邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 是否有人在试我们的密码？ [打印本页]

作者: 法拉力 时间: 2009-1-12 18:50
标题: 是否有人在试我们的密码？
看日志发现许多应用程序事件，每天有不同的IP地址，**** ALERT **** 58.41.131.29 gave false logon/password to POP server; user: yangcw@my.com [EvSecurity]
同时找到pop log，确实密码没有试成功：
Mon 2009-01-12 00:43:10: Session 4981; child 1
Mon 2009-01-12 00:43:10: Accepting POP connection from [58.41.131.29 : 11632]
Mon 2009-01-12 00:43:10: --> +OK my.com POP MDaemon 8.0.3 ready <MDAEMON-F200901120043.AA4310871MD0332@my.com>
Mon 2009-01-12 00:43:10: <-- USER yangcw
Mon 2009-01-12 00:43:10: --> +OK yangcw... User ok
Mon 2009-01-12 00:43:10: <-- PASS ******
Mon 2009-01-12 00:43:10: --> -ERR access denied
Mon 2009-01-12 00:43:10: POP session terminated, (Bytes in/out: 25/136)
但我又同时发现这个log，在试我们的密码吧？这是连接成功了还是连接没有成功，有很多这种连接（肯定不是我们自己的用户在连接，因为这个地址连接了很多账户），不会已经被他们破解成功了吧：
Mon 2009-01-12 00:43:10: Session 4980; child 1
Mon 2009-01-12 00:43:10: Accepting POP connection from [58.41.131.29 : 11631]
Mon 2009-01-12 00:43:10: --> +OK my.com POP MDaemon 8.0.3 ready <MDAEMON-F200901120043.AA4310543MD1537@my.com>
Mon 2009-01-12 00:43:10: <-- USER hashiguchi
Mon 2009-01-12 00:43:10: --> +OK hashiguchi... User ok
Mon 2009-01-12 00:43:10: <-- PASS ******
Mon 2009-01-12 00:43:10: --> +OK hashiguchi@my.com's mailbox has 65 total messages (542265 octets)
Mon 2009-01-12 00:43:10: <-- STAT
Mon 2009-01-12 00:43:10: --> +OK 65 542265
Mon 2009-01-12 00:43:10: <-- LIST
Mon 2009-01-12 00:43:10: Sending LIST response (not logged)
Mon 2009-01-12 00:43:10: <-- UIDL
Mon 2009-01-12 00:43:10: Sending UIDL response (not logged)
Mon 2009-01-12 00:43:10: <-- QUIT
Mon 2009-01-12 00:43:10: --> +OK hashiguchi@my.com my.com POP Server signing off (65 messages left)
Mon 2009-01-12 00:43:10: POP session complete (Bytes in/out: 55/3939)

作者: tdk 时间: 2009-1-12 22:13
后半部分是成功连接了的

作者: jenbabe 时间: 2009-1-12 22:35
58.41.131.29 这个是adsl的ip地址

作者: Kyan 时间: 2009-1-12 23:04
63.150.3.185
my.com
Host unreachable

63.150.3.0 - 63.150.3.255

AMERICAN LIQUID PKG SYSTMS
440 NORTH WOLFE ROAD
SUNNYVALE
CA
94085
United States

Azhar, Syed
+1-408-524-1414
sazhar@pnptsg.com

Q0930-63-150-3-0
Created: 2006-09-30
Updated: 2008-10-14
Source: whois.arin.net

把 my.com 的所有 IP-63.150.3.0 - 63.150.3.255 全部封鎖

作者: 法拉力 时间: 2009-1-13 00:29

原帖由 tdk 于 2009-1-12 22:13 发表
后半部分是成功连接了的

啥意思，是不是他已经密码试成功啦！不过重来没有过信件丢失，smtp发信也正常亚。

作者: jenbabe 时间: 2009-1-13 09:48
收走邮件可以保留邮件在服务器的，收了你也不知道。看你的log都是同一ip收不同账号的邮件。是不是你们内部谁在家收这些邮件，这ip是普陀区的adsl用户。

作者: tdk 时间: 2009-1-13 10:18
标题: 回复 5楼法拉力的帖子
你给的日志是pop日志

作者: 法拉力 时间: 2009-1-13 10:44
回六楼，不太可能是在家里收邮件，同一个IP地址有很多账户在连接，而且有些是在凌晨的。

作者: 法拉力 时间: 2009-1-13 10:55

原帖由 tdk 于 2009-1-13 10:18 发表
你给的日志是pop日志

我的意思是既然他已经试出密码了，为什么不通过我们的smtp发信呢？我们的smtp log里面没有这个地址。

作者: jenbabe 时间: 2009-1-13 11:01
你先看看这些邮箱的密码是什么样子的，如果是很简单易猜的，很有可能是被别人暴力破解的。

作者: 法拉力 时间: 2009-1-13 11:38
回10楼，8位的，有数字，有大小写字母。

作者: jenbabe 时间: 2009-1-13 11:52
多半是内部人干的，或者相关人中了木马，被截获账号密码。没什么商业机密，就别管了，呵呵。可以先改改密码。

作者: 法拉力 时间: 2009-1-13 13:24
我觉得也是，可能是中木马病毒了，现在除了360还有什么杀木马的好程序推荐吗？
还有就是这种木马试密码，是否MD有办法设置一下，比如一个IP地址只能连接3个账户。

[ 本帖最后由法拉力于 2009-1-13 13:32 编辑 ]

作者: wxhsh 时间: 2009-1-13 13:48
标题: 回复 13楼法拉力的帖子
木马不会试POP的，并且都自带SMTP引擎，不会通过本地邮件客户端发送（没这么傻）。

作者: 法拉力 时间: 2009-1-13 13:56
可是我们的防火墙上面没有这个地址连接log，奇怪。

作者: wxhsh 时间: 2009-1-13 14:13
md有个动态屏蔽可以减少对方猜的机率

Tue 2009-01-13 14:09:17: Dynamic screening added X.X.X.X for 10 minutes; failed 3 authentication attempts
Tue 2009-01-13 14:09:19: Dynamic screening refused X.X.X.X; 10 minutes remain

作者: 法拉力 时间: 2009-1-15 18:44
回老大，设定过了，没用啊。

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)