Temukan skrip php yang mengirim surat

Apakah ada cara bagi saya untuk menemukan skrip php yang mengirim email.

Saya memiliki apache + php (tanpa mod_suphp maupun suexec) dalam instalasi "standar", dan saya ingin mengetahui skrip php penyihir mengirim email, ketika saya memeriksa log saya hanya melihat pengguna yang mengirim email (dalam apache kasus saya) tetapi saya ingin mengetahui skrip yang berasal dari email.

Apakah mungkin atau saya harus menginstal suexec atau mod_suphp untuk menyimpannya?

Terima kasih atas bantuannya.

php 5.3 ditempatkan untuk mendapatkan penelusuran surat yang lebih baik, tetapi saya tidak yakin apakah itu terjadi. (sunting: ya, php 5.3 telah login sekarang - php.ini memiliki variabel config mail.log yang akan mencatat penggunaan email dari kode php.)

Kami memecahkan masalah dengan membuat sendmail skrip shell pembungkus.

Di php.ini atur mailer baru. Misalnya:

sendmail_path = /usr/local/bin/sendmail-php -t -i

Skrip sendmail-php hanya menggunakan logger untuk mendapatkan info, dan kemudian memanggil sendmail sistem:

#!/bin/bash

logger -p mail.info -t sendmail-php "site=${HTTP_HOST}, client=${REMOTE_ADDR}, script=${SCRIPT_NAME}, filename=${SCRIPT_FILENAME}, docroot=${DOCUMENT_ROOT}, pwd=${PWD}, uid=${UID}, user=$(whoami)"

/usr/sbin/sendmail -t -i $*

Ini akan masuk ke apa pun mail.info Anda diatur ke dalam file syslog.conf.

Saran lain adalah menginstal ekstensi php suhosin untuk memperketat celah dalam PHP, kecuali jika Anda menjalankan Debian atau Ubuntu di mana ini sudah menjadi default.

Solusi untuk ini sebenarnya membutuhkan beberapa langkah. solusi labradort di atas tidak benar-benar berfungsi karena skrip logger adalah skrip bash, bukan php, dan skrip bash tidak memiliki akses ke variabel php, sehingga log keluar kosong. Pada dasarnya apa pun yang Anda ingin log perlu disimpan ke variabel lingkungan di php sebelum mengirim email sehingga logger memiliki akses ke data. Karena Anda mencoba mendeteksi skrip pengguna lain, belum tentu skrip Anda, Anda tidak memiliki kendali atas kode php, jadi Anda perlu menggunakan fitur auto_prepend_file PHP untuk memastikan bahwa semua php yang dieksekusi menjalankan kode inisialisasi Anda sebelum yang lainnya. Saya menambahkan kode berikut melalui php.ini untuk memastikan saya memiliki data yang saya butuhkan di logger:

<?php
/**
 * This passes all SERVER variables to environment variables, 
 * so they can be used by called bash scripts later
 */
foreach ( $_SERVER as $k=>$v ) putenv("$k=$v");
?>

Saya mengumpulkan tutorial lengkap tentang cara membuatnya bekerja di sini: http://mcquarrie.com.au/wordpress/2012/10/tracking-down-malicious-php-spam-scripts/

Ada tambalan untuk PHP yang akan menunjukkan skrip mana yang menghasilkan surel dengan menambahkan tajuk ke surel yang dikirim. Saya belum mengujinya karena saya tidak tertarik menambal PHP inti, tapi saya sudah mendengar hal-hal baik.

Anda harus memeriksa log akses untuk sesuatu yang sesuai dengan jangka waktu kapan pesan ditambahkan ke spool.

Mungkin hanya mencari melalui file sumber untuk "mail (" substring?

Cukup aktifkan ini di php.ini Anda

mail.add_x_header = On
mail.log = /var/log/phpmail.log

lalu buat file itu dan berikan izin menulis. Awasi itu setelah itu.