Go achomair: Nuair a sheolann an freastalaí turscar, tá ceann de thrí chúis ann de ghnáth: script PHP a cuireadh isteach nó a mí-úsáideadh, bosca poist le pasfhocal goidte, nó freastalaí ríomhphoist atá cumraithe go mícheart. Cosain cúpla ceann de na ríomhphoist atá ag fanacht, léigh a línte ceanntáisc agus an loga ríomhphoist, agus aimsíonn tú an fhoinse i bhformhór na gcásanna. Ina dhiaidh sin stop an seoladh, dún an chúis agus iarr baint ó liostaí bac ansin amháin.
Nuair a aimsíonn custaiméirí do shonraisc i bhfillteán turscair
Is annamh a thosaíonn sé le fógra slándála. De ghnáth cuireann custaiméirí a bhfuil do thairiscintí gan fáil iad féin in iúl, nó líonann an bosca poist le teachtaireachtaí fillte maidir le ríomhphoist nár scríobh aon duine riamh. Uaireanta cuireann an soláthraí óstála bac ar sheoladh agus luann sé trácht ríomhphoist neamhghnách mar chúis.
Don chuideachta, bíonn iarmhairtí infheicthe go tapa. Má tá seoladh an fhreastalaí ar liosta bac, diúltaíonn freastalaithe ríomhphoist eile do ríomhphoist fíor freisin: sonraisc, deimhniúcháin ordaithe, naisc phasfhocal ón siopa. Fulaingíonn cáil an fhearainn, agus fásann an damáiste le gach uair a leanann an seoladh ar aghaidh.
Tá seoladh turscair ar na hiarmhairtí aitheanta de shárú. Tar éis PHP2Shell, na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 le rith cóid gan logáil isteach, is cúis eile é chun breathnú níos cruinne. Ní leid shonrach PHP2Shell é turscar, áfach; níl aon Indicators of Compromise deimhnithe ann. Déanann An bhfuil mé sáraithe cheana? cur síos ar chomharthaí ginearálta eile.
Trí chúis thipiciúla nuair a sheolann an freastalaí turscar
| Cúis | Pictiúr tipiciúil | Cá bhfuil le breathnú |
|---|---|---|
| Script PHP a cuireadh isteach | Ríomhphoist gan logáil isteach, seachadta go háitiúil trí sendmail |
Línte ceanntáisc, loga ríomhphoist PHP, comhaid PHP nua |
| Foirm mí-úsáidte | Ríomhphoist trí fhoirm teagmhála nó moltaí chuig faighteoirí coimhthíocha | Loga rochtana na foirme, línte ceanntáisc |
| Bosca poist fuadaithe | Seoladh le logáil isteach bailí ag an bhfreastalaí ríomhphoist | Loga ríomhphoist le hainm logála isteach, áiteanna logála isteach |
| Freastalaí ríomhphoist oscailte | Úsáideann seoltóirí coimhthíocha do fhreastalaí mar chur ar aghaidh | Cumraíocht an fhreastalaí ríomhphoist, seiceáil sheachtrach |
Baineann an chéad dá chúis leis an suíomh gréasáin, an tríú ceann leis na cuntais ríomhphoist, an ceathrú ceann le cumraíocht an fhreastalaí. Tá an idirdhealú tábhachtach mar tá na frithbhearta go hiomlán difriúil.
Scuaine an ríomhphoist a léamh
Ar fhreastalaithe le Postfix taispeánann an scuaine cad atá le seoladh faoi láthair. Ní léann na horduithe seo ach:
# Ábhar na scuaine a thaispeáint (comhionann le mailq)
postqueue -p | tail -30
# Línte ceanntáisc ríomhphoist aonair a thaispeáint (ID scuaine ón liosta a chur isteach)
sudo postcat -q -h QUEUE-ID
# Logálacha isteach rathúla ag an bhfreastalaí ríomhphoist le hainm úsáideora
sudo grep 'sasl_username=' /var/log/mail.log | awk -F'sasl_username=' '{print $2}' | sort | uniq -c | sort -rn | head
Nochtann na línte ceanntáisc an fhoinse go minic cheana féin. Má thagann an ríomhphost ó bhosca poist logáilte isteach, feictear ainm na logála isteach sa loga ríomhphoist. Má thagann cuntas amháin le logálacha isteach ó thíortha coimhthíocha le chéile ansin, is an-dócha go bhfuil pasfhocal an bhosca poist sin ar eolas. Má seachadadh an ríomhphost go háitiúil ar an láimh eile, tagann sé de ghnáth ó script ar an bhfreastalaí.
Má ritheann freastalaí ríomhphoist eile ar do fhreastalaí, mar shampla Exim, tá na horduithe difriúil, ach fanann an prionsabal mar an gcéanna: féach ar an scuaine, léigh na línte ceanntáisc, comhair logálacha isteach sa loga. Ar óstáil roinnte gan rochtain sliogáin, iarr ar an soláthraí óstála sliocht ón loga ríomhphoist agus cúpla ríomhphost samplach le línte ceanntáisc iomlána i scríbhinn. Soláthraíonn go leor soláthraithe óstála an fhaisnéis seo arna iarraidh, mar tá spéis acu féin deireadh a chur leis an seoladh.
Cosain roinnt ríomhphost iomlán sula gcuireann tú scuaine ar sos nó sula bhfolmhaíonn tú í. Is fianaise iad don anailís níos déanaí agus do chomhráite leis an soláthraí óstála nó le hoibreoirí na liostaí bac.
An script PHP freagrach a aimsiú
Má ritheann an seoladh trí PHP, cabhraíonn cumraíocht ríomhphoist PHP. De réir lámhleabhar PHP, logálann mail.log gach glaoch ar an bhfeidhm mail() le cosán iomlán na scripte, uimhir líne, faighteoir agus línte ceanntáisc. Scríobhann mail.add_x_header líne cheanntáisc X-PHP-Originating-Script le haitheantas an úsáideora agus ainm an chomhaid i ngach ríomhphost.
; In php.ini nó sa linn FPM, ansin gach oibrí a atosú
mail.add_x_header = On
mail.log = /var/log/php/mail.log
Ní mór don chomhad loga a bheith inscríofa ag an bpróiseas PHP. Nochtann an líne cheanntáisc ainm comhaid do fhaighteoirí; múch arís í tar éis na hanailíse mura bhfuil sí uait go buan.
Má tá comhad anaithnid mar sheoltóir, mar shampla san fhillteán uaslódála nó taisce, is leid é ar webshell. Conas comhaid den sórt sin a aicmiú, déanann Webshells a aithint agus a bhaint cur síos air. Má tá foirm teagmhála aitheanta ann ar an láimh eile, is dócha gur mí-úsáideadh í, mar shampla toisc go dtógtar faighteoirí nó línte ceanntáisc ó ionchur foirme. Earráid sa chód is ea é seo, ní briseadh isteach, ach ní mór é a cheartú chomh tapa céanna.
Ní úsáideann gach turscar an fheidhm mail(). Is féidir le cód mailíseach nasc a bhunú go díreach le freastalaithe ríomhphoist coimhthíocha. Ansin ní fheictear an seoladh sa scuaine ná sa loga ríomhphoist PHP, ach mar naisc amach ar chalafort 25. Conas iad seo a sheiceáil, tá sé faoi Naisc amach freastalaí a sheiceáil.
An seoladh a stopadh agus tosú arís go glan
Nuair a bhíonn an fhoinse aimsithe, leanann an glanadh san ord seo:
- An seoladh a stopadh: An bealach buailte a bhac, is é sin an script a dhíghníomhachtú, an bosca poist a bhac nó an scuaine a chur ar sos. Ríomhphoist atá ag fanacht a chosaint mar fhianaise.
- An chúis a dhúnadh: I gcás webshell, PHP a thabhairt chuig staid cheartaithe (8.5.12, 8.4.27, 8.3.36, 8.2.35 nó backport deimhnithe), gach oibrí a atosú agus an suíomh gréasáin a ghlanadh. I gcás foirme, an cód a cheartú. I gcás bosca poist, an pasfhocal a athrú agus gléas an úsáideora a sheiceáil.
- Rianta eile a lorg: An té a sheolann turscar trí webshell, is minic a chruthaigh sé cúldoirse eile.
- An t-amach a theorannú: Naisc amach ar chalafort 25 a cheadú don fhreastalaí ríomhphoist amháin, ní d'úsáideoir an fhreastalaí gréasáin.
- Liostaí bac a ghlanadh: Anois amháin iarr ag oibreoirí na liostaí bac an baint agus déan cur síos gairid ar an méid a ceartaíodh.
Seiceáil SPF, DKIM agus DMARC do fhearainn ag an am céanna. Socraíonn na hiontrálacha DNS seo cé na freastalaithe a fhéadfaidh seoladh in ainm do fhearainn agus déanann siad sé níos deacra do choimhthígh do sheoladh seoltóra a mhí-úsáid.
Conas a chabhraíonn PHP SOS go praiticiúil?
- Measaimid an scuaine, línte ceanntáisc agus logaí ríomhphoist agus cinntímid an script, foirm, bosca poist nó cumraíocht is cúis leis.
- Stopaimid an seoladh ar bhealach rialaithe agus cosnaímid fianaise don soláthraí óstála agus do liostaí bac.
- Glanaimid an suíomh gréasáin faoi chuimsiú an Bhainte Mailware agus dúnaimid an poirtín isteach.
- Teorannaímid trácht ríomhphoist amach ar leibhéal an fhreastalaí agus tionlacaimid an bhaint ó liostaí bac.
Ceisteanna coitianta
Conas a thugaim faoi deara go seolann mo fhreastalaí turscar?
Is tipiciúil teachtaireachtaí fillte maidir le ríomhphoist nár scríobh aon duine, nótaí ón soláthraí óstála, scuaine ríomhphoist lán agus custaiméirí a fhaigheann do ríomhphoist go tobann i bhfillteán turscair. Is comhartha soiléir freisin iontrálacha de sheoladh do fhreastalaí ar liostaí bac poiblí.
Conas a aimsím an script PHP a sheolann turscar?
Is féidir le PHP gach glaoch ar an bhfeidhm mail() a logáil le cosán na scripte, má tá mail.log socraithe. Le mail.add_x_header scríobhann PHP ainm na scripte i gceanntásc gach ríomhphoist freisin. I ríomhphoist atá seolta cheana nó ag fanacht, cabhraíonn súil ar na línte ceanntáisc.
Ar cheart dom scuaine an ríomhphoist a fholmhú láithreach?
Ní sula bhfuil roinnt ríomhphost cosanta agat mar fhianaise. Taispeánann na línte ceanntáisc go minic cén script nó cén bosca poist a spreag an seoladh. Is fearr iad a choinneáil siar ná iad a scriosadh de ghnáth go dtí go mbeidh an fhoinse ar eolas.
Conas a thagaim as liostaí bac arís?
Bain an chúis ar dtús, ansin iarr ag oibreoirí na liostaí bac faoi seach an baint. Éilíonn an chuid is mó míniú ar an méid a ceartaíodh. An té a iarrann ró-luath agus a sheolann turscar fós, liostálfar arís é.