Làm gì khi VPS bị spam Mail?

Article Number: 104 | Last Updated: Tue, Jun 16, 2015 at 5:47 PM

1. Nhận biết

VPS của bạn tự nhiên chậm, RAM và CPU tăng cao

Email không đến được người nhận

DirectAdmin thông báo lượng mail gửi ra nhiều

Địa chỉ IP bị Blacklist

2. Nguyên nhân

Nếu là máy chủ website có thể source code bạn có vấn đề. Hãy chắc chắn rằng các module, plugin, theme là đáng tin cậy.

SMTP spam: Có thể tài khoản nào đó bị đánh cắp

User chủ động spam mail ra ngoài (Email Marketing)

Do hàm mail() được enable và bị lạm dụng

3. Cách xác định

Step 1: Kiểm tra số lượng mail trong queue. Nếu con số >100 thì cũng đồng nghĩa là VPS đang thực hiện spam mail ra ngoài

exim -bpc

Step 2: Kiểm tra danh sách mail trong queue để biết cụ thể user account mail nào đang thực hiện spam

exim -bp

Step 3: Kiểm tra log mail

cd /var/log/exim
tail -n 100 mainlog |more

hoặc

tail -n 10000 mainlog |grep user@example.com |more // lệnh này sẽ liệt kê log theo user được truy vấn

Step 4: Kiểm tra nội dung mail

exim -Mvh [id] // id dạng 1YlI6V-0004K0-MT

4. Cách khắc phục

Step 1: Trước tiên cần thực hiện xóa/gửi toàn bộ/một mail trong queue

exim -Mrm {message-id} // xóa 1 mail trong queue, id dạng 1YlI6V-0004K0-MT
exim -bp | awk '{ print $3 }' | xargs exim -Mrm // xóa tòa bộ mail trong queue
exim -bpr | grep frozen | awk {'print $3'} | xargs exim -Mrm // xóa tòa bộ mail trong frozen
/usr/sbin/exim -bp |awk '{print $3}' | xargs -n 1 -P 40 /usr/sbin/exim -v -M //gửi toàn bộ mail trong queue

Step 2: Thực hiện config và stop service exim

vim /etc/exim.conf //Chỉnh sửa bất kỳ 1 dòng nào sau đó lưu lại
/etc/init.d/exim stop //Stop service exim

Step 3: Disable hàm mail()

php -i | grep php.ini //Xác định file php.ini

Giả sử kết quả trả về file php.ini nằm trong /usr/local/php54/lib/php.ini

grep disable_functions /usr/local/php54/lib/php.ini //Kiểm tra xem hàm nào bị disable
sed -i 's/disable_functions =/disable_functions = mail/' /usr/local/php54/lib/php.ini //Thực hiện disable hàm mail()
/etc/init.d/httpd restart //Restart service httpd

Step 4: Nếu có sử dụng control DirectAdmin, thực hiện giới hạn email mỗi user được gửi phép gửi ra mỗi ngày

Thực hiện nhập 1 con số trong "Daily Email Limit per DirectAdmin User" để giới hạn mỗi usre được phép gửi ra số lượng mail mỗi ngày, sau đó Save lại

Step 5: Tiến hành suspend user có account mail đang thực hiện spam, sau đó download full source code + database về local và thực hiện scan virus với các chương trình antivirus để kiểm tra

Ngoài ra, cũng có thể sử dụng link https://www.virustotal.com/ để check

Cũng có thể tham khảo 1 số bài biết dưới đây để có thể cài đặt các chương trình scan virus trên VPS nhằm hạn chế vấn đề này.

Cài đặt clamav tại đây hoặc tại đây

Cài đặt Malware Detect tại đây

Nếu IP đã bị blacklist, hãy tham khảo bài viết này để có hướng khắc phục

Mọi yêu cầu cần được hỗ trợ và giải đáp xin vui lòng liên hệ lại vHost

Email: support@vhost.vn

Hotline: 19006806

Website: http://vhost.vn/