为什么我的 vps 会被人用来发垃圾邮件？

[xiangtianxiao]

之前买的搬瓦工 micro64 ，今天突然不能用了，登录到控制面板发现如下内容

---

Network abuse: Mass Mailing

We have detected a large number of outgoing SMTP connections originating from this server. This usually means that the server is sending out spam.

Additional information:
这里是很多奇怪的 log ，有大量的邮箱，基本都是 163 的，还有 thundermail 之类的信息

---

我这个 vps 只安装了那个服务，还是控制面板里自带的，系统镜像也是官方的， root 密码是自动生成的，之前登录用的 putty 也是从官网上下载的。请问究竟是哪里出了问题呢，为什么成了肉机...

对了，最近我的 ipv6 地址无法连接，发了个 ticket 也没有解决，跟这件事情有关系吗？

[Showfom]

你电脑中毒

[xiangtianxiao]

@Showfom 意思是 pc 中毒然后走代理导致的吗？

[datocp]

正常正常，你得想想有没有公布出去过。有时候本来觉得手头资源太多想共享一下，但是坏人还是太多了，哈。。。

网上找得隐蔽邮件端口，另外搬瓦工发现 debian 　 full 版本还是蛮好的，系统服务非常干净，而那 centos 7 如果站点有 wordpress 也会有邮件发送提示。
-A OUTPUT -p tcp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p udp -m multiport --dports 24,25,50,57,105,106,109,110,143,158,209,218,220,465,587 -j DROP
-A OUTPUT -p tcp -m multiport --dports 21,22,23,993,995,1109,24554,60177,60179 -j DROP
-A OUTPUT -p udp -m multiport --dports 993,995,1109,24554,60177,60179,61234 -j DROP
-A OUTPUT -m state --state INVALID -j DROP

这篇文档提供了用 iptables 根据 uid 限定访问端口的操作。
shadowsocks 的优化和安全设置总结
https://blog.liantian.me/2015/01/27/shadowsocks%E7%9A%84%E4%BC%98%E5%8C%96%E5%92%8C%E5%AE%89%E5%85%A8%E8%AE%BE%E7%BD%AE%E6%80%BB%E7%BB%93/

[Daddy]

改成密钥登陆吧

[cheng12308]

我想买帮瓦工，谁有优惠码！

[datocp]

网站首页，好像是任意页面，右击查看源码，最开始部分就有。幅度不定。
<!-- Try this promo code: IAMSMART5EM2BR -->

[yylzcom]

@cheng12308 查看首页源码就有
这个是 5%的优惠码 IAMSMART5GRNII

不介意的话用我的推介链接吧： https://bandwagonhost.com/aff.php?aff=2545

[xiangtianxiao]

@datocp 谢谢！这个 vps 的 shadowsocks 确实给朋友共享过。待我看看那篇文章，之前确实没有注意过这方面的安全问题

[freeman]

这种情况我也碰到过，我的是 VPS 下的某个站有漏洞。。

[xmoiduts]

我的服务器也发现了这种乱发连接的情况，建议重点关注 pc 电脑端的 priv0xy 这个程序，

不懂网络，调用 windows 自带的 xxx ，禁掉了他的联网权限，就好了。不知道是 priv0xy 被夹了私货，还是病毒调用 privoxy 。

[Showfom]

@xiangtianxiao 是的，很多客户遇到过，你共享给你朋友用么可能你朋友电脑中木马了。

[caixiexin]

我去年买搬瓦工的时候也这样，估计不是个例。禁用掉相关端口吧