Come scoprire su un server quale è il dominio da cui parte lo spam

Avere su un server un sito che contiene uno script PHP vulnerabile e ritrovarsi migliaia di mail di spam nella coda può essere un incubo per il sistemista: non avendo altre informazioni ci si ritrova costretti a dover rovistare nei log alla ricerca di comportamenti ripetitivi o al limite ad osservare i picchi di traffico per cercare di rilevare almeno l’IP del potenziale aggressore: in questi due giorni mi sono ritrovato in una situazione del genere, in un server che ospitava decine di siti.

Questa mattina ho avuto l’illuminazione: perché non cercare un sistema che intercetti le chiamate a mail() e le logghi? E mi sono imbattuto subito in un sistema che prevede la creazione di un wrapper a sendmail. Già ero contento, ma invece di mettermi giù ad implementare la soluzione mi sono messo a leggere anche i commenti ed ho scoperto che grazie a PHP 5.3 la problematica era ulteriormente semplificata:

PHP 5.3 added two configuration directives to solve this problem. 
mail.add_x_header – Adds an extra header to the e-mail showing which script made the call to mail()
mail.log – Sets up a log file for all mail() calls. Contains the originating script and To address

See http://php.net/manual/en/mail.configuration.php for more info.

In pratica con un solo parametro da aggiungere a php.ini si possono monitorare tutte le chiamate alla funzione mail(), scoprendo da quale script PHP provengono! Per attivare questo sistema di log potete usare i seguenti comandi:

mkdir /var/log/php
touch /var/log/php/mail.log
chmod 777 /var/log/php/mail.log
echo "mail.log = /var/log/php/mail.log" >> /etc/php.ini

Notare che:

1. Si presume che non esista la directory /var/log/php
2. Ho dato tutti i permessi possibili al log perché, se il processo PHP appartiene allo stesso proprietario dei file web, questo è il modo più veloce per garantire a tutti la scrittura sul log
3. La modifica al file php.ini viene fatta alla fine del file, ma per un maggiore ordine andrebbe fatta nella sezione relativa a mail
4. Il file potrebbe crescere a dismisura: magari, una volta che avete scoperto la fonte dello spam, eliminate questa opzione di logging oppure aggiungetelo al sistema di rotazione
5. A seconda della vostra configurazione, potrebbe essere necessario un riavvio del server web

Grazie a questo sistema sono riuscito a scoprire che i soliti ignoti avevano caricato un loro form su un sito WordPress trascurato, pieno di vecchi temi e di vecchi timthumb.php: ricordatevi di aggiornare sempre WordPress, i plugin e di rimuovere i temi che non usate. Se il tema che avete in uso sfrutta timthumb.php spetta a voi verificare se è aggiornato.