Newsgroup: it.news.net-abuse
Titolo: Che schifo di headers!


Received: from 10.0.0.150 by 
BAY01.Local23.com
 (InterScan E-Mail VirusWall
    NT); Tue, 26 Jun 2001 04:26:43 -0400 (Eastern Daylight Time)
Received: from 
BAY01.Local23.com
 [10.0.0.150] (
ghjgafs...@yahoo.com
);
    Tue, 26 Jun 2001 04:26:41 -0400
X-WM-Posted-At: 
ufcw23.com
; Tue, 26 Jun 01 04:26:41 -0400
Received: from 10.0.0.1 by 
BAY01.Local23.com
 (InterScan E-Mail VirusWall
    NT); Tue, 26 Jun 2001 04:26:30 -0400 (Eastern Daylight Time)
To: 
meis...@yahoo.com
Subject: RECEIVE $2,
    000  in one WEEK !!  GUARANTEED!!                                        
    ----------- bib31
Date: Mon, 25 Jun 01 23:03:11 Hawaiian Standard Time
Errors-To: 
djmcm...@hotmail.com
Reply-To: 
ulys...@yahoo.com
X-Mailer: [102.87.149.207]  [196.34.144.100] (helo=67.97.0.7)
X-Priority: 3
X-MSMailPriority: Normal
Importance: Normal
***
Un Gabry in prima linea... :-)
-- 
LightKnight's Home Page:  
http://www-studenti.dm.unipi.it/~stilli/
LightKnight's Email:      mailto:
super...@libero.it
Aide in Cittadella BBS:   
http://ping.science.unitn.it/~BBS/
Caccole Stellari Website: 
http://www.caccolestellari.com/
Gruppo Utenti Linux Pisa: 
http://gulp.dm.unipi.it/

    <-- 2 scelta

 A me sembrano headers un po' del menga, guardate un po' voi...
Chiedo scusa, ho fatto casino.
ufcw23.com
 e 
BAY01.Local23.com
 sono la stessa cosa (ma sul secondo
SamSpade.org si rifiuta di farmi un banale IP block) e gli headers della
mail che mi sono mandato per verificare il relay sono dello stesso tipo di
quelli che avevo dato... comunque resto dell'opinione che sono headers del
menga...
Un gabry perplimuto e assonnato :-)


 mica ho capito che vuoi dire.
In effetti ero un po' oscuro, riformulo:
205.171.53.178 e' 
ufcw23.com
, che a me sembra un nome di dominio piu' che un
hostname... cioe', qual e' l'hostname e il domain name della macchina a cui
e' associato quell'IP? (si capisce ancor meno, vero? :P)
(e comunque, ripeto, apre che sia la stessa cosa di BAY01.Local23.com...
boh).
Un Gabry fuso... buonanotte :-)


; Tue, 26 Jun 2001 23:02:38 +0200
Il server preceduto da  "by" e` quello  che  scrive il log  (in questo
caso il tuo server, quindi ci si puo` fidare).
La forma del log e`:
Received: from stringa_helo (reverse_IP_di_server_mail [server_mail])
 
La stringa helo viene comunicata dal client  al server, che la riporta
fedelmete, durante la  sessione quindi non ha  nessun  valore (non per
nulla  
BAY01.Local23.com
 non e` un  FQDN).  Quello che conta e` quanto
sta tra le parentesi, cioe` IP e suo reverse (se esiste).
Nel caso  specifico su 205.171.53.178 ci gira  un server con  un virus
scan che non solo e` aperto ma che mette dei log assurdi e non riporta
l'origine dello spam.  Quindi che  gli header siano stati cammuffati o
siano messi da quell'immondizia  di server non   e` che cambia  molto:
cioe` non ci dicono nulla.


 e' associato quell'IP? (si capisce ancor meno, vero? :P)
samvise:~$ host 205.171.53.178
Name: 
ufcw23.com
Address: 205.171.53.178
samvise:~$ host 
ufcw23.com
ufcw23.com
              A       205.171.53.178
come vedi il lookup forward e  reverse coincidono quindi 
ufcw23.com
 e`
senza  dubbio l'host name.   Se  ti riferisci  al nome  della macchina
dello  spammer, quella non la conosciamo  perche`  non viene riportato
nel log.


 Rivediamo l'header:
Grazie comunque per la lezioncina rapida (magari sono cose che sapevo, ma a
quest'ora i neuroni si rifiutano di collaborare :/)
Un Gabry shutdown :-)


 nel log.
No no, volevo dire proprio l'SMTP server :-)
Un Gabry e il granito :-)


 surrogato di un nslookup/ipblock :-)
Non   volevo dare l'impressione   di fare  il  saputello, anzi ammetto
tranquillamente che su  queste cose  (e  non sonlo) io  sono parecchio
ignorante.
Il sito di  Leonardo  e` molto buono,   ma purtroppo la  lettura degli
header (almeno per me) richiede molta pratica e solo recentemente dopo
aver studiato anche tutti gli altri tutorial che  ho trovato in giro e
da quando seguo regolarmente NANAE comincio ad inquadrarli.
Cio`  non toglie che posso dire  cazzate (e le dico),   ma a parte che
spero sempre di venire corretto da Furio o Marco  o lo stesso Leonardo
(spero  che prima o  poi torni), mi   prendo la responsabilita` di far
brutte  figure  pubbliche solo per  contribuire  a  diffondere sia  le
conoscenze  tecniche   necessarie  per combattere    lo   spam, sia le
informazioni  necessarie per  capire  l'importanza  e a gravita`   del
problema.
Per fare questo quando ho tempo prendo le richieste di lettura header,
soprattutto quelle che non hanno ancora  avuto risposta, le analizzo e
rispondo cercando di fornire anche il background necessario per capire
(o  almeno ci  provo),  tutto questo mi costa   fatica e  tempo, ma lo
faccio  con l'unico scopo  di dare anche agli altri  la canna da pesca
che mi sono costruito (per quanto patetica sia) piuttosto che il pesce
di gandhiana memoria. 
E`  chiaro che e` possibilissimo che  la persona  a cui rispondo abbia
gia` una canna da  pesca e magari neanche patetica  come la mia,  ma a
parte che non posso  saperlo  a priori,  e`  sempre possibile che   in
questo caso nasca un dibattito ancora piu` utile  di quanto ho sperato
fosse il mio post originale.
Spero quindi che mi perdonerai il tono delle mie risposte.


 OK, va bene, rispiego solo il dubbio ceh avevo:
[cut]
Adesso ti ho capito. In effetti se guardi i whois:
	UFCW Local 23 (UFCW33-DOM)
   		345 South Pointe Boulevard
   		Canonsburg, PA 15137
   		US
   		Domain Name: 
UFCW23.COM
 
   	Administrative Contact, Billing Contact:
      		Kean, Ron  (RK9843)  
r...@UFCW23.COM
      		UFCW Local 23
      		345 South Pointe Boulevard
      		Canonsburg , PA 15317
 
1-800-562-2523
 (FAX) 
724-514-3236
   	Technical Contact:
      		DNS Administration  (QC271-ORG)  
dns...@QWESTIP.NET
      		Qwest Communications International Inc.
      		4250 FAIRFAX DRIVE, 12W060
      		ARLINGTON, VA 22203-1607
      		USA
 
703-363-0220
mi pare evidente  che il sig.  Ron   Kean abbia registrato il  dominio
UFCW23.COM
,   ma  avendoci  evidentemente   una  sola  macchina non ha
ritenuto di aggiungere  un ulteriore  sottolivello  nel dns  e  quindi
l'unico hostname coincide col nome dell'intero dominio.


 Spero quindi che mi perdonerai il tono delle mie risposte.
Non ti perdono un bel niente, invece, visto che non hai nulla da farti
perdonare :-)
Un Gabry pescatore nel torbido... :-)
