Newsgroup: it.news.net-abuse
Titolo: Interpretazione header

Salve,
Sto imparando a interpretare, per quanto possibile, gli headers dei messaggi 
di spam per tentare di reclamare, dato che neanche i filtri delle moderne 
mailbox riescono a bloccarli...
Vi riporto un paio di headers, spero mi possiate aiutare a capire, sembrano 
tutti (tranne l'indirizzo ip) dello stesso formato. Gli asterischi 
sostituiscono indirizzi email.
Received: from FBCMMI01B01.fbc.local ([192.168.69.88]) by 
FBCMST06V03.fbc.local with Microsoft SMTPSVC(6.0.3790.3959);
  Sun, 15 Jun 2008 21:49:29 +0200
Received: from FBCMMX01B03.fbc.local ([192.168.69.32]) by 
FBCMMI01B01.fbc.local with Microsoft SMTPSVC(6.0.3790.1830);
  Sun, 15 Jun 2008 21:49:30 +0200
Received: from hp ([79.27.173.129]) by FBCMMX01B03.fbc.local with Microsoft 
SMTPSVC(6.0.3790.1830);
  Sun, 15 Jun 2008 21:49:29 +0200
Received: from [79.27.173.129] by 
mx1.hdsmith.com
; Sun, 15 Jun 2008 20:49:28 
+0100
From: Fornire Pillole <****>To: <*******>
Subject: Medicina Per Pigri - Solo per EuroFarmacia
Date: Sun, 15 Jun 2008 20:49:28 +0100
...
e questo:
Received: from FBCMMI01B07.fbc.local ([192.168.69.47]) by 
FBCMST06V03.fbc.local with Microsoft SMTPSVC(6.0.3790.3959);
  Mon, 16 Jun 2008 15:18:03 +0200
Received: from FBCMMX01B03.fbc.local ([192.168.69.32]) by 
FBCMMI01B07.fbc.local with Microsoft SMTPSVC(6.0.3790.1830);
  Mon, 16 Jun 2008 15:18:04 +0200
Received: from v-eb5d91c8bd804 ([79.33.87.189]) by FBCMMX01B03.fbc.local 
with Microsoft SMTPSVC(6.0.3790.1830);
  Mon, 16 Jun 2008 15:18:02 +0200
Received: from [79.33.87.189] by 
mail.practicalonlinemarketing.com
; Mon, 16 
Jun 2008 14:18:01 +0100
Message-ID: <01c8cfbb$c8843280$bd57214f@pschris>
From: Delle Nazioni Unite <***>
To: <****>Subject: SUSPECT: Tutte le Carte di Credito Accettate
Date: Mon, 16 Jun 2008 14:18:01 +0100
Ora le domande:
HO provato a mandare una mail a me stesso per esaminare gli headers e 
risultano uguali ai primi due  delle mail che vi ho presentato. Quindi i 
primi due received sono del mio server (alice).
Domanda: IL terzo received, dice che alice ha ricevuto la mail da un 
computer che aveva indirizzo ip scritto tra ([])?
Il from dopo il campo received non mi dà nessuna informazione utile, giusto?
IL quarto received, contiene nel campo from gli stessi indirizzi ip di 
prima, ma credo sia falso. Mi sbaglio?
Suppongo che sia falso perché non c'è il ([]) che contiene l'ip che è stato 
usato per inviare la mail. E' possibile che il server non includa l'ip 
utilizzato nel suo received?
C'è qualcos'altro che ho tralasciato?
Grazie in anticipo per i chiarimenti


[cut]
Gli IP di partenza sono entrambi appartenenti a reti sotto il
controllo di Telecom Italia; sono IP dinamici.
Segnala quindi lo spam ad abuse*
retail.telecomitalia.it
 ed
abuse*
telecomitalia.it
 (il primo perché sarà qualche utonto
residenziale infetto ed il secondo perché così è indicato al RIPE).
I server Telecom, come puoi notare dagli IP privati ed i nomi degli
host, in questo caso non sono il massimo della chiarezza, ma credo che
l'IP do origine sia quello indicato (79.27.173.129 e 79.33.87.189).
Gabriele

 ha scritto nel messaggio 
news:a1d15c3b-2485-4532...@b1g2000hsg.googlegroups.com...

[cut]


Gabriele
Grazie Gabriele,
Riguardo invece a quella parte del received che dice by 
mail.practicalonlinemarketing.com
;
è falsa?

 è falsa?
Non so se e come venga eventualmente modificato il percorso reale dai
mail server Telecom, ma ipotizzo che la macchina compromessa contenga
un suo mailer (se noti l'ora è la stessa, ma indica GMT +1 sull'host
spammante e +2 sui server T.I. che hanno l'ora giusta).
Forse il giro che fa la posta è: macchina infetta IP locale -> mailer
abusivo sulla stessa macchina -> mail server Telecom; quindi la riga è
"falsa" nel senso che non esce dal pc compromesso per andare verso una
fantomatica '
mail.practicalonlinemarketing.com
'.
Oppure è proprio una riga farlocca, ma mi pare una cosa inutile...
Non so se mi son spiegato :)
G.

 Oppure è proprio una riga farlocca, ma mi pare una cosa inutile...
E' farlocca.