مشکل در یافتن اسکریپت ارسال ایمیل اسپم

[acreza]

سلام
آقا تو رو خدا یکی کمکم کنه دیگه دیوانه شدم از بس سوال پرسیدم و سرچ کردم و به نتیجه نرسیدم

یک اسکریپتی در یکی از سایت های من داره مرتبا ایمیل ارسال میکنه با چه دستوری میشه فهمید که کدام فایل php هستش که داره اینکار را میکنه ؟
من آیپی فرستنده را در فایروال بلاک کردم ولی با یه آیپی دیگه کانکت میشه و چند صد هزار ایمیل اسپم میفرسته سر ساعت ساعت معینی میفرسته

[acreza]

باچه دستوری میشه فهمید که به چه فایلی کانکت میشه (تعداد کانکت شدن )

[iMohsen]

اگر از آپاچی استفاده میکنید با فعال کردن server-status میتونید به صورت تقریبی متوجه بشید که چه فایلی داره اجرا میشه و ایمیل میزنه . برای تست هم به صورت پیش فرض ارسال ایمیل از غیر لوکال رو با فایروال ببندید تا اسکریپت موردنظر شما مجبور باشه مدت زمان زیادی رو متوقف بمونه و قابل شناسایی بشه .

[acreza]

اگر منظورتان فعال کردن httpd-status که من فعال کردم اما از این که چیزی نمیشه فهمید !!

[iMohsen]

خوب پس اسکریپت خاصی این کاررو انجام نمیده .
شما خروجی دستور زیر رو بدید

netstat -nap | grep :25

یا

netstat -nap | grep :143

[acreza]

این در حالی هستش که دیروز 9000 ایمیل روز قبل تر اش 6000 ایمیل و ... فرستاده شده
اینم پیام دایرکت ادمین :

Subject: Warning: 9209 emails have been sent yesterday by jey00    Today at 00:20
There have been 9209 outgoing emails yesterday from the jey00 User account.
There could be a spammer, the account could be compromised, or just sending more emails than usual.

This warning was generated because the 1000 email threshold was passed. 

[iMohsen]

خوب اولین کار اینه که شما در قسمت تنظیمات دایرکت ادمین ( Administrator Setting ) محدودیت روزانه تعداد ایمیل تنظیم کنید .
مثلا کلیه کاربران حداکثر 500 ایمیل در هر روز میتونن ارسال کنند .

ضمن این که در پیامک دایرکت ادمین ذکر شده که کاربر jey00 این ایمیل ها رو داره ارسال میکنه .

[acreza]

بله این را میدانم که کدام کاربر داره ارسال میکنه
محدود هم کردم ولی مشکل اینجاست که مثلا اگر گذاشتم 500 عدد ایمیل خوب هر روز اون اسپمر 500 تا را میفرسته اونوقت خود کاربر اصلی اجازه ارسال ایمیل نداره و سرش بی کلاه می مانه !!! یک سایت های دیگه هم همینطور بود و دایرکت ادمین میگفت از زیر دامنه forum داره ارسال میشه منم چون زیاد ازش استفاده نمیکردم کل زیر دامنه را با نرم افزار فاروم اش پاک کردم و مشکل حل شد به خاطر همینه که میگم این یک فایل ( اسکریپت ) هستش!!
ولی این یکی را هر کاری کردم نمیشه با Clamav هم اسکن کردم فایده نداشت که نداشت