KeyHelp Community

Hallo zusammen,

seit ein paar Tagen füllt sich im Systemstatus das Protokoll der E-Mail-Warteschlange.
Alle Absender sind mit MAILER-DAEMON gekennzeichnet. Da die Empfänger teilweise kryptische Namen mit .icu TLD haben, gehe ich von Spamversand über ein Script aus.

Lässt sich anhand der dazugehörigen ID irgendwo feststellen, von welchem Benutzerverzeichnis bzw. genaugenommen von welchem Script aus diese Mails versendet werden?

Viele Grüße
Björn

Ich weiß genau zu dem was willst gibt es hier nen Beitrag nur find den grad nicht auf anhieb, schau mal durch ansosnten verlink ich den gleich wenn ich zeit hab den rauszukramen

Nachtrag:

Da is der Beitrag viewtopic.php?f=5&t=1725

Hallo,

auf der Shell mit folgendem Befehl ist die fragliche Mail einsehbar, dort sollte sich dann eine Zeile "X-ORIGINATING-SCRIPT" finden lassen.

postcat -q MAILID

Martin wrote: ↑Sun 31. Mar 2019, 20:50 Hallo,

auf der Shell mit folgendem Befehl ist die fragliche Mail einsehbar, dort sollte sich dann eine Zeile "X-ORIGINATING-SCRIPT" finden lassen.

postcat -q MAILID

Das wäre ein schöner Hilfetext für die Seite "E-Mail Warteschlange"

Tobi wrote: ↑Mon 1. Apr 2019, 08:35

Martin wrote: ↑Sun 31. Mar 2019, 20:50 Hallo,

auf der Shell mit folgendem Befehl ist die fragliche Mail einsehbar, dort sollte sich dann eine Zeile "X-ORIGINATING-SCRIPT" finden lassen.

postcat -q MAILID

Das wäre ein schöner Hilfetext für die Seite "E-Mail Warteschlange"

Added

Moin,

Martin wrote: ↑Sun 31. Mar 2019, 20:50 postcat -q MAILID

klasse, vielen Dank!
Nun konnte ich immerhin klären, dass es sich um externen eingetroffenen Spam handelt, der auf eine bei uns eingerichtete Weiterleitung getroffen ist und von GoogleMail wieder abgelehnt wurde.

Viele Grüße
Björn

Könnte man die "X-PHP-Originating-Script" Markierung in der E-Mail zusätzlich um den Pfad zum Script erweitern?
Der Eintrag "class.phpmailer.php" könnte ggf. mehrfach existieren.

Hallo,

nein aber die User ID steht auch dazu und dann braucht man nur im betreffenden Web zu schauen.

Die User ID habe ich wohl bemerkt.
Aber in dem Account gibt es den Webmailer in verschiedenen Projekten unter verschiedenen Pfaden.

Schade, dass das nicht geht.

Hallo,

dann nimmt man grep und sucht im access.log nach POST. Eine Datei die dabei massenhaft aufgerufen wird ist auffällig