на серваке стоит ДиректАдмин. почтовая программа exim... 

exim перестает работать, так как логи переполня.тся и приходится их чистить...

по логам видно что сервер рассылает спам... 

как выловить спамера? кто встречался с такой проблемой? 

Посмотри заголовки письма
exim -Mvh idписьма
если было скриптами отправлено, то - user@имя_сервера
если было отправлено с другого компа, то посмотреть с какого ip письмо пригло и в /var/log/maillog найти кто авторизовался с этого ip (если не менялись настройки, то по-дефолту в ДА авторизация pop before smtp).
Если пользователей добавляли в trusted_users, то не найдёте.

ограничить отправку писем на некоторое время
http://www.lissyara.su/?id=1239#39.30

Это сообщение отредактировал(а) gcc - 11.11.2008, 18:06

если вам не почикали сервер, то логи читать надо.

любой администратор почтовой службы. стоит посмотреть документацию настройки exim, и связки оной с какой-то защитой от спама, но сначала надо определять задачи правильно - сколько пользователей хотите обслуживать, откуда они могут подключаться, откуда нет, сколько почты послать могут, какой величины аттач и т.д.
это всё описывается в штатной документации.

Логи не могут переполняться. logrotate, кстати, вам в помощь - не как решение проблемы, а как средство ротации логов.

Задача не большая... всего навсего 6-8 аккаунтов... подключаются все из офиса... в сутки не больше 500 писем... Up+Down...




Да точно... оговорился... не логи переполняются, а раздел /var переполняется...


Но проблема другая встала))) exim ваще не запускается)))

лог:

/var/log/maillog: No such file or directory


и даже не создает этот файл...

Он и не должен его создавать. Он должен там быть.

mailog мог быть стерт logrotate-ом, хотя может быть у тебя кто-то в систему лазает.
сделай проверку системы на предмет взломанности, напр. chkrootkit: http://www.chkrootkit.org/


сначала ограничь доступ к серверу, чтобы никто к нему физически не подходил.
потом настрой сетевой доступ только с твоего компа, или с твоим ключом.
естественно выруби рута, чтобы на 
сначала ограничь подключения к сервису - только этим юзерам, т.е. настрой авторизацию.
потом посмотрим.

значт я удалил maillog сам... потому что я логи чистил... 



ограничивать незнаю... разве что по статье которую привел выше gcc... на этом сервере ведь еще куча сайтов наших.... боюсь напортачить...


щас главное поднять exim... он идет вместе с DirectAdmin-ом.... но custombuild не восстанавливает exim....

во-первых оповести своё начальство о возможном взломе. сам факт того, что сервер рассылает спам надеюсь известен им.
чтоб ты понимал: если тебе взломали сервер, то можно огрести даже с юридической т.з., если его не снять с продакшена.
СПАМ - это не самое страшное, что можно сделать.
судя по профессиональному уровню - ты новичок в этом деле. думаю, что лучше зарекоммендовать себя осторожным, который прозрачно работает,
чем тихушником (кстати очень распространенная болезнь среди наших соотечественников), 
который до последнего несет "всё хорошо, прекрасная маркиза", а сообщает о проблемах, когда и коту понятно, что крандец.
доложи корректно: сервер несет спам, причина мне неизвестна, изучаю, но рекомендует народ снять его и проанализировать, дабы чего посерьёзней не произошло.

подумаем, спам может быть:

• 1. извне, и использующий твой сервер как рилэй.
• 2. изнутри - у кого-то стоит бот/вирус, который находит первый попавшийся СМТП, и забивает его, может быть также что этот кто-то сидит у тебя в сети. но тогда ты его можешь найти по ай-пишнику, который коннектится к SMTP.

скорее всего - это 1.
проверить что это 2: для проверки - просто поотключай клиентов из сетки по одному на 15 минут, и смотри логи (maillog создай с правильными разрешениями)
если это 2, если вдруг логи успокаиваются после кого-то и не все еще закончились - не останавливайся на содеянном. прострели все компы.
те кто засветился - антивирус или переустановка.

если не 2, сервер в оффлайн, забекапь его, и начинай ограничивать почтовый сервис, на SMTP запрети рилэй кому не надо, а прямое подключение - только из оффиса и с авторизацией. думаю это уже отключит спаммеров.
если это действительно 2, для мохнатости - у вас мало юзеров, поэтому я даже бы настроил внутренний Certificate Authority, и создал бы SSL сертификаты для сервера, и пользователей сервера. с сертификатами клиентов - чтобы только ваши 10-15 сертификатов могли подключаться вообще.
Это уемньшит шанс на прямую трансляцию довольно сильно. т.е. это разрешит только MUA  с подписанным вашим CA сертификатом. и Аутлук, и птица и все другие поддерживают SSL (т.е. TLS)

удачи.

bilbobagginz, рассылка спама началась с первых же дней поднятия сервера. 
Уже к вечеру того дня я обнаружил айпишку в блэклисте рассылщиков спама (не помню, давно было - год назад).

По поводу сертификации незнаю, все используют клиенты (the bat, outlook). Как ты сам заметил я новичок. 

По поводу администрирования третьим лицом абсолютно согласен и обязательно предложу, хотя уже предлагал. 

На этом тему отмечу как решенный, пока не подниму почтовую программу. 

Спасибо всем. Но я с этим вопросом вернусь еще. 

З.Ы. Иначе по другому не научится.... Вопросы вопросы и еще раз вопросы... получая ответ только продвинешься вперед.

ППКС.
+1