HILFE !!! Mailserver gehackt ???

[laminar]

hallo,
ich brauche dringend einen tip für folgendes problem:
auf meinem redhat server läuft sendmail als mailprogramm.
seit 2 tagen empfange ich aber keine mails mehr.
wie es aussieht, werden (fast) alle mails nicht mehr in den benutzermailboxen abgelegt, sondern an eine mir unbekannte e-mail adresse versand; das sieht im maillog dann so aus:
---------
Apr 23 10:54:22 ds217-115-144-74 sendmail[6674]: g3N8sM406674: from=<jdommasch@web.de>, size=3030, class=0, nrcpts=1, msgid=<011b01c1eaa4$72874b90$fe78a8c0@JOERGHOME2>, proto=ESMTP, daemon=MTA, relay=smtp01.web.de [194.45.170.210]
Apr 23 10:54:22 ds217-115-144-74 sendmail[6675]: g3N8sM406674: to=rivestjessalin928@gmx.net, delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=32302, relay=mx0.gmx.de. [213.165.64.100], dsn=2.0.0, stat=Sent ({mx001-rz3} ok 1019552086 qp 8530)
---------
das ist wohl das problem:
to=rivestjessalin928@gmx.net
denn die mail hätte ja in einer benutzermailbox landen sollen...

mails die an eine andere domain auf dem selben server gehen, kommen normal an. und/oder auch mails, die ich gleich weiterleite.

wo finde ich die entsprechende einstellung und wie kann sowas passiert sein ????

angesehen habe ich schon die
sendmail.cfg und die
aliases

ratlos...

[ChatErbse]

Für Dich gilt das gleiche, schaue Dir Deine .fetchmailrc an ob dort eine Weiterleitung drin steht.

die Ip ds217-115-144-74 gibt es wirklich, allerdings statt der striche logischerweise punkte...... die gehört dann zu regional24.info und ist sicherlich nicht nicht wirklich daran beteiligt... da ip-nummern nie mit bindestrichen im mailer-log auftauchen. Wobei die IP bei hosteurope liegt und die domain bei puretec.... mmhhhh

grüssle CE

[rabenkind]

hi guy

warum benutzt du auch sendmail ist der unsicherste MTA den es gibt:). steig um auf qmail, seit 3 oder 4 jahren gibt es einen 500$ preis für den der es hackt, bis jetzt hat es keiner geschafft.
qmail anleitung=

http://web.infoave.net/~dsill/lwq.html


hier steht wie die .fetchmailrc aufgebaut ist=

http://www.pc-magazin.de/pclinux/basics/bash/fetchmail.htm

greetz michael

[laminar]

installiert - oder bin ich zu doof es zu finden ?

[rabenkind]

hi guy

fetchmail installiert? gib auf der konsole "rpm -q fetchmail" ein, oder "ps -ef | grep fetchmail".

ansonsten hoffe ich das du webmin hast, dann schau dort unter sendmail nach. dein MTA denkt diese adresse ist nicht local und leitet sie weiter. welche sendmail-parameter das genau sind weiß ich auch nicht, bei qmail heist das local, wird bei dir recht ähnlich sein.

das ist wohl das problem:
to=rivestjessalin928@gmx.net
denn die mail hätte ja in einer benutzermailbox landen sollen...

greetz michael

[laminar]

in /root gibt es eine datei .forward
da steht diese adresse drin!

nun die preisfrage: wie kommt diese datei dort hin?
bedeutet dass autom. dass jemand sich auf den server gehackt hat, oder könnte dass auch nur durch hacken irgendwie von sendmail entstanden sein ??

[rabenkind]

hi laminar

>nun die preisfrage: wie kommt diese datei dort hin?
bedeutet dass autom. dass jemand sich auf den server gehackt hat, oder könnte dass auch nur durch hacken irgendwie von sendmail entstanden sein ??<

sowohl als auch:) , möglich auch das du dich einfach bei der adminarbeit mal vertan hast passiert mir auch hin und wieder(irren ist menschlich).

wenn du dir die logs speziell /var/log/messages anschaust siehst du ja ob jemand versucht hat sich bei dir einzuloggen(es sei denn derjenige hat die logs bearbeitet) da kannst du jetzt eh nicht mehr viel machen. server runter vom netz alle passworte ändern und die datei shadow kontrollieren.
:D qmail installieren ist eh besser und sicherer!!! :D
für die zukunft mal dieses programm installieren
http://software.linux.com/projects/logchecklogsentry/?topic=350,353

ist gut

greetz michael

[termito]

Original geschrieben von laminar

nun die preisfrage: wie kommt diese datei dort hin?
bedeutet dass autom. dass jemand sich auf den server gehackt hat, oder könnte dass auch nur durch hacken irgendwie von sendmail entstanden sein ??

Ich frage erstmal so ; welche Version verwendest du von sendmail ?
Falls du ne Version unter 8.10 verwendest -- dringenst upgraden.