Category: Linux

最近のsendmailへの攻撃

Mail Transfer Agent (MTA)を動かしているといろんな攻撃がなされます．こちらではかなり昔からsendmailを使用していて，ログをときどき見ています．

かつてはむやみにメールを送り込もうという単純な攻撃が多くたいていは，IPアドレスの逆引きができないとか，認証が必要という形でsendmailがリジェクトしてきました．

最近変わった攻撃としては，arg1ですから送信元のアドレスに，悪意あるPerlスクリプトをwgetやcurlでダウンロードさせて実行さようというスクリプトを記述したメール送信を偽装した試みが複数回なされました．

そのPerlスクリプトを試しにダウンロードしてざっと眺めてみました．バックドアを作るもののようですが，はたしてarg1に書かれたスクリプトが実行されることがあるのか，実行したとしてsendmailの権限でバックドアが作れるのか疑問です．ただ，成功例があるから攻撃してくるのでしょうけれど．

また，昨日までの数日間，認証を試みる辞書攻撃と思われる試みが繰り返し行われました．

まあ，辞書攻撃でこちらの認証が突破はできないと思いますが，気持ち悪いので攻撃元のIPアドレスを遮断しました．全部で7個くらいあったので，ボットからの攻撃と思われます．

MTAを動かしているといろんな風景が眺められて面白いです．

システムトラブルのため今朝のバックアップまでロールバックしました

タイトルの通りなんですが，今朝（2023年2月2日(木)）findコマンドを2つ同時にかけたら，システムが無応答になってしまい，電源リセットしたらfile systemにエラーがあるというので，fsckをかけたらエラーがボロボロ出て，修復はできましたが，不安なのでformatして今朝のバックアップに戻しました．

ファイルシステムが壊れた原因については分かりませんが，多分SSDをか弱いUSBドライバーで動かしているので過重負荷のためドライバーがダメになったのだと思います．知らんけど．

修復作業のため，同日の午後はしばらくシステムが止まっていました．

また，久しぶりの作業なのでいろいろ手順を忘れて，なかなか再起動せず焦りました．

以下は今後の自分のためのメモです．

  1. バックアップからのコピーはたぶん以下のようなコマンドを使う
cd /復旧させるシステムのルート
rsync -artlvd --sparse --inplace --numeric-ids /バックアップのパス/ .

これでたいがい時間がかかります

  1. 終わったら，復旧されるシステムのルートに/devはないはずですから，用意してある/devをコピーする（/root/devsにあるはず）
  2. formatし直すとPARTUUID等が変わるので，/bootのcmdline.txtと/etc/fstabを新しいPARUUID等で更新する
  3. あとはターゲットシステムにディスクを接続して，祈りながら起動をかける
  4. バックアップにはロックファイルなどもあるので，起動したらすぐに再起動をかける

kernel_sarpi4-6.1.7-armv7l-1_slack15.0_23Jan23_sp1.txz may be broken, too

kernel_sarpi4-6.1.7-armv7l-1_slack15.0_23Jan23_sp1.txzと関連ファイルがSARPiのサイトにありましたのでupdateしてみました．6.1.3ではシステムが不安定になってしまったので，6.0.14に戻して動かしていました．

6.1.7でとりあえず起動はしました．6.1.3のときのようにKernel panicやネットの不具合が起きなければ良いのですが．

これも壊れているかも(2023/1/26追記)

朝起きたら，システムが無応答になっていました．コンソール(CUI)からユーザー名は入りますが，パスワード+改行で無応答になり，Control+Alt+Delも効かず電源リセットしました．ブートはするので，さっさと安定性が確認されている6.0.14に戻しました．

おまけ > Re: httpsのnssがslabを大量に使うからswapが発生する件が依然解らないまま解決した模様

キャッシュというのはそもそも元の記憶装置より1〜2桁速くても体感速度が多少速くなる程度が関の山なので，ときどき下記を実行してキャッシュを開放すると良いようです．

echo 3 > /proc/sys/vm/drop_caches

ちなみに，sudo教の場合は，

sudo sh -c "echo 3 > /proc/sys/vm/drop_caches"

とすれば良いようです．

自動の関連ページ生成が全然日本語に対応してないので，手動でサイト内の関連記事のリンクを付けました😓

参考ページ

「httpsのnssがslabを大量に使う」当サイト内の関連記事