script verstuurd spam
- Ariën - op 28/08/2019 16:46:57:
Dat lijkt mij sterk! Of ze worden gewoon niet via het contactformulier gestuurd, maar via een andere lekke server waar het internet helaas uit bestaat. Check anders eens de headers van de mail om te kijken of de mail vanaf jouw webserver komt.
Mailadressen zijn overigens eenvoudig te faken, dus dat is geen sluitend bewijs.
Mailadressen zijn overigens eenvoudig te faken, dus dat is geen sluitend bewijs.
dan nog wordt Apache aangesproken, en zou het gelogd moeten worden.
Of Apache logt helemaal niets...
Nog erger zou het zijn, als ze via de command line toegang hebben, maar dan is spam nog maar het minste probleem
Toevoeging op 28/08/2019 16:55:28:
als het mag volgens de regels kan ik hier de site wel even posten dan kunnen jullie even meekijken
Leon leon op 28/08/2019 16:53:40:
er staat echt geen contact formulier op de site alles contact verloopt rechtstreeks via mail .
Maar er is wel een onderdeel op de site dat mailt? (of het nu een contactformulier is, of een bestelformulier of ander script.)
Zou toch je webserver eens inspecteren op malafide code dan.
Ook lijkt het mij nog te vroeg om 100% ergens van overtuigd te zijn ("er staat geen contactformulier op de site") zolang je nog geen oorzaak hebt gevonden... Feit blijft dat er spam verstuurd wordt.
Misschien heeft iemand toch toegang tot jouw site zodat deze code kan plaatsen en mogelijk ook weer na afloop kan verwijderen. Wat voor site betreft het uberhaupt? Wat voor pakketten staan hier op? Welke libraries gebruik je? Wie heeft FTP-/SSH-/controlepaneeltoegang et cetera?
Want waarom heb je dat vermoeden? Heb je de mailheaders al gecheckt van zo'n spam-mail?
Gewijzigd op 28/08/2019 17:01:55 door - Ariën -
public_html/assets/classes/swiftmailer/classes/Swift/Transport/SimpleMailInvoker.php:46
Is dat pad wel kloppend? En klopt het Received: from ****** met jouw server?
In dat geval komt het wel bij jouw server vandaan.
welke versie gebruik jij ?
wat arien zegt kan het inderdaad zijn dat het niet via jouw wordt gedaan maar gewoon een fake
dit kan je onderandere tegenhouden door een reverse dns bij je dns erin te zetten
en bv DKIM en DMARC goed te zetten hiermee zijn over het algemeen fakes niet meer mogelijk
volgens internet moet er ergens een form zijn zonder re-captcha waar dit waarschijnlijk mee wordt verzonden
dit probleem komt bv ook veel voor bij Prestashop gebruikers
Leon leon op 28/08/2019 17:02:32:
public_html/assets/classes/swiftmailer/classes/Swift/Transport/SimpleMailInvoker.php:46
Dat zeg ik dus, simpelweg die URL aanroepen resulteert niet in het verzenden van mail, dit is enkel de "getuige" dat <een of ander proces of stuk code> deze class gebruikt voor het verzenden hiervan.
Dus tenzij die library gaar is, of inhoudelijk is aangepast, zou die "van zichzelf" niets moeten doen. Je moet op zoek naar dat <een of ander proces of stuk code>.
Je hebt als het ware het vuurwapen gevonden, maar je moet op zoek naar de schutter.
(heb mijn geld nog steeds staan op een of ander gaar contactformulier waar header injection mogelijk is die wss niet via swiftmailer wordt afgevangen ofzo, en als daar sprake van is dan zou ik swift niet meer gebruiken omdat een maillibrary de tools zou moeten hebben om dit soort fratsen te voorkomen)
Gewijzigd op 28/08/2019 17:10:44 door Thomas van den Heuvel
heeft last van dit probleem google maar is die map (script) wat hierboven staat met photostore.
en er is nog geen oplossing vandaar dat ik het hier maar is ga vragen.
ik kan heel veel zelf oplossen maar dit gaat me echt boven me pet
hoe oud is dat spul? ktools photostore? swift?
Als ik deze site mag geloven (zoek op "ktools" of "swift") hebben beide gaten, maar die dateren uit 2016.
Quote:
SQL injection vulnerability in the mgr.login.php file in Ktools.net Photostore before 4.7.5 allows remote attackers to execute arbitrary SQL commands via the email parameter in a recover_login action.
Quote:
The mail transport (aka Swift_Transport_MailTransport) in Swift Mailer before 5.4.5 might allow remote attackers to pass extra parameters to the mail command and consequently execute arbitrary code via a \" (backslash double quote) in a crafted e-mail address in the (1) From, (2) ReturnPath, or (3) Sender header.
NB: En 1 + 1: via password/account recovery (mits van toepassing?) heb je dus toegang tot mailfunctionaliteit. In feite is dat mogelijk je "contactformulier".
Gewijzigd op 28/08/2019 17:17:29 door Thomas van den Heuvel
maar kan dus nergens de nieuwste versie vinden
Maar dat snap ik dan ook niet helemaal, hoe kan het dan dat ktools een verouderde versie van swiftmailer gebruikt? Hoe haakt deze software dan in elkaar? Is dit mogelijk onderdeel van een plugin voor extra functionaliteit? Hoe luiden de upgradeprocedures dan en houdt dit dan in dat je alle externe libraries die ktools (in de core functionaliteit?) gebruikt zelf handmatig zou moeten updaten? Het is sowieso raar dat deze twee uit de pas lopen dan?
Leon leon op 28/08/2019 17:18:36:
de laatste update van ktools was december 2018 de swiftmailer is van 2015 .
maar kan dus nergens de nieuwste versie vinden
maar kan dus nergens de nieuwste versie vinden
Kijk eens naar boven?
alvast heel erg bedankt eerst deze maar even upgraden.
en hopen dat het probleem is opgelost
alvast heel erg bedankt
ktools bracht in het verleden altijd updates uit deze moest je via een auto installer op de site installeren maar 1 van de eigenaren was overleden en toen stopten ze ermee .
het zou kunnen dat in die update swiftmailer ingebouwd was maar niet dat ik weet,