Newsgroup: it.news.net-abuse
Titolo: Sono Vittima di Open relay ?

Ciao,
non so se e' il termine giusto ma il il mio mail server ( merak ) sta
spedendo messaggi inviati da SYSTEM ad indirizzi a me sconosciuti.
Sono vittima di open relay? se si' come mi difendo?
---
ciao e grazie
grenzo

 Sono vittima di open relay? se si' come mi difendo?
NNTP-Posting-Host: 
mail.lampo.it
 (217.57.21.250)
forse ho capito male... tu sei l'amministratore di (217.57.21.250) ?
ahem, in quel caso non e' che tu devi difenderti da un open relay, ma sei tu
l'open relay.
E il resto di internet si sta gia' difendendo da te.
http://openrbl.org/ip/217/57/21/250.htm
Fai una cosa, scollega il tuo mail server (merak per windows) da internet, e
leggiti il manuale.
Da qualche parte dovresti trovare una feature che sul sito nominano come
ANTI RELAY - ANTISPAM, che dovrebbe essere nella parte SECURITY del manuale
(almeno per la versione 4.4.2 che pubblicizzano sul sito).
Poi fai tutti i test, e quando sei sicuro di averlo configurato bene
riattaccalo ad internet. E poi vedi di farti tirar fuori da tutte le DNSBL
nelle quali sei finito.

 nelle quali sei finito.
infine crea e *leggi* postmaster@dominio e se ha degli utenti
abuse@dominio. 
-- 
ciao | Siti web utili su Usenet: fatti un link piu` corto.
cf   | Segnalare un link chilometrico in uno spazio ragionevole?
-----+ Crea un alias permanente di dimensioni ridotte:
 
http://makeashorterlink.com
 

 nelle quali sei finito.
cosa sono le DNSBL? e come faccio a tirarmi fuori?
grazie 1000 x l'aiuto
ciao
grenzo

 cosa sono le DNSBL? e come faccio a tirarmi fuori?
il modo migliore e di non finirci dentro. Comunque prima di tutto *CHIUDI*
quel relay aperto ! Poi scrivi pure qui e vedo di darti una mano. Ma fammi
(e fatti una cortesia) stacca la spina fino a quando non lo hai bloccato.
Siete (ab)usati per spammare internet da un mese ormai !

 Siete (ab)usati per spammare internet da un mese ormai !
un mese? blah, e come faccio ad accorgermi se sono usato x spammare?
ciao e grazie, spero, con il tuo aiuto, di risolvere il problema...
---
grenzo

 un mese? blah, e come faccio ad accorgermi se sono usato x spammare?
Non lo avete saputo come risultato di due scelte precise che avete
effettuato.
La prima e' stata quella di chiudere postmaster:
http://work-rss.mail-abuse.org/cgi-bin/nph-rss?query=217.57.21.250
"7 May 2002 10:21:47 -0400 : We tried to warn this site of the RSS 
 listing, but their server didn't accept that warning."
La seconda e' quella di aver scelto Interbusiness per la vostra
connettivita'.  Avrete forse risparmiato, ma forse non avete 
valutato con attenzione tutti gli aspetti e i "costi nascosti". 
route:        
217.56.0.0/14
descr:        INTERBUSINESS
origin:       AS3269
remarks:      Send report of network abuse/spam
remarks:      only to: 
ab...@interbusiness.it
 .
remarks:      If you report abuse to any other address
remarks:      you will get no response.
Da notare: *only*.  Questo significa che tutte le segnalazioni
da tutto il mondo sono andate a 
ab...@interbusiness.it
, ossia
al vostro fornitore.  Il quale apparentemente non vi ha detto
nulla e ha lasciato tranquillamente che il vostro server
venisse inserito in numerose blacklists.
Questo ovviamente non sorprende nessuno qui: tutti i mail system
administrators _del mondo_ sanno che 
ab...@interbusiness.it
 
e' un buco nero.
Sapete, non tutti gli ISP funzionano cosi', e alcuni persino
si peritano (alle volte) di avvisare i clienti _altrui_,
intervenendo sui propri clienti con tempistiche dell'ordine di
al massimo un'ora.
Cordiali saluti
furio ercolessi
Spin - Gestione antispam
http://www.spin.it/spam/


Controllato e provato: gli indirizzi nel Realying From sono quelli: pero' il
file di log di smtp continua ad avere messaggi del tipo:
SYSTEM        [000002D0] Tue, 11 jun 2002 17:11:02 +0200 Client session
Connecting to "
internetcorp.net
"
SYSTEM        [000002D0] Tue, 11 jun 2002 17:11:02 +0200 Client session
Could not connect
SYSTEM        [000002D0] Tue, 11 jun 2002 17:11:02 +0200 Client session
Disconneted
SYSTEM        [000002D0] Tue, 11 jun 2002 17:11:02 +0200 Client session DNS
server 212.131.30.42 issuing MX query for "yahoo,com"
poi:
64.157.4.85   [00000694] Tue, 11 jun 2002 17:11:14 +0200 Client session
Connected
cosa vuol dire? che ha cercato di spedire  un messaggio ? ma se il replay
era consentito sono agli indirizzi che ho inserito in Replaying From !! mi
fai capire?
---
ciao e grazie

 furio ercolessi
Ok, hai ragione ma non sono scelte che ho fatto io, purtroppo adesso devo
cercare di uscirne fuori... ogni aiuto e' benvenuto
ciao

 file di log di smtp continua ad avere messaggi del tipo:
appunto .... stacca quel serverrrrr!!!
mk

 ciao e grazie, spero, con il tuo aiuto, di risolvere il problema...
al momento ho richiesto su 
www.ordb.org
 un retest del tuo relay.
se mi conferma che e' chiuso poi ti do una mano a rimuoverti anche dalle
altre blacklist.
e leggiti i manuali di quel server, ha diverse ottime funzionalita'
antispam.

 fai capire?
RELAYING, che e' diverso da replaying (just in case non fosse un typo).
Comunque, se non c'e' sotto altro (proxy aperti ecc ecc), ma era solo un
relay aperto, adesso direi che :
e' chiuso
accetta postmaster
accetta abuse
dai un'occhiata se hai ancora in coda vecchi messaggi di spam. Magari stai
solo provando a consegnare un pacco di spam che hai ricevuto quando eri
aperto. Non so esattamente la struttura, ma di probabilmente hai un folder
queued o deferred o forward o temp o qualcosa di simile sotto mail. Blocca
il server e vedi (con un editor di testi tipo il notepad) il contenuto dei
messaggi che hai in coda.
Ti ripeto il consiglio... STACCALO DA INTERNET finche' non hai fatto le
verifiche.
Non preoccuparti per chi ti scrive. Qualsiasi mail server semi decente
dovrebbe tenere in coda anche per un paio di giorni i messaggi a te
destinati. Per cui non succede nulla se stacchi il cavo di rete per qualche
ora finche' non fai tutti i controlli.



 Per vedere se il tuo server fa relay ad altri la cosa più semplice è
andare sul server e fare un bel telnet 
relay-test.mail-abuse.org
Se passi quelli sei abbastanza sicuro che fai relay solo a chi vuoi te
(io lo faccio ad ogni aggiornamento del sw e ogni tanto per vedere se
sono usciti nuovi test)
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Sentito da una programmatrice:
	"Ma vi capita mai nella vita reale, tipo mentre
	rifate il letto di dire 'Ho sbagliato, pigio ctrl-Z'?"


Ok, procedo e domani ti so dire...
grazie 1000
ciao
grenzo

un mese? blah, e come faccio ad accorgermi se sono usato x spammare?
Guardi il log? Guardi il traffico?
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 questo?
La terribile banda del localhost è in ferie, in questo periodo.
127.0.0.1 lo puoi vedere solo tu dalla macchina :-)
--
Valerio Granato
http://www.musicoff.com
 - Music Online For Free
La Grande Comunità Online per Musicisti

 scriverci privatamente
no, sei perfettamente in topic qui. Anzi, una discussione del genere puo'
essere di aiuto ad altri. Semmai ti invito, dopo lo 'scherzetto' che ti
hanno fatto gli spammer a seguire il gruppo e provare con calma a capire
come configurare bene il tuo server. Puoi fare di piu' che non inviare spam
su internet : puoi evitare di riceverlo. Una macchina in piu' ben
configurata con le DNSBL, white e black list (tutte cose che il tuo server
supporta) non fa di sicuro male, e visto che dove lavori sei tu il 'nuovo'
sistemista, forse gradiscono il fatto che non solo li tiri fuori dalle black
list mondiali, ma anche proteggi le loro caselle di posta dallo spam.

127.0.0.1 lo puoi vedere solo tu dalla macchina :-)
lo dici tu. noi non andiamo *mai* in ferie. se c'e' un pc collegato in
rete, noi siamo li <G>.
alek :)
-- 
agente operativo del BINT
appartenente ai gruppi d'assalto del SCS
presidente del LSFC
hacker della terribile banda del localhost


Ciao Marco, non riesco ancora ad inviare posta. Ho consultato il Lookup do
ordb.org
 e dicono che il mio host non e' nella loro lista. Come posso fare x
rispristinare il tutto?


 rete, noi siamo li <G>.
Ah eccoti! E' che non ti vedevo più in giro... OHI! 127.0.0.1 su tutti
i miei PC e server! AIUTO!
[f/u a me, che qui ci picchiano]


 rete, noi siamo li <G>.
Anche se non e' collegato, a noi basta che sia installato un qualsiasi
supporto alle reti, locali o geografiche che siano.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 rispristinare il tutto?
http://work-rss.mail-abuse.org/cgi-bin/nph-rss?query=217.57.21.250
per l'uscita da RSS.
Poi c'e' ancora 
inputs.relays.osirusoft.com
  --> 
http://relays.osirusoft.com/
furio ercolessi
http://www.spin.it/spam/

 ha scritto nel messaggio
news:3D089A3C...@spin.it...

grazie furio...
ciao

 i manuali li ho letti ...
Forse ti sei perso questa pagina:
http://www.icewarp.com/Learning/DNS_Configuration.asp
Scommetto che le righe con SYSTEM sono le query MX ai vari DNS.
Dove l'ho scoperto pur non conoscendo merak? Ti confessero' uno
dei segreti del perfetto interpretatore di log [1]:
http://www.google.it/search?q=Client+Session+DNS+Server
+issuing+MX+query&lr=
E il primo hit e' proprio...
Fabio
PS: le chiavi di ricerca le ho prese da uno stralcio di log che
    hai inviato su icsv. Ho postato qui perche' il thread su li
    forse non lo seguivi piu'.
[1] ma forse bastava una infarinatura su come funzionano i DNS.
    Leggi quella pagina di manuale di cui ti ho dato il link. E
    non appena hai tempo, anche il resto del manuale ;)