如何找出哪些代碼使用Sendmail？

我們有一些未知代碼（病毒？）突然從我們的服務器發送數以千計的郵件，儘管我們認爲我們已經刪除了相應的惡意PHP文件，但郵件仍然被髮送出去。如何找出哪些代碼使用Sendmail？

如何找出哪些代碼發送郵件？我試着在/ var/log/maillog下查找，但沒有指針。任何其他方式找出它？

我們正在使用CentOS發行版。

2013-02-11 Manish

是什麼讓你覺得這是PHP發送郵件？而不是說一個shell腳本或其他可執行文件？ – leftclickben 2013-02-11 10:35:26

有可能shell腳本或其他可執行文件可能正在發送此消息，但查看此消息的管理員說他已刪除了我們網站中存在的惡意PHP文件。這正是我想知道哪些代碼發送這些郵件的原因。 – Manish 2013-02-11 10:39:27

您確定電子郵件是*來自您的服務器*嗎？有人可以發送電子郵件給人，只需將您的服務器作爲發件人？你說你在'maillog'中找不到「指針」，但是發送的電子郵件實際上是否出現在那裏？ – Lix 2013-02-11 10:56:39

的惡意代碼在Wordpress數據庫和關聯的PHP文件中，每次網站被加載時 - 它都是通過調用頭PHP來調用的。我們清理了網站，新安裝解決了問題。我已經檢查過crontab，那裏沒有受感染的代碼。感謝所有的指針。

2013-03-13 09:18:34 Manish

事實上，你已經刪除了相應的PHP文件並不意味着該文件沒有設法在你係統的其他地方複製它自己。如果你說這些電子郵件正在不斷髮送，即。這不是一個單獨的事件，那麼腳本有可能會滲透到你的crontab文件中並定期調用它自己。

查看您的系統上每個用戶（包括root）的crontab文件。確保檢查任何腳本crontab執行無論它看起來多麼無辜。

另一種選擇是一個.htaccess文件時，與特定的URL提交執行某些腳本。用這種方法可以很容易地隱藏腳本的執行。檢查所有.htaccess文件，你有沒有記錄奇怪的規則...

希望一個或多個選項將闡明其中這些郵件被髮送，從一些輕...

2013-02-11 10:54:59 Lix

這可能是有用的，讓我檢查一下 – Manish 2013-02-11 11:08:10

沒有可疑的任何cron作業或.htaccess（雖然我們沒有檢查這個文件的每個目錄我們懷疑損壞的數據庫和一些不良/受感染的WordPress現在插件。 – Manish 2013-02-11 13:43:40

回答