# Mon serveur dédié a t-il été hacké? Log postfix et dovecot toutes les 2 minutes **URL:** \ **Category:** Support Debian\ **Tags:** serveur\ **Created:** [Décembre 18, 2024, 3:17 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740 "2024-12-18T15:17:46Z")\ **Posts on this page:** 7\ **Page:** 1
**Author:** ![fluo](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/e9bcb4/32.png) [@fluo](https://www.debian-fr.org/u/fluo)\ **Post date:** [Décembre 18, 2024, 3:17 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/1 "2024-12-18T15:17:46Z")
Bonjour, dans le fichier /var/log/mail.info, j’ai toutes les 2 minutes, des infos me disant que quelque chose se connecte en local au serveur postifx de mon serveur dédié, pour toute suite se déconnecter, et se connecte aussi au serveur dovecot, du coup ça pollue mes logs, comme ceci : ``` Dec 18 16:03:34 ns postfix/smtpd[13209]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:03:34 ns postfix/smtpd[13209]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:03:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session= Dec 18 16:05:34 ns postfix/smtpd[13444]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:05:34 ns postfix/smtpd[13444]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:05:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session=<6EPavowpQAB/AAAB> Dec 18 16:07:34 ns postfix/smtpd[13641]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:07:34 ns postfix/smtpd[13641]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:07:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session= Dec 18 16:09:34 ns postfix/smtpd[13884]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:09:34 ns postfix/smtpd[13884]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:09:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session= Dec 18 16:11:34 ns postfix/smtpd[14026]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:11:34 ns postfix/smtpd[14026]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:11:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session= Dec 18 16:12:55 ns spamd[6829]: spamd: server killed by SIGTERM, shutting down Dec 18 16:13:34 ns postfix/smtpd[14313]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:13:34 ns postfix/smtpd[14313]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:13:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session= Dec 18 16:15:34 ns postfix/smtpd[14766]: connect from localhost.localdomain[127.0.0.1] Dec 18 16:15:34 ns postfix/smtpd[14766]: disconnect from localhost.localdomain[127.0.0.1] Dec 18 16:15:34 ns dovecot: imap-login: Aborted login (no auth attempts in 0 secs): user=<>, rip=127.0.0.1, lip=127.0.0.1, secured, session= ``` Donc je voudrais savoir comment savoir qui ou quoi n’arrête pas de se connecter à mon serveur postfix et à mon serveur dovecot en local sur mon serveur dédié ? Merci d’avance ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 18, 2024, 3:25 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/2 "2024-12-18T15:25:02Z")
Bonjour, ceci devrait peut etre t’aider: [https://bobcares.com/blog/dovecot-imap-login-aborted-login/](https://bobcares.com/blog/dovecot-imap-login-aborted-login/) ---
**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\ **Post date:** [Décembre 18, 2024, 4:03 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/3 "2024-12-18T16:03:45Z")
> [@fluo](#): > > `dovecot: imap-login: Aborted login` Si ça peut te rassurer: francois@hermes:~$ grep -c ‹ pam\_unix(smtp:auth): authentication failure › /var/log/auth.log 9525 francois@hermes:~$ grep -c ‹ pam\_unix(smtp:auth): authentication failure › /var/log/auth.log.1 18605 Donc 18000 tentatives en 7 jours soit pas loin de 2 par minutes.. Et j’ai fail2ban.. ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Décembre 18, 2024, 4:10 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/4 "2024-12-18T16:10:35Z")
Fail23ban ne te sert à rien, les logs viennent tous d’une connexion sur le localhost. As-tu vérifié chacun des 5 points évoqués dans le lien que je t’ai donné, en particulier le point 5? ---
**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\ **Post date:** [Décembre 18, 2024, 4:17 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/5 "2024-12-18T16:17:13Z")
> [@Zargos](#): > > Fail23ban ne te sert à rien, les logs viennent tous d’une connexion sur le localhost. Là tu te trompes de personne 🙂 `sqlite> select count() from bans; 113873 sqlite> select count(distinct ip) from bans; 10451 sqlite>select count() from bans where jail like ‹ postfix% ›; 40100 sqlite> select count(*) from bans where jail like ‹ %ssh% ›; 73704 `et j’effaxce régulièrement la base 🙂 ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Décembre 18, 2024, 4:29 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/6 "2024-12-18T16:29:52Z")
Regarde ce que tu as en ligne pour trouver le coupable … il te faudra pousser les logs dovecot en debug mais ça va débiter sévère et après pour postfix : [Howto déboguage Postfix](https://postfix.traduc.org/index.php/DEBUG_README.html#sniffer) ---
**Author:** ![fluo](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/e9bcb4/32.png) [@fluo](https://www.debian-fr.org/u/fluo)\ **Post date:** [Décembre 28, 2024, 9:50 UTC](https://www.debian-fr.org/t/mon-serveur-dedie-a-t-il-ete-hacke-log-postfix-et-dovecot-toutes-les-2-minutes/90740/7 "2024-12-28T09:50:38Z")
Merci pour vos réponses, j’ai trouvé la cause du problème qui était monit, car dans le fichier /etc/monitrc, j’avais ça : ``` ## Start Monit in the background (run as a daemon): # set daemon 120 # check services at 2-minute intervals with start delay 120 # optional: delay the first check by 4-minutes (by # # default Monit check immediately after Monit start) #Postfix : check process postfix with pidfile /var/spool/postfix/pid/master.pid start program = "/etc/init.d/postfix start" stop program = "/etc/init.d/postfix stop" if failed host localhost port 25 protocol smtp then restart #Dovecot : check process dovecot with pidfile /var/run/dovecot/master.pid start program = "/etc/init.d/dovecot start" stop program = "/etc/init.d/dovecot stop" if failed host localhost port 143 protocol imap then restart ``` , donc à cause du paramètre set daemon 120, monit surveille les services postifx et dovecot en testant la connexion de ces services toutes les 120 secondes (soit 2 minutes), c’est pourquoi j’ai toutes les 2 minutes des logs de postfix et de dovecot dans le fichier /var/log/mail.log