是否有人在试我们的密码？

法拉力

看日志发现许多应用程序事件，每天有不同的IP地址，**** ALERT **** 58.41.131.29 gave false logon/password to POP server; user: yangcw@my.com [EvSecurity]
同时找到pop log，确实密码没有试成功：
Mon 2009-01-12 00:43:10: Session 4981; child 1
Mon 2009-01-12 00:43:10: Accepting POP connection from [58.41.131.29 : 11632]
Mon 2009-01-12 00:43:10: --> +OK my.com POP MDaemon 8.0.3 ready <MDAEMON-F200901120043.AA4310871MD0332@my.com>
Mon 2009-01-12 00:43:10: <-- USER yangcw
Mon 2009-01-12 00:43:10: --> +OK yangcw... User ok
Mon 2009-01-12 00:43:10: <-- PASS ******
Mon 2009-01-12 00:43:10: --> -ERR access denied
Mon 2009-01-12 00:43:10: POP session terminated, (Bytes in/out: 25/136)
但我又同时发现这个log，在试我们的密码吧？这是连接成功了还是连接没有成功，有很多这种连接（肯定不是我们自己的用户在连接，因为这个地址连接了很多账户），不会已经被他们破解成功了吧：
Mon 2009-01-12 00:43:10: Session 4980; child 1
Mon 2009-01-12 00:43:10: Accepting POP connection from [58.41.131.29 : 11631]
Mon 2009-01-12 00:43:10: --> +OK my.com POP MDaemon 8.0.3 ready <MDAEMON-F200901120043.AA4310543MD1537@my.com>
Mon 2009-01-12 00:43:10: <-- USER hashiguchi
Mon 2009-01-12 00:43:10: --> +OK hashiguchi... User ok
Mon 2009-01-12 00:43:10: <-- PASS ******
Mon 2009-01-12 00:43:10: --> +OK hashiguchi@my.com's mailbox has 65 total messages (542265 octets)
Mon 2009-01-12 00:43:10: <-- STAT
Mon 2009-01-12 00:43:10: --> +OK 65 542265
Mon 2009-01-12 00:43:10: <-- LIST
Mon 2009-01-12 00:43:10: Sending LIST response (not logged)
Mon 2009-01-12 00:43:10: <-- UIDL
Mon 2009-01-12 00:43:10: Sending UIDL response (not logged)
Mon 2009-01-12 00:43:10: <-- QUIT
Mon 2009-01-12 00:43:10: --> +OK hashiguchi@my.com my.com POP Server signing off (65 messages left)
Mon 2009-01-12 00:43:10: POP session complete (Bytes in/out: 55/3939)

法拉力

回老大，设定过了，没用啊。

wxhsh

md有个动态屏蔽可以减少对方猜的机率

Tue 2009-01-13 14:09:17: Dynamic screening added X.X.X.X for 10 minutes; failed 3 authentication attempts
Tue 2009-01-13 14:09:19: Dynamic screening refused X.X.X.X; 10 minutes remain

法拉力

可是我们的防火墙上面没有这个地址连接log，奇怪。

wxhsh

木马不会试POP的，并且都自带SMTP引擎，不会通过本地邮件客户端发送（没这么傻）。

法拉力

我觉得也是，可能是中木马病毒了，现在除了360还有什么杀木马的好程序推荐吗？
还有就是这种木马试密码，是否MD有办法设置一下，比如一个IP地址只能连接3个账户。

[ 本帖最后由 法拉力 于 2009-1-13 13:32 编辑 ]

jenbabe

多半是内部人干的，或者相关人中了木马，被截获账号密码。没什么商业机密，就别管了，呵呵。可以先改改密码。

法拉力

回10楼，8位的，有数字，有大小写字母。

jenbabe

你先看看这些邮箱的密码是什么样子的，如果是很简单易猜的，很有可能是被别人暴力破解的。

法拉力

原帖由 tdk 于 2009-1-13 10:18 发表
你给的日志是pop日志

我的意思是既然他已经试出密码了，为什么不通过我们的smtp发信呢？我们的smtp log里面没有这个地址。