достаточно легко - во первых если это спам - то отправляются одинаковые ведь письма - то есть размер одинаковый (и содержание тоже). Во вторых в мейлстатистике смотришь от какого домена отправлялись - если от локала или от мейлнулл - то рассылали через пхп используя функцию мейл или просто сендмыл.
PS. А чтобы знать от кого работает пхп - надо его запускать не как модуль а как бинарник (цгий)
|