Server auf Blockliste durch David.fx

Jojo

Hi,

meine vServerIP ist jetzt auf einer Blockliste, da ich Mails von einem meiner Webspace abgrufen habe und irgendwie da was schief gelaufen ist Wie kann das sein? Ich habe zur ZEit nur David.fx auf dem Server installiert. Hier ein Auzug aus der ABUSE-Mail:

Zitat

> Hello Abuse-Team,
>
> your Server with the IP: 83.xxx.xxx.xxx has attacked one of our server/partner on the service:
> "mail" on Time: Wed, 22 Dec 2010 06:55:24 +0100.
> The IP was automatically blocked for more than 10 minutes. To block an IP, it needs
> 3 failed Logins, one match for "invalid user" or a 5xx-Error-Code (eg. Blacklist)!
>
> Please check the machine behind the IP 83.xxx.xxx.xxx (wvpsxx-xx-xx-xx.dedicated.hosteurope.de) and fix the problem.
> Search for AS-Number/IPs from you, look at
>
> You can parse this Mail with X-ARF-Tools from e.g. validatexarf-php.tar.gz.
> You found more Information about X-Arf under
>
> This mail will be resend after one day if more attacks are recognized.
> In the attachment of this mail you can find the original protocols of our systems.
>
> To pause this message for one week, you can insert the IP and E-Mailaddress to our Blocklist.
> If more attacks of your network are recognized after the pause of seven days, the block will
> be canceled and you will get new reports.
>
>
>
> We found your address in the Whois-Data from the IP under the SearchString "abuse-mailbox"
> Answer us to rewrite the address (to abuse-quiet or a special address) for all upcoming reports.
>
>
> ------------------------------
> Martin Schiftan
> This message was sent automatically, please answer us for Questions
> or go to:
> ------------------------------

Alles anzeigen

Dann steht da noch auf der Homepage:

Zitat

24.12.2010 08:39:02 wvps83-xx-xx-xx.dedicated.hosteurope.de postfix DJW | WS1 0 x nicht gelistet
24.12.2010 08:27:02 wvps83-xx-xx-xx.dedicated.hosteurope.de postfix DJW | WS1 2 x nicht gelistet
22.12.2010 06:56:07 wvps83-xx-xx-xx.dedicated.hosteurope.de postfix DJW | WS1 1 x nicht gelistet

Ich habe die Mailabfrage erstmal deaktivert. Das ist von jetzt auf gleich einfach so gekommen.. Ich habe auch nichts am PW geändert...

Hat da jemand nen Tipp, was ich machen kann? Warum das gekommen ist?

DANKE

marvin

In der Abuse E-Mail ist noch eine logfile.log Datei. Die bitte mal posten.

P.S. blocklist.de ist nur ein Dienst, der die Abuse Meldungen generiert und an dem Provider verschickt, z.B. wenn man zu oft ein falsches Passwort beim E-Mail Konto eingebt.
In dem Fall vermute ich einfach, dass für ein E-Mail Konto das Passwort falsch ist.

michael

Hallo,

ich hatte mal ein ähnliches Problem. Da war beim Provider die E-Mailadresse in der Red-List der Firewall gelandet. Habe mir einen Wolf gesucht.

Michael

Jojo

Hallo,

hier die Log

Zitat

> Dec 22 06:32:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:32:06 djw-webspace pop3d: IMAP connect from @ 83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:32:06 djw-webspace pop3d: 1292995926.514718 LOGOUT, user=x@x
> Dec 22 06:34:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:34:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:34:06 djw-webspace pop3d: 1292996046.363093 LOGOUT, user=x@x
> Dec 22 06:36:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:36:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:36:06 djw-webspace pop3d: 1292996166.317670 LOGOUT, user=x@x
> Dec 22 06:38:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:38:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:38:06 djw-webspace pop3d: 1292996286.202799 LOGOUT, user=x@x
> Dec 22 06:40:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:40:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:40:06 djw-webspace pop3d: 1292996406.276682 LOGOUT, user=x@x
> Dec 22 06:42:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:42:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:42:06 djw-webspace pop3d: 1292996526.244404 LOGOUT, user=x@x
> Dec 22 06:44:06 djw-webspace pop3d: Connection, ip=83.xxx.xxx.xxx]
> Dec 22 06:44:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:44:06 djw-webspace pop3d: 1292996646.452829 LOGOUT, user=x@x
> Dec 22 06:44:15 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:44:15 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:44:15 djw-webspace pop3d: 1292996655.157846 LOGOUT, user=x@x
> Dec 22 06:46:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:46:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:46:06 djw-webspace pop3d: 1292996766.373188 LOGOUT, user=x@x
> Dec 22 06:46:49 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:46:49 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:46:49 djw-webspace pop3d: 1292996809.74969 LOGOUT, user=x@x
> Dec 22 06:48:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:48:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:48:06 djw-webspace pop3d: 1292996886.299724 LOGOUT, user=x@x
> Dec 22 06:50:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:50:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:50:06 djw-webspace pop3d: 1292997006.513176 LOGOUT, user=x@x
> Dec 22 06:52:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:52:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:52:06 djw-webspace pop3d: 1292997126.213913 LOGOUT, user=x@x
> Dec 22 06:54:06 djw-webspace pop3d: Connection, ip=[83.xxx.xxx.xxx]
> Dec 22 06:54:06 djw-webspace pop3d: IMAP connect from @ [83.xxx.xxx.xxx]INFO: LOGIN, user=x@x
> Dec 22 06:54:06 djw-webspace pop3d: 1292997246.437724 LOGOUT, user=x@x
> Dec 22 06:55:14 djw-webspace postfix/smtpd[27627]: connect from wvps83.xxx.xxx.xxx.dedicated.hosteurope.de[83.xxx.xxx.xxx]
> Dec 22 06:55:14 djw-webspace postfix/smtpd[27627]: NOQUEUE: reject: RCPT from wvps83.xxx.xxx.xxx.dedicated.hosteurope.de[83.xxx.xxx.xxx]: 554 5.7.1 Service unavailable; Client host [83.xxx.xxx.xxx] blocked using xbl.spamhaus.org; ; from= to= proto=ESMTP helo=<83.xxx.xxx.xxx>
> Dec 22 06:55:14 djw-webspace postfix/smtpd[27627]: disconnect from wvps83.xxx.xxx.xxx.dedicated.hosteurope.de[83.xxx.xxx.xxx]
> Dec 22 06:55:24 djw-webspace postfix/smtpd[28419]: connect from wvps83.xxx.xxx.xxx.dedicated.hosteurope.de[83.xxx.xxx.xxx]
> Dec 22 06:55:24 djw-webspace postfix/smtpd[28419]: NOQUEUE: reject: RCPT from wvps83.xxx.xxx.xxx.dedicated.hosteurope.de[83.xxx.xxx.xxx]: 554 5.7.1 Service unavailable; Client host [83.xxx.xxx.xxx] blocked using xbl.spamhaus.org; ; from= to= proto=ESMTP helo=<83.xxx.xxx.xxx>
> Dec 22 06:55:24 djw-webspace postfix/smtpd[28419]: disconnect from wvps83.xxx.xxx.xxx.dedicated.hosteurope.de[83.xxx.xxx.xxx]

Alles anzeigen

marvin

Also das Mail Abrufen war zwar der Auslöser der Abuse Meldung, aber nur weil deine IP auf der Blacklist von steht.
( Client host [83.xxx.xxx.xxx] blocked using xbl.spamhaus.org; ; )

Zitat

The Spamhaus Exploits Block List (XBL) is a realtime database of IP addresses of hijacked PCs infected by illegal 3rd party exploits, including open proxies (HTTP, socks, AnalogX, wingate, etc), worms/viruses with built-in spam engines, and other types of trojan-horse exploits.

Meine Vermutung:
dein Server verschickt Spammails -> landet daraufhin bei spamhaus.org auf der Blacklist -> beim Empfangen/Abrufen der E-Mails bemerkt "fail2ban" das die IP bei spamhaus.org auf der blacklist ist -> fail2ban schickt eine Abuse-Meldung an blocklist.de -> blocklist.de leitet die Abuse-Meldung weiter an deinen Provider (Host Europe) und Host Europe dann an dich...

"/var/log/mail.log" bzw. "/var/log/mail.info" durchsuchen, ob der Mailserver wirklich missbraucht wurde und dann versuchen bei spamhaus.org aus der Blacklist zu kommen, dann sollte wieder alles funktionieren.

Jojo

Mh.... aber ich benutze den Server nur mit David.fx. Kein anderes Dienst ist gestartet! Ich habe keine mail.log Datei auf meinem Server. Habe gerade durchsucht....

marvin

Mit den Spammails war nur eine Vermutung, kann natürlich auch was anderes sein.

Da steht vermutlich der Grund warum.

Jojo

Hi,

das steht:

83.xxx.xxx.xxx is not listed in the SBL

Also das der nicht gelistet ist... Ich bin verwirrt

marvin

Zitat

Client host [83.xxx.xxx.xxx] blocked using xbl.spamhaus.org

Du musst auch bei XBL gucken.

Jojo

83.xxx.xxx.xxx is not listed in the SBL
83.xxx.xxx.xxx is not listed in the PBL
83.xxx.xxx.xxx is not listed in the XBL

So besser?

marvin

Dann sollte eigentlich auch wieder alles klappen.

Jetzt mitmachen!