1 HTTP/1.1" 200 8840 "-" "-"
31.184.253.149 - - [12/Nov/2019:21:30:39 +0100] "POST /index.php?option=com_cont
act&view=contact&id=1 HTTP/1.1" 303 - "-" "-"

Nincs szükségem rá, egyelőre átneveztem a com_contact könyvtárat, innen 404-es hiba...

Ferenc Bajan <ferenc.bajan at gmail.com <mailto:ferenc.bajan at gmail.com> > ezt írta (időpont: 2019. nov. 14., Cs, 11:58):

Sziasztok!

Mielőtt bárki megijedne, nem technikai segítség kell hozzá, hanem azt szeretném tudni, mitől keletkezett.

Kaptam egy értesítést, hogy a site-omra robot regisztrált, és emaileket küld. Joomla fut rajta, a regisztráció le van tiltva, az adatbázisban nem látok senkit a két jogosult felhasználón kívül. A jhackguard-log.php-ban ilyen sorok vannak:

2019-11-14      10:38:39        -       5.101.51.201    -       Changed POST value from:

itt különböző nyelvű, vlszleg spam szövegek

to:

ugyanaz még egyszer

Az értesítésben néhány levelet beidéztek fejlécestől, az egyiket ideveszem, az érzékeny infókat és a tartalmat kiszedve. Előrebocsátom, PHPMailer nincs nálam.

Ötlet a kivédésre? (Jó, persze, a Joomlát le kéne cserélni újabbra, de ezen kívül? Úgy örököltem...)

Headers spool file
1iUm3m-002bBj-Iy-H
xxxxxxxx 741 505
<xxxxxxxx at azenszolgaltatom.hu <mailto:xxxxxxxx at azenszolgaltatom.hu> >
1573626202 0
-received_time_usec .588412
-active_hostname azenszolgaltatom.hu <http://azenszolgaltatom.hu> 
-ident xxxxxxxx
-received_protocol local
-aclc _outgoing_spam_scan 1
1
-body_linecount 5
-max_received_linelength 231
-auth_id xxxxxxxx
-auth_sender xxxxxxxx at azenszolgaltatom.hu <mailto:xxxxxxxx at azenszolgaltatom.hu> 
-allow_unqualified_recipient
-allow_unqualified_sender
-local
-spam_bar /
-spam_score 0.5
-spam_score_int 5
XX
1
email at email.com <mailto:email at email.com> 

193P Received: from xxxxxxxx by azenszolgaltatom.hu <http://azenszolgaltatom.hu>  with local (Exim 4.92)
(envelope-from <xxxxxxxx at azenszolgaltatom.hu <mailto:xxxxxxxx at azenszolgaltatom.hu> >)
id 1iUm3m-002bBj-Iy
for email at email.com <mailto:email at email.com> ; Wed, 13 Nov 2019 07:23:27 +0100
020T To: email at email.com <mailto:email at email.com> 
232  Subject:
=?utf-8?Q?azenszajtom_megnevezese_Eu_quero_que_?=
=?utf-8?Q?esta_mensagem_seja_a_raz=C3=A3o_pela_qual_voc=C3=AA_sorri.?=
062  X-PHP-Script: www.azenszajtom.hu/index.php <http://www.azenszajtom.hu/index.php>  for 31.184.253.149
081  X-PHP-Filename: /home/xxxxxxxx/public_html/index.php REMOTE_ADDR:
31.184.253.149
038  Date: Wed, 13 Nov 2019 07:23:22 +0100
033* Return-Path: minniko1995 at live.it <mailto:minniko1995 at live.it> 
037F From: jitfgvne <minniko1995 at live.it <mailto:minniko1995 at live.it> >
066I Message-ID: <2a874e0a71ee84f37649898b6ab69c5b at www.azenszajtom.hu <mailto:2a874e0a71ee84f37649898b6ab69c5b at www.azenszajtom.hu> >
014  X-Priority: 3
064  X-Mailer: PHPMailer (phpmailer.sourceforge.net <http://phpmailer.sourceforge.net> ) [version 2.0.4]
018  MIME-Version: 1.0
032  Content-Transfer-Encoding: 8bit
042  Content-Type: text/plain; charset="utf-8"
038  X-OutGoing-Spam-Status: No, score=0.5
Data spool file
1iUm3m-002bBj-Iy-D
Ez egy ĂŠrdeklĹ‘dĹ‘ e-mail a(z) https://www.azenszajtom.hu/ webhelyrĹ‘l,
melynek feladĂłja:
jitfgvne <minniko1995 at live.it <mailto:minniko1995 at live.it> >
<nyissz>

-- 

--
------------------------------------------
                              Baján Ferenc

-- 

--
------------------------------------------
                              Baján Ferenc

--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <http://lista.sulinet.hu/pipermail/techinfo/attachments/20191114/b3bbdb59/attachment.html>