Newsgroup: it.news.net-abuse
Titolo: libero e telecom?


X-XaM3-API-Version: 4.1 (B19)
X-type: 0
X-SenderIP: 80.182.74.115

"
maxkava.com
" <ka...@inwind.it.invalid> ha scritto nel messaggio
news:khkrsv8il2vaehrd2...@4ax.com...

Si, sono i tipici headers di una mail inviata dalla webmail del portale di
Libero
e l'Ip di provenienza è proprio 80.182.74.115
--
Ciao,
Paola
~ I don't want your hand this time, I'll save myself ~

X-SenderIP: 80.182.74.115
Queste righe le aggiunge il software di webmail, ovviamente possono
essere aggiunte a mano da chiunque, ma in questo caso (per le premesse
fatte sopra) sono corrette
Quindi LART a abuse [at] 
telecomitalia.it
 per l'IP e abuse [at]
libero.it
 per l'account usato per loggarsi nella webmail
-- 
Saluti,
Cataldo Cigliola


libero.it
 per l'account usato per loggarsi nella webmail
ok, fatte entrambe, volevo capire se l'ip telecom era trusted :-)
mk

aggiunte a mano? forse sono tonto :-P
"queste poi, 193.70.192.41 e' risolto dai dns di libero in
wpop5.libero.it
(che e' una delle macchine della webmail)."
queste?
cioč siccome quell'ip č risolto da una macchian webmail, quell'ip
telecom č trusted?
(ma io utente qualcunque posso sapere se wpop5 č *certamente* un
server webmail? oppure immagino che lo sia perchč c'č wpop?)
mk

aggiunte a mano? forse sono tonto :-P
Quelle sopra :-)  (che adesso ho omesso di quotare)
Questo header non e' falsificabile usando la webmail di libero, per
cui se vedi l'accoppiata (smtp di libero <- wpop di libero
<-X-SenderIP) puoi fidarti ciecamente
Se invece lo vedi in ambito diverso (es. smtp di libero <- ip di un
dialup <- X-SenderIP) e' sicuramente falso.
-- 
Saluti,
Cataldo Cigliola

Questo header non e' falsificabile usando la webmail di libero
ok, questo mi è chiaro.
ma è così perchè lo dici tu..e ovviamnete sapendo chi sei e cosa fai
nella vita mi fido :-)
in genere però, questo non vale: giusto?
mk

in genere perň, questo non vale: giusto?
Certo... parliamo di questo specifico caso 
-- 
Saluti,
Cataldo Cigliola

 in genere perň, questo non vale: giusto?
ciao max,
 per questo specifico caso ti ha risposto cataldo, e nessuno lo puo' fare
meglio di lui.
per gli altri casi puo' valere ugualmente. Ad esempio il primo received in
alto sara' sempre quello del tuo provider. Ti fidi di lui ? Sai che ha i
server ben configurati ? Ok, allora puoi considerare per buono anche il
secondo (ovviamente fai distinzione fra il nome passato e l'ip vero).
Se l'ip vero risolve ad un server di cui ti fidi (i principali provider, i
cui server sai esser ben configurati), puoi continuare a seguire la catena
dei received.
Ovviamente questo non vale quando trovi macchine strane, ip di dialup che
possono essere open proxy ecc. In poche parole, parti dall'alto, e fermati
al primo ip di cui non ti fidi.

secondo (ovviamente fai distinzione fra il nome passato e l'ip vero).
attenzione, non parlavo di ip dei received (la "cascata" di received e
la sua affidabilità mi è chiara), ma dell'ip che era stato aggiunto a
fondo degli header (x-originating IP) che può essere falso.. quindi
chiedevo come posso fare io utente qualsiasi a sapere se quel received
è fasullo o trusted (non sempre c'è cataldo e la webmail di libero
:-P)
mk

 :-P)
Rileggi 
www.collinelli.net/antispam
 sui ceci ;-)
Riassumendo: se sai che l'email viene da un certo server, e sai che il
software usato da quel server aggiunge certi header, allora puoi
assumere per veri quegli header. Nel sito di collinelli c'è un esempio
concettualmente simile qui:
http://www.collinelli.net/antispam/as0050.htm
 "un esempio
interessante".
In sintesi, quindi, ti procuri o spedisci un messaggio email di/da
quel server, e vedi quali header aggiunge, e poi fai il confronto con
la tua email sospetta.
Chiaramente se non disponi di un campione "genuino" che ti faccia
capire come si comporta quel server, oppure non si tratta di una
situazione già nota, non puoi saperlo. E se un X-Originating-ip lo
puoi semplicemente scartare, più problematico è se quel server omette
il Reiceived: o accetta un Helo così lungo da nascondere le vere
informazioni  (come nell'esempio del Collinelli).
bye Krmel
-- 
Questo messaggio ha eseguito un'operazione non valida e viene terminato.
Se il problema persiste, reinstallare tutti i partecipanti al newsgroup.

la tua email sospetta.
è noto che se l'ip è di un provider indonesiano, io mi iscriverò al
servizio di webmail di quel provider per vedere se davvero aggiunge
l'x-originating ip e se lo aggiunge corretto...
mk

 l'x-originating ip e se lo aggiunge corretto...
Sperando di beccare lo stesso server...
-- 
*                 HappyCactus - Linux User #209744                 *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

Sperando di beccare lo stesso server...
appunto..quindi sui ceci ci va lui :-P
mk

 l'x-originating ip e se lo aggiunge corretto...
non è necessario, se segui il consiglio di Collinelli ;-)


 appunto..quindi sui ceci ci va lui :-P
Intanto inizia a fare un esempio di webmail (reale, pubblica e
legittima) che permetta la manipolazione degli header, perché
altrimenti si resta nei discorsi di pura accademia non suffragati da
elementi concreti per sostenere una tesi o un'altra. 


non č necessario, se segui il consiglio di Collinelli ;-)
imho non applicabile :-)
(se č il consiglio che intendi...ma tu, quale intendi?)
mk

legittima) che permetta la manipolazione degli header
attenzione: la mia dopmanda iniziale non era questa ...
ma: se mi arriva mail da webmail "sconosciuta", come posso sapere se
l'ip aggiunto dal server č reale o meno?
(nell'ipotesi ovviamente di non avere campione di webmail e non
poterlo procurare..)
mk

 l'ip aggiunto dal server è reale o meno?
E la risposta (imho) non cambia, se è una webmail non permette la
manipolazione degli header, altrimenti, siccome risiede su ip fissi,
sarebbe già noto questo suo comportamento con tanto di esempi
facilmente reperibili. Per cui fino a prova contraria  si può assumere
che gli header aggiunti da essa siano veritieri. 
Una verifica va sempre fatta, ma non soltanto per le webmail, per
qualunque tipo di spam non già conosciuto.
bye Krmel che ormai riconosce molti spammer a "colpo d'occhio di
header"


manipolazione degli header, 
ma io non posso sapre se è una webmail... voglio dire, non pensare al
caso in questione (telecom/libero), ma davvero ad un isp cinese.. io
non ho la possibilità di vedere se davvero quella webmail aggiunte ip
o meno :-)
nel dubbio, propendo per il sono falsi...
mk