Forum Debian Users Gang

Pokaż całego maila z nagłówkami, surowy tekst, w TB po wklepaniu ctrl+u.

I przy okazji SPF włączony?
Podpisy DKIM sprawdzone?
Greylisting działa?

Zawsze możes z  buta potraktować serwerownie, które wynajmują VPSy po 19,99.
W jednym serwerku, którym się opiekuję, kilka najbardziej znanych dostaje 2 pkt na dzień dobry, następne 2 są za "promocja|oferta|okazja|przecena", i jak do tych 2 warunków jest w mailu obrazek, to nie ma cudu, żeby tego SA nie uwalił.

Do klas IP używam tego draństwa:
https://forum.dug.net.pl/viewtopic.php?pid=200113#p200113

Sądząc z treści, możesz też łapać regexami charakterystyczne kawałki zdań:
https://wiki.apache.org/spamassassin/WritingRules

Ostatnio edytowany przez Jacekalex (2015-02-20 10:59:50)

I przy okazji SPF włączony? NIE
Podpisy DKIM sprawdzone? NIE

Od tego zacznij, a potem będziemy dalej kombinować.

Zobacz tam jeszcze, co dodałem wyżej po twojej odpowiedzi.

Z resztą, jak ten spam przychodzi z serwerowni home.pl, to tam mają abuse.
Chociaż pewnie co chwila idzie z innych adresów.

EDIT:
Która domena jest z twojego serwera, nencki.pl?

Adres From jest z domeny chipita.pl - siedzi na home.pl, return patch jest na adres w home.pl, a spam dostałaś z Estonii:

Received: from greenlabyrinth.estnoc.ee (greenlabyrinth.estnoc.ee [80.79.125.18]) by gate.nencki.gov.pl with SMTP id ILOO7VzIOHQRenFD; Thu, 19 Feb 2015 19:40:41 +0100 (CET)

Ty jesteś administrator, czy kalesony?

W WHOIS dla tego adresu Ip (80.79.125.18) stoi czarno na białym (na konsoli odwrotnie):

% Information related to '80.79.112.0 - 80.79.127.255'

% Abuse contact for '80.79.112.0 - 80.79.127.255' is 'abuse@wavecom.ee'

Ostatnio edytowany przez Jacekalex (2015-02-20 11:17:10)

Na SPFie ten spam by zakończył żywot w 3 sekundy:

From: "Pete Yoder" <Yoder.Pete9@chipita.pl>

;; ANSWER SECTION:
chipita.pl.        3599    IN    TXT    "v=spf1 mx exp=onlinealbum.chipita.pl  ip4:178.239.85.0/24 -all"

I tyle w temacie, panie "administrator". :D

Ostatnio edytowany przez Jacekalex (2015-02-20 11:20:13)

Jacekalex napisał(-a):

Na SPFie ten spam by zakończył żywot w 3 sekundy:

Kod:

From: "Pete Yoder" <Yoder.Pete9@chipita.pl>

Taki ch... jak Batorego komin, panie "administrator".
Od kiedy to do SPF wrzucasz From a nie Return-Path? Chyba że w domciu na tepsianym DSL-u.

A przejdzie ponieważ:

$ host -t txt home.pl
home.pl descriptive text "v=spf1 ip4:212.85.96.0/19 ip4:62.129.192.0/18 ip4:89.161.128.0/17 ip4:79.96.0.0/16 ip4:188.128.128.0/17 ip4:46.41.128.0/18 a mx"

I tyle w temacie, panie "administrator". Jako pracę domową proponuję przeanalizowanie sobie jaki błąd ma home.pl (oczywiście po nauczeniu się jak się konfiguruje sprawdzanie SPF w MTA).

A wracając do tematu: wcale nie jest to takie proste jak się naszemu dyżurnemu administratorszczykowi wydaje. Wiele tego typu maili przychodzi z domen nie mających rekordów SPF lub nawet z legalnych adresów IP - czyli każdy, jawet najbardziej restrykcyjnie skonfigurowany MTA uzna go za prawidłowy. Szukanie "charakterystycznych stringów" też nie na wiele się zda - treść się zmienia, a zbyt ogólne ustawienia owocowałyby zbyt dużą ilością false positives. SpanAssassin punktuje te maile często niżej niż normalną uczciwą korespondencję.

Cóż - to nie są durni spamerzy od viagry, raczej ładnie zorganizowana złodziejska szajka zatrudniająca również administratorów i speców od bezpieczeństwa...

ethanak napisał(-a):

Jacekalex napisał(-a):

Na SPFie ten spam by zakończył żywot w 3 sekundy:

Kod:

From: "Pete Yoder" <Yoder.Pete9@chipita.pl>

Taki ch... jak Batorego komin, panie "administrator".
Od kiedy to do SPF wrzucasz From a nie Return-Path? Chyba że w domciu na tepsianym DSL-u.

A przejdzie ponieważ:

Kod:

$ host -t txt home.pl
home.pl descriptive text "v=spf1 ip4:212.85.96.0/19 ip4:62.129.192.0/18 ip4:89.161.128.0/17 ip4:79.96.0.0/16 ip4:188.128.128.0/17 ip4:46.41.128.0/18 a mx"

I tyle w temacie, panie "administrator". Jako pracę domową proponuję przeanalizowanie sobie jaki błąd ma home.pl (oczywiście po nauczeniu się jak się konfiguruje sprawdzanie SPF w MTA).

A wracając do tematu: wcale nie jest to takie proste jak się naszemu dyżurnemu administratorszczykowi wydaje. Wiele tego typu maili przychodzi z domen nie mających rekordów SPF lub nawet z legalnych adresów IP - czyli każdy, jawet najbardziej restrykcyjnie skonfigurowany MTA uzna go za prawidłowy. Szukanie "charakterystycznych stringów" też nie na wiele się zda - treść się zmienia, a zbyt ogólne ustawienia owocowałyby zbyt dużą ilością false positives. SpanAssassin punktuje te maile często niżej niż normalną uczciwą korespondencję.

Cóż - to nie są durni spamerzy od viagry, raczej ładnie zorganizowana złodziejska szajka zatrudniająca również administratorów i speców od bezpieczeństwa...

Cóż waść pieprzysz?

To nie home.pl wysłał maila, tylko serwerownia  Aktsiaselts Wavecom z Estonii.

Received: from greenlabyrinth.estnoc.ee (greenlabyrinth.estnoc.ee [80.79.125.18]) by gate.nencki.gov.pl with SMTP id ILOO7VzIOHQRenFD; Thu, 19 Feb 2015 19:40:41 +0100 (CET)

I nie RETURN_PATCH, bo u mnie Postfixowy skrypt spf-perl pięknie filtruje po polu  MAIL FROM: w czasie sesji SMTP.
Dowód rzeczowy nr 1:
http://www.openspf.org/Why?s=mfrom;id=ethanak%40one … 1;r=localhost

I nie chrzań, że jakiś serwer nie ma rekordu SPF, bo tutaj mail przyszedł z domeny, która owszem, taki rekord ma, a my tu nie piszemy specyfikacji SMTP do RFC, tylko analizujemy konkretny przypadek dosyć prymitywnego spamu.
Oczywiście są też bardziej wyrafinowane sposoby spamowania, ale jak się trafią na serwerze, to się wtedy będziemy martwić.
Z resztą, jak ktoś nie potrafi lub mu się nie chce zrobić rekordu tekstowego w strefie domeny, to jego małpa i jego cyrk, sam jest sobie winien.
Na szczęście coraz więcej domen takie rekordy ma, i to nawet prawidlowo skonfigurowane.
Także Twoje argumenty są z dupy wzięte, mociumpanie.

Ostatnio edytowany przez Jacekalex (2015-02-20 12:35:51)

@winnetou: sorry, ale jeśli osoba znana na tym forum z tego, że z reguły coś wie tym razem pieprzy takie kacapoły to garbaty by się wyprostował... i nie chodzi tu o jakiekolwiek obrażanie kolegi "administratora" tylko o wyjaśienie sytuacji (żeby bron Boże kol. wątkotwórca nie uznał sprawy za wyjaśnioną - bo nie jest).

A więc spokojnie...

Drogi i Wielce Uczony Panie Jackualeksie... a czymże jest MAIL FROM z sesji SMTP, jeśli nie tym, co ląduje później w Return-Path? W odróżnieniu of nagłówka From który ląduje tylko i wyłącznie w nagłówku From?
Takoż - mail został wysłany z Estonii, jako adres nadawcy widnieje ktośtam@home.pl - pczy czym rekord SPF domeny home.pl absolutnie nie zabrania wysyłania maili z return-path typu *@home.pl z Estonii, Azerbejdżanu tudzież Marsa.

Ponawiam więc prośbę o nauczenie się jak to działa, a dopiero potem objęcie roli Wielkiego Mistrza wyjaśniającego owo działanie maluczkim na forum. Bo na razie robisz z siebie jedynie pieniacza, który za wszelką cenę chce udowodnić że Zawsze Ma Rację Nawet Wtedy Kiedy Jej Nie Ma.