郵件主機被攻擊了嗎?

[sammy]

今早使用者說連不到郵件伺服器,我去看發現.log,長成這樣

2008/01/10:03:05:55 SMTP 61.142.81.37 CN
2008/01/10:03:05:59 SMTP 218.206.74.71 CN
2008/01/10:03:08:22 SMTP 203.162.1.123 CN
2008/01/10:03:08:22 SMTP 91.142.9.149 CN
2008/01/10:03:08:22 SMTP 221.13.32.6 CN
2008/01/10:03:08:22 SMTP 124.30.94.90 CN
2008/01/10:03:08:22 SMTP 195.171.180.194 CN
2008/01/10:03:08:22 SMTP 222.201.158.145 CN
2008/01/10:03:08:22 SMTP 125.248.142.162 CN
2008/01/10:03:08:23 SMTP 211.253.228.118 CN
2008/01/10:03:08:23 SMTP 200.78.117.240 CN
2008/01/10:03:08:30 SMTP 202.51.226.38 CN
2008/01/10:03:08:31 SMTP 61.190.33.214 CN
2008/01/10:03:08:40 SMTP 190.1.189.52 CN
2008/01/10:03:08:44 SMTP 205.209.140.99 CN
2008/01/10:03:08:47 SMTP 60.217.228.198 CN
2008/01/10:03:09:04 SMTP 91.0.251.69 CN
2008/01/10:03:09:08 SMTP 58.244.15.247 CN
2008/01/10:03:09:13 SMTP 205.209.140.99 CN
2008/01/10:03:09:23 SMTP 189.33.52.78 CN
2008/01/10:03:09:33 SMTP 200.112.79.127 CN
2008/01/10:03:09:37 SMTP 200.119.52.1 CN
2008/01/10:03:09:38 SMTP 221.215.129.190 CN
2008/01/10:03:09:44 SMTP 80.251.112.137 CN
2008/01/10:03:09:48 SMTP 60.28.149.108 CN
2008/01/10:03:09:53 SMTP 201.27.178.116 CN
2008/01/10:03:09:53 SMTP 218.63.92.226 CN
2008/01/10:03:09:54 SMTP 200.78.117.240 CN
2008/01/10:03:10:00 SMTP 201.51.95.191 CN
2008/01/10:03:10:03 SMTP 202.152.38.74 CN
2008/01/10:03:10:07 SMTP 218.63.92.130 CN
2008/01/10:03:10:20 SMTP 71.84.20.217 CN
2008/01/10:03:10:36 SMTP 58.61.37.163 CN
2008/01/10:03:10:37 SMTP 200.158.196.90 CN
2008/01/10:03:10:38 SMTP 190.49.7.39 CN
2008/01/10:03:10:39 SMTP 190.49.170.142 CN
2008/01/10:03:10:50 SMTP 212.28.241.186 CN
2008/01/10:03:10:50 SMTP 201.43.74.87 CN
2008/01/10:03:10:54 SMTP 218.63.93.31 CN
2008/01/10:03:10:55 SMTP 222.82.16.200 CN
2008/01/10:03:11:00 SMTP 200.143.73.25 CN
2008/01/10:03:11:04 SMTP 218.63.92.226 CN
2008/01/10:03:11:07 SMTP 61.142.81.37 CN
2008/01/10:03:11:08 SMTP 218.63.92.130 CN
2008/01/10:03:11:11 SMTP 201.220.78.179 CN
2008/01/10:03:11:12 SMTP 213.222.151.95 CN
2008/01/10:03:11:16 SMTP 200.78.117.241 CN
2008/01/10:03:11:17 SMTP 202.80.123.234 CN
2008/01/10:03:11:19 SMTP 211.204.127.35 CN
2008/01/10:03:11:20 SMTP 189.0.250.122 CN
2008/01/10:03:11:21 SMTP 200.78.117.240 CN
2008/01/10:03:11:23 SMTP 220.163.38.141 CN
2008/01/10:03:11:27 SMTP 218.63.92.32 CN
2008/01/10:03:11:32 SMTP 78.54.24.179 CN
2008/01/10:03:11:33 SMTP 218.63.93.121 CN
2008/01/10:03:11:34 SMTP 67.58.217.247 CN
2008/01/10:03:11:35 SMTP 200.74.196.154 CN
2008/01/10:03:11:37 SMTP 190.49.188.23 CN
2008/01/10:03:11:43 SMTP 220.232.137.234 CN
2008/01/10:03:11:45 SMTP 200.187.92.247 CN
2008/01/10:03:11:46 SMTP 201.70.180.68 CN
2008/01/10:03:11:54 SMTP 61.159.254.61 CN
2008/01/10:03:11:55 SMTP 218.63.93.31 CN
2008/01/10:03:11:57 SMTP 76.226.51.132 CN
2008/01/10:03:12:01 SMTP 189.24.130.188 CN
2008/01/10:03:12:01 SMTP 218.206.74.71 CN
2008/01/10:03:12:03 SMTP 201.17.129.168 CN
2008/01/10:03:12:07 SMTP 190.24.178.235 CN
2008/01/10:03:12:09 SMTP 219.232.252.44

.dtl
[2008/1/10 上午 03:08:16] [2616] SMTP 服務接受從 203.162.1.123 來的連線
[2008/1/10 上午 03:08:16] [2628] SMTP 服務接受從 91.142.9.149 來的連線
[2008/1/10 上午 03:08:17] [2652] SMTP 服務接受從 221.13.32.6 來的連線
[2008/1/10 上午 03:08:17] [2660] SMTP 服務接受從 124.30.94.90 來的連線
[2008/1/10 上午 03:08:18] [2668] SMTP 服務接受從 222.201.158.145 來的連線
[2008/1/10 上午 03:08:18] [2736] SMTP 服務接受從 195.171.180.194 來的連線
[2008/1/10 上午 03:08:21] [2808] SMTP 服務接受從 125.248.142.162 來的連線

[2008/1/10 上午 03:08:23] [2808] SMTP 服務接受從 211.253.228.118 來的連線
[2008/1/10 上午 03:08:23] [2864] SMTP 服務接受從 200.78.117.240 來的連線
[2008/1/10 上午 03:08:30] [2992] SMTP 服務接受從 202.51.226.38 來的連線
[2008/1/10 上午 03:08:31] [2992] SMTP 服務接受從 61.190.33.214 來的連線

[2008/1/10 上午 03:08:40] [3228] SMTP 服務接受從 190.1.189.52 來的連線
[2008/1/10 上午 03:08:44] [3472] SMTP 服務接受從 205.209.140.99 來的連線
[2008/1/10 上午 03:08:47] [2616] SMTP 服務接受從 60.217.228.198 來的連線

[2008/1/10 上午 03:09:04] [2660] SMTP 服務接受從 91.0.251.69 來的連線
[2008/1/10 上午 03:09:08] [120] SMTP 服務接受從 58.244.15.247 來的連線
[2008/1/10 上午 03:09:13] [428] SMTP 服務接受從 205.209.140.99 來的連線

[2008/1/10 上午 03:09:23] [2616] SMTP 服務接受從 189.33.52.78 來的連線
[2008/1/10 上午 03:09:33] [2668] SMTP 服務接受從 200.112.79.127 來的連線

[2008/1/10 上午 03:09:37] [2736] SMTP 服務接受從 200.119.52.1 來的連線
[2008/1/10 上午 03:09:38] [2628] SMTP 服務接受從 221.215.129.190 來的連線
[2008/1/10 上午 03:09:44] [2992] SMTP 服務接受從 80.251.112.137 來的連線
[2008/1/10 上午 03:09:48] [2864] SMTP 服務接受從 60.28.149.108 來的連線
[2008/1/10 上午 03:09:53] [2652] SMTP 服務接受從 201.27.178.116 來的連線
[2008/1/10 上午 03:09:53] [3228] SMTP 服務接受從 218.63.92.226 來的連線
[2008/1/10 上午 03:09:54] [2808] SMTP 服務接受從 200.78.117.240 來的連線

[2008/1/10 上午 03:10:00] [2976] SMTP 服務接受從 201.51.95.191 來的連線
[2008/1/10 上午 03:10:03] [3032] SMTP 服務接受從 202.152.38.74 來的連線
[2008/1/10 上午 03:10:07] [3032] SMTP 服務接受從 218.63.92.130 來的連線

[2008/1/10 上午 03:10:20] [120] SMTP 服務接受從 71.84.20.217 來的連線
[2008/1/10 上午 03:10:36] [2992] SMTP 服務接受從 58.61.37.163 來的連線

[2008/1/10 上午 03:10:37] [428] SMTP 服務接受從 200.158.196.90 來的連線
[2008/1/10 上午 03:10:38] [2616] SMTP 服務接受從 190.49.7.39 來的連線
[2008/1/10 上午 03:10:39] [428] SMTP 服務接受從 190.49.170.142 來的連線
[2008/1/10 上午 03:10:50] [2668] SMTP 服務接受從 212.28.241.186 來的連線
[2008/1/10 上午 03:10:50] [2628] SMTP 服務接受從 201.43.74.87 來的連線
[2008/1/10 上午 03:10:54] [3472] SMTP 服務接受從 218.63.93.31 來的連線
[2008/1/10 上午 03:10:55] [1752] SMTP 服務接受從 222.82.16.200 來的連線

[2008/1/10 上午 03:11:00] [2652] SMTP 服務接受從 200.143.73.25 來的連線
[2008/1/10 上午 03:11:04] [2808] SMTP 服務接受從 218.63.92.226 來的連線
[2008/1/10 上午 03:11:07] [2976] SMTP 服務接受從 61.142.81.37 來的連線
[2008/1/10 上午 03:11:08] [324] SMTP 服務接受從 218.63.92.130 來的連線
[2008/1/10 上午 03:11:11] [720] SMTP 服務接受從 201.220.78.179 來的連線
[2008/1/10 上午 03:11:12] [1752] SMTP 服務接受從 213.222.151.95 來的連線

[2008/1/10 上午 03:11:16] [3520] SMTP 服務接受從 200.78.117.241 來的連線
[2008/1/10 上午 03:11:17] [1584] SMTP 服務接受從 202.80.123.234 來的連線
[2008/1/10 上午 03:11:19] [812] SMTP 服務接受從 211.204.127.35 來的連線
[2008/1/10 上午 03:11:20] [812] SMTP 服務接受從 189.0.250.122 來的連線
[2008/1/10 上午 03:11:21] [812] SMTP 服務接受從 200.78.117.240 來的連線
[2008/1/10 上午 03:11:23] [2104] SMTP 服務接受從 220.163.38.141 來的連線
[2008/1/10 上午 03:11:27] [912] SMTP 服務接受從 218.63.92.32 來的連線
[2008/1/10 上午 03:11:32] [120] SMTP 服務接受從 78.54.24.179 來的連線
[2008/1/10 上午 03:11:33] [2616] SMTP 服務接受從 218.63.93.121 來的連線
[2008/1/10 上午 03:11:34] [1752] SMTP 服務接受從 67.58.217.247 來的連線
[2008/1/10 上午 03:11:35] [2508] SMTP 服務接受從 200.74.196.154 來的連線



然後無法上網,但是ping 的到,我將防火牆設為每小時50次就鎖住ip,但是連近來的ip都不一樣,根本沒法封鎖ip,

安全模式的網路功能也是ping的到但無法上網,
關機種開後一樣一直有smtp連線,
後來我重新安裝mail,更換ip似乎才平靜下來,換過防毒與木馬掃描,
但一樣ping的到 卻無法上網,後來使用winsock and tcp/ip 修復才慢慢修復好

請問大大,我該怎樣防範這種狀況呢,謝謝

雷電MAILDXP v1.9 Release 14 file update 5 (built at 2007/12/25)
_________________
感謝雷電團隊與所有回答問題的高手們以及KOJL, Arnor版主,讓我輕鬆架起功能強大的e-mail 伺服器...謝謝你們無私的奉獻與指導,在此感激

[Arnor]

這種情況無法妨止.
只能用防火牆把IP 被擋掉.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

[sammy]

可是有那樣多ip,我要怎樣一個個加進去防火牆?或者用哪一種方式會比較快呢?

再請教一下關於.cmd紀錄,小弟有些不解,是否可以稍微說明一下呢?謝謝
我擷取一個來貼上,並試著了解其動作
2008/01/10:02:09:10 SMTP 219.91.98.212 HELO 59.124.89.133
2008/01/10:02:09:10 SMTP 219.91.98.212 MAIL FROM: <xquuxk>
2008/01/10:02:09:11 SMTP 219.91.98.212 RCPT TO: <buccaneer>
ip 219.91.98.212 為何又是59.124.89.133連進來?
219.91.98.212 從 msa.hinet.net 寄信來,寄到我buccaneer的帳號

2008/01/10:00:04:13 SMTP 202.102.7.133 HELO 59.124.89.133
2008/01/10:00:04:14 SMTP 202.102.7.133 MAIL FROM: <ltgmn>

2008/01/10:00:04:14 SMTP 202.102.7.133 RCPT TO: <asd>
2008/01/10:00:04:25 SMTP 202.102.7.133 RCPT TO: <ao2211>
2008/01/10:00:04:35 SMTP 202.102.7.133 QUIT

ip 202.102.7.133 假冒 59.124.89.133 進行smtp連線?
ltgmn.gjjxwb@msa.hinet.net 由這個帳號寄信到asd@yam.com.tw與ao2211@yam.com.tw?

這樣我不就成為廣告信主機了?
還請指導謝謝喔
_________________
感謝雷電團隊與所有回答問題的高手們以及KOJL, Arnor版主,讓我輕鬆架起功能強大的e-mail 伺服器...謝謝你們無私的奉獻與指導,在此感激

[Arnor]

[sammy]

謝謝素大指導,小弟還有一事不解,請不吝教導...

滑鼠右鍵

加進拒絕ip/DOMAIN 清單
加進防火牆拒絕清單

這兩個有啥麼不一樣呢?
麻煩指導...謝謝
_________________
感謝雷電團隊與所有回答問題的高手們以及KOJL, Arnor版主,讓我輕鬆架起功能強大的e-mail 伺服器...謝謝你們無私的奉獻與指導,在此感激

[Arnor]

這要配合 OSI 7 層說明
http://blog.csdn.net/Blade7/archive/2006/01/02/568569.aspx


IP/Domain Deny List 是在第7層應用程式的動作, 所以maild 一定都是接到連線再斷線

Firewall 層級的動作都是 3 或 4 的動作, 所以當第 3 或 4 層接到封包就把它丟棄的話, 連線是進不到第 7 層的應用程式的.

差別就在這.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/

[sanyu]

可以列出您的硬體配備嗎?
我的伺服器也常遇到這種情況，不過他過不久就被我 server 自動踢掉了，我猜你的 server 或防火牆無法負荷大量連線數所以會 hold 住~

[sammy]

[Eagle]

[sammy]

[/quote]
請問你的電腦 是否只做Mail_SERVER....(如果不是那什麼問題都有可能...)
我用過P3的電腦架過1500人的都沒有事.....
你要列出....這300個人的寄件量及收件量才有用.....
使用者的使用Mail習慣很重要....
先了解一下使用者的l習慣....再看看要升級記憶体或網路速度....[/quote]


我只有做mail server 其他服務都關掉了
_________________
感謝雷電團隊與所有回答問題的高手們以及KOJL, Arnor版主,讓我輕鬆架起功能強大的e-mail 伺服器...謝謝你們無私的奉獻與指導,在此感激

[Arnor]

被攻擊大多都是一時的, 應該也不是那IP特意的行為, 可能是中病毒或後門惹得禍吧, 暗地裡變成後門程式的一份子才會變成幫兇.
_________________
*若是想問問題的話, 請務必不要塗改任何 IP, 網域資料, 您若不願貼上IP或網域, 請改以電子郵件來詢問. 謝謝您的配合.*
*若是回報疑似軟體的運行或邏輯或資料處理有誤的問題, 小弟很樂意去了解您的情況, 但請務必以最新版來做回報, 如果以郵件詢問, 請參考 http://www.raidenmaild.com/tw/feedback.html 的說明, 最好標題加個 RaidenMAILD 字樣, 才不致會遺漏了您的信唷. 謝謝您的配合^^*
*在版上發文請遵守網路禮儀, 並請持著虛心敘述問題請教他人, 凡發現違反的文, 均一律刪除為優先, 不另行通知喔.
*與使用者教學相長腦力激盪是我輩成就感的來源, 誠心希望您能不吝指教.
*雷電MAILD 知識庫文件 http://www.raidenmaild.com/tw/kb/

素還尊
Team John Long.
Email: arnor@raidenmaild.com
公司網站 http://www.raidenmaild.com/company/