Newsgroup: it.news.net-abuse
Titolo: [STATISTICHE] spam rifiutato da attila.bofh.it (gennaio 2008)

Queste sono le statistiche aggregate dello spam rifiutato da
attila.bofh.it
 tra queste date:
Jan 6 06:52:57
Feb 3 06:55:25
Al momento della generazione di queste statistiche, il server era
protetto (nell'ordine) da queste DNSBL:
ip.private-dnsbl.bofh.it
zen.spamhaus.org
list.dsbl.org
combined.njabl.org
bhnc.njabl.org
dul.dnsbl.sorbs.net
3067329 78.20% Bad HELO
 626525 15.97% DNSBL 
xbl.spamhaus.org
 151042  3.85% Client host rejected
  33200  0.85% DNSBL 
ip.private-dnsbl.bofh.it
  18650  0.48% DNSBL 
dul.dnsbl.sorbs.net
   8745  0.22% Relay access denied
   7912  0.20% DNSBL 
list.dsbl.org
   2994  0.08% Sender address rejected
   1599  0.04% header checks
   1267  0.03% Recipient address rejected
   1147  0.03% DNSBL 
bhnc.njabl.org
    610  0.02% DNSBL 
rhs.private-dnsbl.bofh.it
    401  0.01% Bad pipelining (Client host)
    325  0.01% DNSBL 
sbl.spamhaus.org
    323  0.01% Need FQDN address
    187  0.00% Bad pipelining (Helo command)
     86  0.00% DNSBL 
combined.njabl.org
     31  0.00% Multi-recipient bounce
     17  0.00% body checks
      5  0.00% Bad pipelining (Data command)
3922395        TOTAL
Rejected headers:
   1090 68.17% spam 0x20970004
    284 17.76% keep your viruses for yourself (ZIP)
    139  8.69% no executable attachments allowed
     81  5.07% Your mailer is not RFC 2047 compliant
      4  0.25% do not send stupid bounces
      1  0.06% message content rejected
Rejected bodies:
     17 100.00% keep your viruses for yourself (hidden iframe)
Rejected HELO commands:
1147421 37.41% generic HELO hostname
1037957 33.84% IP literal in HELO hostname
 721696 23.53% unqualified HELO hostname
  77110  2.51% Invalid name
  63992  2.09% forged HELO hostname
  14025  0.46% fake IP literal in HELO hostname
   5128  0.17% using my own HELO hostname
Popular DNSBL listings:
     54 16.62% SBL 60299
    271 83.38% others (47 different)
Popular local source-based rejections:
  88409 58.53% we do not accept mail from dynamically-assigned addresses
  38982 25.81% Too much spam from CHINANET
  15412 10.20% too much spam from this network
   7951  5.26% non accettiamo posta da IP dinamici
    199  0.13% Too much spam from 
chinamobile.com
     75  0.05% Too much spam from China Railways
     14  0.01% Too much spam from 
gwbn.net.cn
Most rejected networks:
 133120  3.40% 
88.224.0.0/11
 131893  3.36% 
121.128.0.0/10
  69416  1.77% 
59.0.0.0/11
  38175  0.97% 
125.128.0.0/11
  36502  0.93% 
85.96.0.0/13
  32088  0.82% 
58.224.0.0/12
  28362  0.72% 
190.42.0.0/16
  26902  0.69% 
124.48.0.0/12
  26287  0.67% 
222.96.0.0/12
  24419  0.62% 
123.16.0.0/13
  23680  0.60% 
78.160.0.0/11
  23424  0.60% 
125.176.0.0/12
  23014  0.59% 
221.144.0.0/12
  22462  0.57% 
90.148.0.0/16
  20050  0.51% 
211.208.0.0/13
  19957  0.51% 
122.32.0.0/12
  19699  0.50% 
85.104.0.0/14
  19178  0.49% 
211.216.0.0/13
  18593  0.47% 
87.109.128.0/17
  18439  0.47% 
201.240.128.0/17
  18371  0.47% 
83.0.0.0/11
  17494  0.45% 
218.144.0.0/12
  16616  0.42% 
86.128.0.0/10
  16395  0.42% 
77.64.0.0/17
  16352  0.42% 
211.224.0.0/13
  15852  0.40% 
81.212.0.0/14
  15840  0.40% 
220.80.0.0/13
  15691  0.40% 
211.200.0.0/13
  13879  0.35% 
222.252.0.0/14
  13860  0.35% 
222.112.0.0/13
  13754  0.35% 
211.192.0.0/13
  12823  0.33% 
71.160.0.0/11
  12389  0.32% 
61.72.0.0/13
  12080  0.31% 
220.72.0.0/13
  12018  0.31% 
61.80.0.0/14
  11947  0.30% 
190.20.0.0/15
  11888  0.30% 
125.26.0.0/16
  11704  0.30% 
86.60.0.0/17
  11319  0.29% 
221.160.0.0/13
  10950  0.28% 
190.48.0.0/14
  10848  0.28% 
220.116.0.0/14
  10636  0.27% 
220.120.0.0/13
  10466  0.27% 
88.0.0.0/11
  10415  0.27% 
222.232.0.0/13
   9191  0.23% 
201.232.0.0/15
   8997  0.23% 
87.0.0.0/12
   8842  0.23% 
91.122.0.0/16
   8806  0.22% 
200.106.0.0/17
   8511  0.22% 
62.150.128.0/17
   8493  0.22% 
58.120.0.0/13
   8368  0.21% 
58.8.0.0/14
   8366  0.21% 
122.160.0.0/12
   7991  0.20% 
81.128.0.0/11
   7836  0.20% 
200.104.0.0/17
   7563  0.19% 
190.45.0.0/16
   7540  0.19% 
221.138.0.0/15
   7372  0.19% 
201.223.0.0/16
   7342  0.19% 
78.36.0.0/15
   7291  0.19% 
190.40.192.0/19
   7255  0.19% 
221.140.0.0/14
   6988  0.18% 
87.109.0.0/17
   6851  0.17% 
219.254.0.0/15
   6761  0.17% 
211.104.0.0/14
   6713  0.17% 
84.56.0.0/13
   6667  0.17% 
124.120.0.0/15
   6657  0.17% 
196.205.128.0/18
   6617  0.17% 
85.72.0.0/14
   6572  0.17% 
79.0.0.0/12
   6508  0.17% 
218.236.0.0/14
   6505  0.17% 
190.43.0.0/17
   6446  0.16% 
77.96.0.0/13
   6353  0.16% 
201.240.96.0/19
   6351  0.16% 
211.176.0.0/14
   6292  0.16% 
82.32.0.0/12
   6229  0.16% 
218.232.0.0/15
   6193  0.16% 
86.0.0.0/11
   6052  0.15% 
190.40.128.0/18
   6015  0.15% 
201.143.0.0/16
2594998 66.19% others (32893 different)
Most rejected AS:
 506938 12.93% 4766
 242504  6.19% 9121
 206820  5.27% 9318
 167046  4.26% 6147
 114410  2.92% 0
  79376  2.02% 17858
  64430  1.64% 22047
  53977  1.38% 25019
  48633  1.24% 19262
  46942  1.20% 3269
  44297  1.13% 7418
  41765  1.07% 9737
  39782  1.01% 9498
  39644  1.01% 24863
  39441  1.01% 7643
  36694  0.94% 2856
  35757  0.91% 4134
  33053  0.84% 5089
  32774  0.84% 19429
  29416  0.75% 8151
  29262  0.75% 25233
  28806  0.73% 3352
  28020  0.71% 5617
  26811  0.68% 3786
  23314  0.59% 6739
  22099  0.56% 7738
  21824  0.56% 5462
  21179  0.54% 4837
  21053  0.54% 3816
  20240  0.52% 10318
  19758  0.50% 8167
  19598  0.50% 4788
  19578  0.50% 8997
  19092  0.49% 16338
  18623  0.47% 18403
  18534  0.47% 9829
  18048  0.46% 22927
  17023  0.43% 6400
  16565  0.42% 6830
  16077  0.41% 7470
  15788  0.40% 8065
  15787  0.40% 3209
  14960  0.38% 4755
  14935  0.38% 8048
  14573  0.37% 9155
  14537  0.37% 10620
  14149  0.36% 15557
  14122  0.36% 8359
  13329  0.34% 27699
  12971  0.33% 6332
  11844  0.30% 20858
  11487  0.29% 3215
  11252  0.29% 3320
  11213  0.29% 17864
  10925  0.28% 28573
  10323  0.26% 4812
  10077  0.26% 6799
  10072  0.26% 25229
   9929  0.25% 10036
   9876  0.25% 12479
   9774  0.25% 10481
   9648  0.25% 7132
   9604  0.24% 14080
   8911  0.23% 3462
   8887  0.23% 8551
   8629  0.22% 17839
   8575  0.22% 3243
   8513  0.22% 21502
   8493  0.22% 209
   8443  0.22% 9105
   8340  0.21% 20838
   8079  0.21% 4808
   8041  0.21% 21826
1225490 31.26% others (5239 different)
-- 
ciao,
Marco

 3067329 78.20% Bad HELO
Che controlli implementi con postfix?
In particolare, cosa intendi per
"generic HELO hostname"


Helo del tipo: "
hostKK-ZZ-static.YY-XX-b.business.telecomitalia.it
"

 Helo del tipo: "
hostKK-ZZ-static.YY-XX-b.business.telecomitalia.it
"
Ok.
E con che espressioni regolari li becchi?
Io ho questi:
/^[ax]?dsl.*\..*\..*/i
/[.-][ax]?dsl.*\..*\..*/i
/client.*\..*\..*/i
/dynamic.*\..*\..*/i
/cable.*\..*\..*/i
/pool.*\..*\..*/i
/dial.*\..*\..*/i
/ppp.*\..*\..*/i
/dslam.*\..*\..*/i
/node.*\..*\..*/i
Tu ci butti dentro pure static.* ?

 Tu ci butti dentro pure static.* ?
Un po' più di fino:
$ wc -l generic-rdns-patterns
     1983 generic-rdns-patterns
:-P
Marco 'nin zo...

 :-P
Urka!
E ce n'è qualcuno che si scarica da qualche parte?

 E ce n'è qualcuno che si scarica da qualche parte?
Boh: qualcuno aveva postato qualche link tempo fa, ma non mi son mai 
fidato di provarli, e non li ho in bookmark.
Quella lista lì è stata compilata internamente nel corso degli anni, 
insieme a svariate altre...

 E ce n'è qualcuno che si scarica da qualche parte?
Di completi non ne trovi in giro facilmente.
Ciascun mailadmin è in genere abbastanza geloso delle proprie regole, non
per cattiveria verso gli altri, ma perché se le proprie regole venissero a
conoscenza degli spammer, questi potrebbero facilmente bypassarle,
invalidando un ruleset che magari è costato qualche mese di lavoro.
Dato che le regole in genere vengono create in seguito ad una meticolosa
analisi dei campioni di spam, puoi provare ad infittire il tuo "prontuario"
sottoscrivendo nanas (news.admin.net-abuse.sightings), dove vengono
pubblicati diversi campioni di spam da cui trarre spunto.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Ciascun mailadmin è in genere abbastanza geloso delle proprie regole
Sto già greppando /var/log/maillog*
;-)

> Io ho questi:
http://www.linuxmagic.com/opensource/anti_spam/dynamic_regex/
ciao

 
http://www.linuxmagic.com/opensource/anti_spam/dynamic_regex/
Grazie mille!

 Grazie mille!
de nada; già che ci siamo
^([a-zA-Z0-9]([a-zA-Z0-9\-_]{0,61}[a-zA-Z0-9])?\.)+[a-zA-Z]{2,6}$|^\[[12
]?\d{1,2}\.[12]?\d{1,2}\.[12]?\d{1,2}\.[12]?\d{1,2}\]$# RFC-1123
^\[(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(?:25[0-5]|2[0-4][0-
9]|[01]?[0-9][0-9]?)\]$# bracketed IP
queste verificano che l'HELO sia "*valido*"