几天前，我在我的服务器上收到了垃圾邮件滥用。作为预防措施，我封锁了 SMTP 端口并开始了调查。我找到了一个正在运行的 Perl 进程。它使用的脚本已被删除，但我在/proc/PID/fd/3. 这是它的md5：
server:~# md5sum spam_scipt
c97b6d65fe2e928f190ca4a8cf23747c spam_scipt
该 Perl 脚本用于从我的服务器发送垃圾邮件。它使用域生成算法为发送垃圾邮件进程状态的 dropzone 生成 URL。我修改了脚本以查看当前正在生成的链接：
server:~# perl spam_scipt
wget version is 11
Set browser wget
Warning: bad ps syntax, perhaps a bogus '-'? See http://procps.sf.net/faq.html
Runned postfix found, use /usr/sbin/sendmail
Probe host redacted.info
Go https://ibkxluxisp.redacted.info:1905//b/index.php?id=5cb885d577c7bbacdae44dd9f7f86b641ad60d58b1b9df07b97953a70376ec47&check=1
Generate host ibkxluxisp.redacted.info:1905
https://ibkxluxisp.redacted.info:1905//b/index.php?id=5fb58ad575c14b08785ae5255ffbf83c9f561d18e961b2eb96dc5a058a41&version=18&sent=0&user=584e6388c671f38756eac21cec
第二次尝试：
server:~# perl spam_scipt
wget version is 11
Set browser wget
Warning: bad ps syntax, perhaps a bogus '-'? See http://procps.sf.net/faq.html
Runned postfix found, use /usr/sbin/sendmail
Probe host redacted.info
Go https://wodhvqubux.redacted.info:1905//b/index.php?id=5cb186d575c44b1e5174c7c111636063b338bc3ef4d46e4533036eded038a7&check=1
Generate host wodhvqubux.redacted.info:1905
https://wodhvqubux.redacted.info:1905//b/index.php?id=5a497fe86dde12da162b6460bb8cd215966679ad7bf97338b9b6c2e741fe&version=18&sent=0&user=544c648ace7ff7834db9fadf36bdserver:~# ;
子域现在只更改。所以在简单的 ping 之后，我们得到了 dropzone 的 IP 地址：
server:~# ping vodhvqubux.redacted.info
PING vodhvqubux.redacted.info (94.23.208.20) 56(84) bytes of data.
64 bytes from ns207415.ovh.net (94.23.208.20): icmp_seq=1 ttl=59 time=4.02 ms
^C
--- vodhvqubux.redacted.info ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 4.026/4.026/4.026/0.000 ms
这些犯罪分子已经以相同的 IP 地址出现在公共场合： http://forum.spamcop.net/forums/lofiversion/index.php/t12096.html http://www.jaguarpc.com/forums/general-hosting-网络支持/26972-可能需要一些帮助-妥协-系统-无法找到-door.html
我不明白如何在不知道密码的情况下使用 root 访问权限上传脚本。这是该 perl 进程的环境：
SHELL=/bin/bash
SSH_CLIENT=xx.xx.xx.xx.xx 60480 220
USER=root
MAIL=/var/mail/root
PATH=/usr/bin:/bin:/usr/sbin:/sbin:/usr/local/bin
PWD=/tmp
SHLVL=1
HOME=/root
LOGNAME=root
SSH_CONNECTION=xxx.xxx.xxx.xxx 60480 xx.xx.xx.xx 220
_=/usr/bin/nohup
OLDPWD=/root
也许这有帮助。我已经升级了所有软件，重新启动了服务器，但这又发生了。也没有 ssh 登录的日志access.log。
Perl 脚本http://www.sendspace.com/file/xfrqtt
任何人都可以协助 OVH DC 滥用 IP 吗？罪犯的网站运行得非常完美。