>> По поводу маил релея я с вами не согласен так как я
>> проверял разными интернет сервисами по поводу открытого релея и везде говорилось
>> что мой сервер не открытый релей.
> А я не согласен с вами, и что дальше?
> Я же написал - открытый, но не для всех.

Подскажите, пожалуйста, как я могу попробовать пройти путем взлома.
Так как я не могу авторизироваться под юзером max?
Можно ли удалить этого юзера?

>[оверквотинг удален]
> Начинайте подбирать пароль. Найдите софт, или напишите сами.
> Только зачем это вам нужно, я не понимаю. Цель какая?
>> Я пытался авторизироваться под именем max у себя на сервере. Но у
>> меня ничего не получилось. Я пароль ему подсовывал в разных видах
>> и в base64 и в других. В каком виде хранятся пароли
>> в файле sasldb? Я могу каким то образом прочитать этот пароль
>> из этого файла?
> Я не пользовался возможностью хранения пользователей и их паролей в файле sasldb.
> Вероятнее всего пароль там хранится в хешированном виде, получить значение пароля можно
> только перебором. Зачем вам пароль?

Хорошо. Допустим что взломан. Мне хочется пройти весть путь для того что бы понять где дырка и что мне нужно сделать что бы этого не повторилось в будущем. Я понимаю что авторизация произошла через smtp авторизацию. Я не понимаю как хакер обнаружил этого единственного пользователя который заведен был sasldb для примера. Сколько хакеру понадобилось времени что бы перебрать всех пользователей (у меня пользователей около 100000) Если есть другой путь как понять причину взлома и что сделать что бы не повторилась эта история с сервером то скажите. Правильно ли я понимаю что:
В файле sasldb без рутового пароля не возможно ничего записать?
То есть был взломан рутовый пароль.
Для того что бы рутовый пароль был взломан нужно что была бы возможность зайти под пользователем (а у меня их более 10000) и только одного пользователя имеется во первых домашняя директория а во вторых имеет возможность стать рутом.
То есть был взломан обычный пользователь.

>[оверквотинг удален]
>>> Вероятнее всего пароль там хранится в хешированном виде, получить значение пароля можно
>>> только перебором. Зачем вам пароль?
>> Хорошо. Допустим что взломан. Мне хочется пройти весть путь для того что
>> бы понять где дырка и что мне нужно сделать что бы
>> этого не повторилось в будущем. Я понимаю что авторизация произошла через
>> smtp авторизацию. Я не понимаю как хакер обнаружил этого единственного пользователя
>> который заведен был sasldb для примера.
> А что, "max" это такой уникальный логин, что его нельзя "угадать"? Вы
> вообще в логи смотрели? Там что, бац, одна попытка входа, сразу
> успешная, с отправкой 100500 писем?

Не в этом дело. Сколько я не смотрел в логах нигде он (max)не проявлялся только судя по сему неделе две назад по крайней мере судя по логам. и эта учетная запись уже давно не используется (по крайней мере лет 5)так что поймать по идее ее не могли. Я правда недели две назад был на селигере в походе видишь ли ходил на байдарке видимо в мое отсутствие и взломали.
>> Сколько хакеру понадобилось времени что
>> бы перебрать всех пользователей (у меня пользователей около 100000)
> Повторю вопрос - В логи смотрели?
> К пользователю max пароли 12345 и 123456 пробовали?

Логи смотрел и первая запись про max датируется примерно 2 неделе назад.

>> Если есть другой путь как понять причину взлома и что сделать что бы
>> не повторилась эта история с сервером то скажите.
> Нужно смотреть и анализировать логи, смотреть историю изменений конфигурационных файлов,
> сравнивать содержимое БД и т д. Смотреть и анализировать.

Нет ни какой бд насколько я понимаю только файл saslbd. И у меня подозрение что хакер добрался до этого файла и прочитал пароль. Поэтому и вопрос как можно прочитать парол\ь и этого файла не имея пароь рута?

>[оверквотинг удален]
>> То есть был взломан рутовый пароль.
>> Для того что бы рутовый пароль был взломан нужно что была бы
>> возможность зайти под пользователем (а у меня их более 10000) и
>> только одного пользователя имеется во первых домашняя директория а во вторых
>> имеет возможность стать рутом.
>> То есть был взломан обычный пользователь.
> Поражаюсь вашей упертости и стремлению переусложнить видение ситуации.
> Если max - реальный пользователь вашей системы - не стоит исключать и
> варианта, что пароль доступа к почте был украден с его рабочей
> станции.

Нет max не реальный пользователь его нет в passwd и он есть судя по сему только в sasldb.
Тем боле он не пользуется этим сервером лет 5. Я его завел около 5 лет назад но он им так и ни разу и не пользовался.