[Postfixbuch-users] hack or not? einblicke in's Logfile.

[Ralf Hildebrandt]

* postfix at web-bar.de <postfix at web-bar.de>:
> Hallo Liste,
>  
> was ist hier passiert?
>  
> Kann ich zu 99% davon ausgehen, daß die im Connect gemeldete IP adresse
> stimmt ?

Klar.

> Was hat das mit der Fehlermeldung "sent Message-ID: header instead of
> SMTP command: Message-ID:" verursacht

Steht doch da. Der Client hat Message-ID: header anstelle eines SMTP
commandos gesandt.

> und wurde die Mail trotzdem
> weitergeleitet?

Wohl eher nicht.

> Ich bezweifele, daß die IP Adresse stimmt, da von unterschiedlichen
> Domains & IPs (radio2b.org & sparbiene.de) Mails an identische
> Empfänger gesendet werden sollten.

Was soll das fuer eine Begruendung sein?

> Oct  3 05:06:32 p15141919 postfix/smtpd[15471]: connect from radio2b.org[217.160.110.45]
> Oct  3 05:06:38 p15141919 postfix/smtpd[15471]: 79FCB204067: client=radio2b.org[217.160.110.45]
> Oct  3 05:06:38 p15141919 postfix/smtpd[15471]: 79FCB204067: reject: RCPT from radio2b.org[217.160.110.45]: 554 <jimrant at flashmail.com>:
> Relay access denied; from=<aprilmtankins at acmemail.net> to=<jimrant at flashmail.com> proto=SMTP helo=<217.160.110.45>

Steht doch ganz klar "reject" drin.
217.160.110.45 könnte laut openrbl.org ein offenes Relay sein.

> Oct  3 05:07:28 p15141919 postfix/smtpd[15471]: warning: radio2b.org[217.160.110.45] sent Message-ID: header instead of SMTP
> command: Message-ID: <080076058050049055046049054048046049049048046052053058052058054053056056 at 217.160.110.45
> Oct  3 05:07:42 p15141919 postfix/smtpd[15471]: disconnect from radio2b.org[217.160.110.45]
> Oct  3 05:11:28 p15141919 postfix/smtpd[15500]: connect from radio2b.org[217.160.110.45]
> Oct  3 05:11:34 p15141919 postfix/smtpd[15500]: 430D1204067: client=radio2b.org[217.160.110.45]
> Oct  3 05:11:34 p15141919 postfix/smtpd[15500]: 430D1204067: reject: RCPT from radio2b.org[217.160.110.45]: 554 <jimrant at flashmail.com>:
> Relay access denied; from=<carolynemoore at acmemail.net>
> to=<jimrant at flashmail.com> proto=SMTP helo=<217.160.110.45>

Sieht fast nach offenem Proxy aus.

-- 
Ralf Hildebrandt (Im Auftrag des Referat V a)   Ralf.Hildebrandt at charite.de
Charite Campus Mitte                            Tel.  +49 (0)30-450 570-155
Referat V a - Kommunikationsnetze -             Fax.  +49 (0)30-450 570-916
AIM: ralfpostfix