是否有人在试我们的密码？

法拉力

看日志发现许多应用程序事件，每天有不同的IP地址，**** ALERT **** 58.41.131.29 gave false logon/password to POP server; user: yangcw@my.com [EvSecurity]
同时找到pop log，确实密码没有试成功：
Mon 2009-01-12 00:43:10: Session 4981; child 1
Mon 2009-01-12 00:43:10: Accepting POP connection from [58.41.131.29 : 11632]
Mon 2009-01-12 00:43:10: --> +OK my.com POP MDaemon 8.0.3 ready <MDAEMON-F200901120043.AA4310871MD0332@my.com>
Mon 2009-01-12 00:43:10: <-- USER yangcw
Mon 2009-01-12 00:43:10: --> +OK yangcw... User ok
Mon 2009-01-12 00:43:10: <-- PASS ******
Mon 2009-01-12 00:43:10: --> -ERR access denied
Mon 2009-01-12 00:43:10: POP session terminated, (Bytes in/out: 25/136)
但我又同时发现这个log，在试我们的密码吧？这是连接成功了还是连接没有成功，有很多这种连接（肯定不是我们自己的用户在连接，因为这个地址连接了很多账户），不会已经被他们破解成功了吧：
Mon 2009-01-12 00:43:10: Session 4980; child 1
Mon 2009-01-12 00:43:10: Accepting POP connection from [58.41.131.29 : 11631]
Mon 2009-01-12 00:43:10: --> +OK my.com POP MDaemon 8.0.3 ready <MDAEMON-F200901120043.AA4310543MD1537@my.com>
Mon 2009-01-12 00:43:10: <-- USER hashiguchi
Mon 2009-01-12 00:43:10: --> +OK hashiguchi... User ok
Mon 2009-01-12 00:43:10: <-- PASS ******
Mon 2009-01-12 00:43:10: --> +OK hashiguchi@my.com's mailbox has 65 total messages (542265 octets)
Mon 2009-01-12 00:43:10: <-- STAT
Mon 2009-01-12 00:43:10: --> +OK 65 542265
Mon 2009-01-12 00:43:10: <-- LIST
Mon 2009-01-12 00:43:10: Sending LIST response (not logged)
Mon 2009-01-12 00:43:10: <-- UIDL
Mon 2009-01-12 00:43:10: Sending UIDL response (not logged)
Mon 2009-01-12 00:43:10: <-- QUIT
Mon 2009-01-12 00:43:10: --> +OK hashiguchi@my.com my.com POP Server signing off (65 messages left)
Mon 2009-01-12 00:43:10: POP session complete (Bytes in/out: 55/3939)

tdk

后半部分是 成功连接了的

jenbabe

58.41.131.29    这个是adsl的ip地址

Kyan

63.150.3.185
my.com
Host unreachable

63.150.3.0 - 63.150.3.255

AMERICAN LIQUID PKG SYSTMS
440 NORTH WOLFE ROAD
SUNNYVALE
CA
94085
United States

Azhar, Syed
+1-408-524-1414
sazhar@pnptsg.com

Q0930-63-150-3-0
Created: 2006-09-30
Updated: 2008-10-14
Source: whois.arin.net

把 my.com 的所有 IP-63.150.3.0 - 63.150.3.255 全部封鎖

法拉力

原帖由 tdk 于 2009-1-12 22:13 发表
后半部分是 成功连接了的

啥意思，是不是他已经密码试成功啦！不过重来没有过信件丢失，smtp发信也正常亚。

jenbabe

收走邮件可以保留邮件在服务器的，收了你也不知道。  看你的log都是同一ip收不同账号的邮件。是不是你们内部谁在家收这些邮件，这ip是普陀区的adsl用户。

tdk

你给的日志是pop日志

法拉力

回六楼，不太可能是在家里收邮件，同一个IP地址有很多账户在连接，而且有些是在凌晨的。

法拉力

原帖由 tdk 于 2009-1-13 10:18 发表
你给的日志是pop日志

我的意思是既然他已经试出密码了，为什么不通过我们的smtp发信呢？我们的smtp log里面没有这个地址。

jenbabe

你先看看这些邮箱的密码是什么样子的，如果是很简单易猜的，很有可能是被别人暴力破解的。