Snow Leopard server ja _www käyttäjä

[1Toitsu]

Ongelma on että järjestelmässä on _www käyttäjä, jota joku pystyy hyödyntämään roskapostittamisessa. En oikein löytänyt googlesta minua auttavaa tietoa. Ongelmana on että kyseistä käyttäjää ei ole konffattuna workgroup osioon. Epäilen että php pystyy lähettämään postia tuolla käyttäjällä ja itse maili serveriä katsottaessa löytyy world wide web käyttäjä. Tätä käyttäjää ei vain näy käyttäjien hallinassa workgroup puolella että voisin estää sen mailin käytön. Miten stoppaan / oikein konffaan tuon _www tilin?

Tiedän että _www on järjestelmän tekemä käyttäjä joten sitä ei voi periaattessa poistakaan mutta aluksi voisi edes maili oikeudet viedä pois.

[iMies]

_www lienee Apache HTTP-palvelin, tai siis sitä varten luotu käyttäjä.

PHP lakkaa postittamasta kun poistat php.ini tiedostosta viittaukset sendmail/procmail -ohjelmiin.

[1Toitsu]

Ok, kävin kommentoimassa pois php.ini:stä sendmailiin viittaukset. Procmailiin ei ollut viittauksia. Nyt vain odotellaan vieläkö lokiin tulee merkintöjä. Löysin viittauksia että lähetys on tehty start.php tiedostosta mutta en löydä sellaista järjestelmästä. En oikein usko että lähetys onnistuu toisen tietokoneen apachea käyttäen. Miten voisin muuttaa tuon _www käyttäjän salasanan? Taisin jo aikaisemmin mainita mutta relay on estetty.

[1Toitsu]

Löytyihän se haittascriptikin viimein kun avasin silmäni. PHP pohjainen tmp kansion alla. Mietin vain että miten se on sinne saatu. Palomuurikin on päällä ja kirjoitusoikedet tmp kansioon on vähissä. Koneella ei ole käytännössä mitään ylimääräisiä ohjelmia.

[iMies]

Turvallisuussyistä _www käyttäjältä puuttuu oletusarvoisesti SHELL-muuttujan määrittely (ja paljon muuta), joten siihen ei pääse kirjautumaan.

Hyökkäys lienee tehty käyttäen hyväksi jotakin Apachen tai PHP:n heikkoutta, jonka kautta on sitten ladattu sisään oma(t) php-tiedosto(t). Onhan sinulla uusimmat mahdolliset versiot molemmista käytössä?