메일이 오면 그쪽에 경고 메세지를 주는데 root 로 아래와 같은 사항들이 매초 마다 일정하게 쌓이네요.
From ****@***.co.kr Fri Jan 4 14:34:07 2013
Return-Path: <****@***.co.kr>
Received: from xxx.co.kr (localhost.localdomain [127.0.0.1])
by xxx.co.kr (8.14.3/8.14.3) with ESMTP id r045Y19K002513
for <******@***.co.kr>; Fri, 4 Jan 2013 14:34:07 +0900
Received: (from nobody@localhost)
by xxx.co.kr (8.14.3/8.14.3/Submit) id r045Y19k002511;
Fri, 4 Jan 2013 14:34:01 +0900
Date: Fri, 4 Jan 2013 14:34:01 +0900
Message-Id: <***************************@***.co.kr>
X-Authentication-Warning: xxx.co.kr: nobody set sender to root using -f
From: ****@***.co.kr (Cron Daemon)
To: ******@***.co.kr
Subject: Cron <nobody@srsr> /home/httpd2/xxx/phpmyadmin/myadmin/.psy/y2kupdate >/dev/null 2>&1
Content-Type: text/plain; charset=ISO-8859-1
Auto-Submitted: auto-generated
X-Cron-Env: <SHELL=/bin/sh>
X-Cron-Env: <HOME=/>
X-Cron-Env: <PATH=/usr/bin:/bin>
X-Cron-Env: <LOGNAME=nobody>
X-Cron-Env: <USER=nobody>
execl: couldn't exec `/bin/sh'
execl: Permission denied
sendmail을 정지시키면 물론 안쌓이는데 문제는 어디에서 크론탭이 돌고 있는지 모르겠습니다.
/etc/cron.xxx 다 뒤져도 없읍니다.
분명 크론탭으로 돌고 있는듯 한데 어떻게 는지 아시면 힌트좀 부탁 드립니다.
아파치에서 php 메일 송신기능에서 호출하기도 합니다.
설정 잘못되면 거기에 매일 쌓이거든요. 발송되도 문제가 되는데 localdomain.localhost 이런 호스트명은 구글에서는 스팸서버로 차단 신고를 해버립니다. 그래서 블럭IP로 등록되기도 하구요.
위험한 짓을 한 모든 기록은 스풀/root 메일로 자동으로 오는것을 띁어본 결과 입니다.
1분에 한개씩 크론로그에 남겨 집니다. 그런데 크론은 진작 제가 만든것 말고는 그 어딘가에도
/home/httpd2/xxx/phpmyadmin/myadmin/.psy/y2kupdate >/dev/null 2>&1
라고 명령을 한경우가 없거든요.
분명 해커가 다녀가서 그 어딘가에 크론을 자동실행 시키도록 한것 같은데 그게 어딘지 모르겠단 말이죠.
nobody 파일에 있을것으로 보입니다.
phpmyadmin이 현재상태라면 유사문제가 재발할 수 있으니 후속조치가 필요합니다.
.psy/y2kupdate 관련 파일들을 삭제하시고
PhpMyAdmin 페이지는 보안설정(인증이나 특정IP에서만 접속허용)을 하시는것이 좋을듯합니다.
이창용님 새해 복 많이 받으세요. 왜 그걸 몰랏나 지금도 웃음이 나오네요.
예전에는 크론 수정할땐 직접 경로 들어가서 했는데 요즘은 그냥 crobtab -e 으로 하니깐 깜박했네요.