Как узнать какой процесс подключается к 25 порту?

Question

[Дмитрий]

Приветствую. Стоит EXIM (sendmail стоял до этого). В общем прет спам с локалхоста.
В заголовках сообщений очереди вот что:
......
-host_address 127.0.0.1.42120
-received_protocol esmtps
......
268P Received: from localhost ([127.0.0.1]:42120 helo=mysite.ru)
by myhostname.ru with esmtps (TLSv1:DHE-RSA-AES256-SHA:256)

Какой-то процесс шлет через 25 порт локалхоста письма.
Как его вычислить? Могу точно сказать, что это не php скрипт.
Спасибо.

Comments

[123459]

https://sys-adm.in/os/nix/687-linux-opredelit-otkr...
https://rtfm.co.ua/ispolzovanie-utility-lsof-v-pri...

[Alister O]

проверить трафик с tcpdump может там содержит какие то подсказки

Answer 1

[Wexter]

sudo netstat -tanp | grep :25

Comments

[Дмитрий]

И что я там увижу? Source ip, dest ip подключения? Мне нужен скрипт/бинарник который запускается(или запущен на машине), подключается к localhost:25 и отправляет письмо.

[Wexter]

увидите имя процесса подключившегося к 25 порту

[Дмитрий]

Wexter: не увижу

[Wexter]

Дмитрий: это почему же?

[Дмитрий]

Wexter: ну хз почему =) Вижу как EXIM с удаленными соединяется и они с ним. Apache иногда руту шлет что-то. И все. Хотя спамные письма прут.

Answer 2

[MustDie95]

C EXIM не работал, но возможно этот способ www.inmotionhosting.com/support/email/exim/find-sp... поможет Вам найти источник проблемы

Answer 3

[Андрей Михалёв]

а точно это не php?
просто если это не пхп - тогда вас взломали! а это еще хуже! тут простым - вычистим скрипты не обойдешься!

Answer 4

[Alexander Valle]

Если коннект не постоянный - запустить tcpdump и слушать 25 port.