Hitta SPAM-avsändare med Exim med SSH

Exim är den meddelandeöverföringsagent (MTA) som installerats med våra WHM / cPanelservrar för att vidarebefordra e-post. Du kan undersöka skräppostproblem i Exim med hjälp av SSH.

Följ förslagen nedan för att hitta orsaken till problemet med skräppost och lär dig hur du åtgärdar det. För att komma igång måste du aktivera administratörsåtkomst på din Gen 3 eller Gen 4- server (om du inte redan har gjort det), ansluta med SSH och växla till rotanvändaren .

Om din server har slutat skicka e-post är det troligt att e-postmeddelanden fastnar i e-postkön. Du kan visa en sammanfattning av Exim-postkön med:

[root @ server ~] # exim -bp | exiqsumm Räkna volym Äldsta Senaste domänen ----- ------ ------ ------ ------ 1621 960KB 4h 5m cooldomain.com -------- -------------------------------------------------- ----- 1621 960KB 4h 5m TOTALT

I vårt exempel finns det för närvarande 1 621 meddelanden fastnade i kön för utgående e-post, som alla skickas till e- postmottagarna på cooldomain.com.

För att undersöka e-postkön och generera en lista med skript som skickar e-post kan du använda:

OBS! Det här kommandot fungerar bara om det finns meddelanden i e-postkön.

[root @ server ~] # för meddelande i $ (exiqgrep -i); gör exim -Mvh $ meddelande | grep "X-PHP-Script" | awk '{print $ 

Utdata visar att ett enda PHP-skript ansvarar för e-postmeddelandena i kön.

Om e-postkön för närvarande är tom måste du söka i Exim-e-postloggen för att avgöra källan till meddelandena. Kör det här kommandot för att hitta eventuella PHP-skript som skickar e-post:

[root @ server ~] # grep cwd / var / log / exim_mainlog | grep -v / var / spool | awk -F "cwd =" '{print $ 2}' | awk '{print $ 1}' | sortera | uniq -c | sortera -rn 1646 / home / coolex / public_html / wp-content / uppladdningar / 2021/11212 / usr / local / cpanel / whostmgr / docroot

Om e-post inte kommer från ett cPanel-konto eller skript kan de komma från ett e-postkonto som konfigurerats på servern. Hög användning kan visa att ett e-postkontos lösenord har komprometterats. Kör det här kommandot för att generera en lista över e-postkonton som är inloggade och har skickat e-post.

[root @ server ~] # grep '_login' / var / log / exim_mainlog | klipp ut -d '_' -f2 | klipp -d ":" -f2 | awk '{print $ 1}' | sortera | uniq -c | sortera -rn | awk '{if ($ 1 > 1) skriv ut $ 0}' 1152 info@coolexample.com 6 frontdesk@coolexample.com

I det här fallet är ett av kontona tydligt ansvarigt för ett stort antal meddelanden. Om du hittar ett liknande problem återställer du lösenordet för kontot, meddelar användaren att de inte kan skicka e-post från sitt konto eller båda.

I extrema fall kan du, efter att ha åtgärdat eventuella problem, upptäcka att e-postkön har ett stort antal skräppost som fortfarande väntar på att skickas tillsammans med legitim e-post. I dessa fall kan du välja att tömma e-postkön så att nya e-postmeddelanden kan bearbetas som vanligt.

Så här tömmer du e-postkön:

för i i $ (exim -bp | awk '{print $ 3}'); gör exim -Mrm $ i; gjort

Relaterade steg

• Skript kan också vara orsaken till SPAM. Se hur du kan aktivera PHPMail-loggning med WHM .
• Vidta åtgärder för att förhindra SPAM-problem på din server .
• Gå tillbaka för att granska skräppostproblem på din server .

Mer information

• Våra serverexperter kan utföra dessa steg mot en avgift. För mer information om våra experttjänster, gå till vår meny med experttjänster .