Newsgroup: it.news.net-abuse
Titolo: Debug dei reclami per principiante, cioe' io (lunghetto)


Mime-Version: 1.0
Content-Type: text/plain; charset="iso-8859-1"
Date: Thu, 11 Sep 2003 14.50.28 +0200
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
CIAO SONO ESTER , HO UNA COSA SPECIALE PER TE
http://www.guidalnet.tv/adultsite/esteroralsex/
 WEB-CAM CHAT EROTICA ANNUNCI PER SINGLE E COPPIE
SPECIALE AMATORIALE
http://www.guidalnet.tv/adultsite/esteroralsex/
visione per un  pubblico maggiorenne
se non vuoi ricevere più posta scrivi a :
seidipi...@hotmail.com
cvbecwtghhifcfphhsaymqtyfn
--------------------------------------------------------
Allora, vediamo:
Provenienza del messaggio:
Il percorso a ritroso dovrebbe essere:
Me < Server Tin < Altro Server Tin < [4.23.131.10] ......
Se cerco su 
http://openrbl.org/
 vedo che 4.23.131.10 e' citato 15 volte, 6
delle quali come 'open proxy/insecure host', per cui e' inutile proseguire
con gli altri 'Received'.
Vado su 
http://www.collinelli.net/antispam/strument/st0010.shtml
, clicco 'IP
su ARIN' e ottengo:
[
whois.arin.net
]
Genuity GNTY-4-0 (NET-4-0-0-0-1)
                                  4.0.0.0 - 4.255.255.255
Clark Contruction Group CLARKCON-131-20 (NET-4-23-131-0-1)
                                  4.23.131.0 - 4.23.131.31
Dal browser provo 
www.genuity.net
 e vedo che 
genuity.com
 e' parte di
Level3.com, per cui segnalo a 
ab...@level3.net
Ci sarebbe anche quel 
clarkcon.com
, che non ha abuse, e che se capisco bene,
e' una specie di impresa edile presso la quale si trova il server con
problemi di 'open proxy'. Non saprei dire se e' il caso di inviare
segnalazione anche a 
postm...@clarkcon.com
.
Segnalo anche a 
ab...@hotmail.com
 per quel 
seidipi...@hotmail.com
, che
verra' segato.
Mi pare di capire pero'  che dopo queste segnalazioni lo spammer non avra'
una crisi depressiva.
Mi sono fatto l'idea che sarebbe piu' importante segnalare a chi ospita il
sito 
http://www.guidalnet.tv/adultsite/esteroralsex/
, ma il problemino e'
che, anche dopo ripetute letture di Collinelli, non ho proprio idea di come
si risale da un indirizzo come questo al destinatario della segnalazione. Se
poteste spiegarmelo vi sarei grato.
Grazie per l'aiuto. Ciao.
Franco
--
f.verlik...@tin.it.toglimi
"Vorrei dimenticare, ma non ricordo cosa"

 poteste spiegarmelo vi sarei grato.
Si usa il DNS 'con cautela', visto che molti spammers usano trucchi
per depistare.  Si procede quindi badando bene di interrogare ad ogni
passo solo nameservers autoritativi per cio' che si chiede.
Chi e' autoritativo per .tv?
% dig ns tv
tv.                     15h51m46s IN NS  
I3.NSTLD.COM
.
tv.                     15h51m46s IN NS  
NS1.NIC.tv
.
tv.                     15h51m46s IN NS  
NS2.NIC.tv
.
tv.                     15h51m46s IN NS  
J3.NSTLD.COM
.
Bene.
% dig ns 
guidalnet.tv
 @
NS1.NIC.tv
guidalnet.tv
.           2H IN NS        
ns2.areaprotetta.net
.
guidalnet.tv
.           2H IN NS        
ns.areaprotetta.net
.
Bene.  Chiediamo a un autoritativo di .net se questi sono
autoritativi per 
areaprotetta.net
 (non e' detto!):
% dig ns 
areaprotetta.net
 @
g.gtld-servers.net
areaprotetta.net
.       2D IN NS        
ns.areaprotetta.net
.
areaprotetta.net
.       2D IN NS        
ns2.areaprotetta.net
.
ns.areaprotetta.net
.    2D IN A         193.77.74.18
ns2.areaprotetta.net
.   2D IN A         193.77.74.19
Ok, lo sono.  Vediamo finalmente dove sta il  sito
% dig a 
www.guidalnet.tv
 @
193.77.74.18
www.guidalnet.tv
.       1D IN A         193.77.35.49
e anche chi prende la  posta per quel dominio
% dig mx 
guidalnet.tv
 @
193.77.74.18
guidalnet.tv
.           1D IN MX        10 
mail.diventafamoso.tv
.
mail.diventafamoso.tv
.  1D IN A         193.77.35.49
Curiosiamo i reverse DNS:
% dig -x  193.77.35.49
49.35.77.193.in-addr.arpa.  1D IN PTR  
BSN-77-35-49.dsl.siol.net
.
Una DSL in Slovenia.  Vediamo che dice il whois:
% whois 193.77.35.49
inetnum:      193.77.0.0 - 193.77.255.255
netname:      SI-TELEKOM-193-77
descr:        SiOL d.o.o
descr:        Provider Local Registry
country:      SI
admin-c:      VM439-RIPE
tech-c:       TC124-RIPE
status:       ALLOCATED UNSPECIFIED
remarks:      -------------------------------------------------------
remarks:      Please send abuse & spam notification to 
ab...@siol.net
remarks:      -------------------------------------------------------
[...]
C'e' solo un record per la /16.
Direi che in questo caso il destinatario del lart e' senza dubbio
siol.net
.  In casi piu' complessi il DNS e il web possono essere
su reti diverse (tipico ad esempio dello spam Ralsky con hosting in Cina).
Infine i domini sono registrati da:
Registrant:
Globatel Communications ltd (OPJEJTFNDD)
   32 Hanover Court, Colindeep Colinade
   London, England NW9 6DH
   GB
E' un produttore di dialers.
Da 
http://www.globatel.co.uk/faq.html
 :
	"Do not spam, do not have links or reference to bestiality, 
	underage or incest. Do not use the word Free!
	If you are caught violating these rules your account will be 
	terminated without warning and you will not be paid."
Difficile fidarsi di un produttore di dialers.  Eventualmente 
puoi provare a segnalare anche a Globatel e vedere cosa succede.
Male che vada, passeranno il tuo indirizzo allo spammer per
un listwashing.  In entrambi i casi e' utile sapere come va a finire,
per farsi un'idea su questa Globatel.
furio ercolessi

    GB
Nemmeno questo capisco.
Comunque grazie mille. Ciao. Franco.
E complimenti per Terminator.


Come lo trovo? Cioe' come hai ottenuto le righe quotate sopra?
Il DNS e` una struttura ad albero.
Se prendi il dominio 
chetefrega.tv
, questo e` un dominio di secondo
livello. Il primo livello e` tv, e lui ha verificato quali erano i DNS
autoritativi per tv (magari lo sapeva gia`, come lo sapeva per .net,
ma lo ha scritto per spiegare come si fa). Poi il secondo livello,
chetefrega, lo verifica presso il DNS autoritativo del primo livello.
Una volta stabilito chi e` il DNS del secondo, lo interroga per avere
l'IP, e cosi` via...
Non e` difficile. Al limite macchinoso, ma concettualmente non c'e`
nulla di complicato. E` un albero. Se non li hai mai studiati, e` il
caso di farlo ora.
Per il resto, capito come funziona, e capito quali trucchetti usano
gli spammer, gli strumenti disponibili dipendono dal sistema operativo
che usi (meglio su Unix/Linux) e per capire come si usano, basta dare
un man nomecomando. Spazio per continuare di pagina in pagina, q per
uscire. :-)
Io comunque seguo un metodo diverso. Mi baso sui dati di registrazione
e sull'IP che mi risulta, analizzando su quale IP mi collego quando
vado sul sito (netstat -a -n). Il resto e` banale.

 vado sul sito (netstat -a -n).
Cosě ottieni l'ip dell'open proxy a cui ti sei collegato e a cui ti ha
mandato il DNS controllato dallo spammer, mentre l'ip del vero sito
non lo sai ;-)

non lo sai ;-)
Pazienza. Chiunque gestisca un open proxy dovrebbe morire, e comunque
subire l'asportazione degli organi riproduttivi, in modo da no poter
generre altri cretini come lui/lei.

 generre altri cretini come lui/lei.
Ma per quello non hai bisogno del netstat che richiede pure un
collegamento al sito, ti basta un banalissimo DNS lookup, che ti dà
subito l'ip del proxy usato dallo spammer per reindirizzare le
richieste.
Mentre invece, il bello è proprio trovare il vero sito dello spammer,
perché colpirlo gli fa più danni.