☰

运行 postfix/dovecot/spamassassin/amavis 的 ubuntu 服务器 20.04 上的 /var/vmail/ 下有未知域“pl.d.sender-sib.com”和“gmail.com”

tag-icon • tag-icon security postfix dovecot spamassassin ubuntu-20.04
运行 postfix/dovecot/spamassassin/amavis 的 ubuntu 服务器 20.04 上的 /var/vmail/ 下有未知域“pl.d.sender-sib.com”和“gmail.com”

我在 Ubuntu 服务器 20.04 上运行带有 spamassasin 和 amavis 的 postfix/dovecot。我还将此服务器用作 LEMP Wordpress 服务器。我已根据位于 [https://www.linuxbabe.com/mail-server/setup-basic-postfix-mail-sever-ubuntu][1] 的 Linuxbabe.com 教程配置了所有内容（电子邮件方面）

最近，当我从终端浏览我的目录时，我注意到/var/vmail/目录包含我所有正确的电子邮件域，即 example.com、example2.com、example3.com 和 example4.com。

然而，我发现了一个奇怪的现象，我怀疑是否有人以某种方式进入或破解了我的电子邮件系统（可能性极小）。该目录中有一个名为“ pl.d.sender-sib.com”的域（以文件夹名称的形式），以及一个名为“ gmail.com”的文件夹。

ls -la /var/vmail/
drwxr-xr-x  9 vmail vmail 4096 Dec 29 09:03 .
drwxr-xr-x 16 root  root  4096 Dec  9 12:39 ..
drwx------  4 vmail vmail 4096 Jun 16  2021 mydomain1.com
drwx------  9 vmail vmail 4096 Sep 26 11:51 mydomain2.com
drwx------  3 vmail vmail 4096 Sep  9 17:17 gmail.com
drwx------  6 vmail vmail 4096 Dec 30 16:48 mydomain3.com
drwx------  7 vmail vmail 4096 Jan 21 18:41 mydomain4.com
drwx------  3 vmail vmail 4096 Dec 29 09:03 pl.d.sender-sib.com
drwx------  2 vmail vmail 4096 Feb  2 16:52 spamassassin

gmail.com 目录内有：/var/vmail/gmail.com/myemailaddressWithout"@gmail.com"/spamassassin/bayes_toks

和

/var/vmail/gmail.com/myemailaddressWithout"@gmail.com"/spamassassin/bayes_seen

pl.d.sender-sib.com 目录内有：

/var/vmail/pl.d.sender-sib.com/unsubscribe-t/spamassassin/bayes_seen

和

/var/vmail/pl.d.sender-sib.com/unsubscribe-t/spamassassin/bayes_toks

这可能是攻击者所为吗？我是不是被黑了？或者这些目录可能是 spamassassin 或 amavis、wordpress 电子邮件或我安装的某些安全程序创建的？我如何才能确定这些目录来自哪里？删除这些目录是否安全？请尽快告诉我！我不想在被入侵的服务器上工作，尽管我确定我的服务器相对安全。[1]：https://www.linuxbabe.com/mail-server/setup-basic-postfix-mail-sever-ubuntu

答案1

这些文件bayes_toks由bayes_seenSpamAssassin 为您系统上的每个电子邮件用户创建。出于某种原因，您的系统还会通过 SpamAssassin 发送一些发送到外部域（如 gmail.com 或 pl.d.sender-sib.com）的消息。您需要查看您的邮件日志和邮件系统配置，以检查为什么会发生这种情况。

答案2

我知道我晚了一年，但在我写这篇文章的时候，我正在测试 sendinblue 事务电子邮件 API 服务，并且域名 sender-sib.com 出现在电子邮件标题中。以下是我的标题片段

ARC-Authentication-Results: i=1; mx.google.com;
       dkim=pass header.i=@xxxxxxxxx header.s=mail header.b=RfTsdBxT;
       spf=pass (google.com: domain of [email protected] designates 77.32.148.24 as permitted sender) smtp.mailfrom="[email protected]"
Return-Path: <[email protected]>
Received: from gx.d.sender-sib.com (gx.d.sender-sib.com. [77.32.148.24])
        by mx.google.com with ESMTPS id f5-20020a7bcc05000000b003f047856994si1756081wmh.199.2023.04.19.11.04.03
        for <[email protected]>
        (version=TLS1_3 cipher=TLS_AES_256_GCM_SHA384 bits=256/256);
        Wed, 19 Apr 2023 11:04:03 -0700 (PDT)
Received-SPF: pass (google.com: domain of [email protected] designates 77.32.148.24 as permitted sender) client-ip=77.32.148.24;
Authentication-Results: mx.google.com;
       dkim=pass header.i=@xxxxxxxxx header.s=mail header.b=RfTsdBxT;
       spf=pass (google.com: domain of [email protected] designates 77.32.148.24 as permitted sender) smtp.mailfrom="[email protected]"

基于此，我得出结论，sender-sib.com 是 sendinblue 的财产，因此您可以放心看到该域名。

相关内容