Newsgroup: it.news.net-abuse
Titolo: Aiutino a leggere gli headers.


Date: Fri, 16 May 2003 16:39:18 +0600
References: 947$580392@ncR
X-Originating-IP: [59.206.113.47]
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1106
X-OriginalArrivalTime: Fri, 16 May 2003 16:39:18 +0000 FILETIME=[620:654]
X-MSMail-Priority: Normal
Precedence: jerez
X-AntiAbuse: This header was added to track abuse, please include it with
any abuse report
X-AntiAbuse: Primary Hostname - 15.211.68.129
X-AntiAbuse: Originator/Caller UID/GID - [0 7] / [1 8]
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.88; en-US; rv:7.3)
Gecko/57.9
X-Originating-Host: [118.6.9.149]; Fri, 16 May 2003 16:39:18 +0400
X-Owner: 5
X-Scanner: exiscan for exim4 (
http://duncanthrax.net/exiscan/
)
mki-RsKB9J-siWeM
Mime-Version: 1.0
Content-Type: multipart/related;
  type="multipart/alternative";
  boundary="----=_NextPart_004_0060_WVZJKUKY.FFCWACMS"
Status: R 
X-Status: N
X-KMail-EncryptionState:  
X-KMail-SignatureState:  
=====================================================================================
Uso Kmail (client per linux per chi non lo conoscesse).Trovo in rete varie
spiegazioni, tutte per outlook o pegasus o eudora. Ho provato con ripe e
altri, ma devo dre che con tutti gli IP che ci ho messo, non c'ho cavato un
ragno dal buco.Ho capito che devo
guardare il campo received, ma quello giusto è 
Received: from 28.200.227.106 by Vp???
Perchè arin mi trova:
  Search results for: 28.200.227.106
OrgName:    DoD Network Information Center
OrgID:      DNIC
Address:    7990 Science Applications Ct
Address:    M/S CV 50
City:       Vienna
StateProv:  VA
PostalCode: 22183-7000
Country:    US
NetRange:   28.0.0.0 - 28.255.255.255
CIDR:       
28.0.0.0/8
NetName:    DSI-NORTH2
NetHandle:  NET-28-0-0-0-1
Parent:
NetType:    Direct Allocation
Comment:    ARPA DSI JPO
Comment:    7790 Science Applicationis Crt.,
Comment:    Vienna, VA 22183 US
RegDate:    1996-03-11
Updated:    2000-04-13
TechHandle: MIL-HSTMST-ARIN
TechName:   Network DoD, Network
TechPhone:  
+1-703-676-1051
TechEmail:  
HOSTM...@nic.mil
OrgTechHandle: MIL-HSTMST-ARIN
OrgTechName:   Network DoD, Network
OrgTechPhone:  
+1-703-676-1051
OrgTechEmail:  
HOSTM...@nic.mil
Ma mi sa che non c'entra... mi date una mano? 
Grazie!!! ^_^!!
P.S. Che è quel 
iana.org
 che continuo a trovare cercando con i vari whois??

[cut]
a me l'unica cosa vera pare questa:
Received: from [12.228.64.122] (12.228.64.122) by 
mail.jumpy.it
 (6.5.028)
        id 3E2836AD0056BA13; Fri, 16 May 2003 16:38:53 +0200
quindi:
Tracking message source: 
12.228.64.122
:
Report routing for 
12.228.64.122
: 
ab...@attbi.com
12.228.64.122 listed in 
proxies.blackholes.wirehub.net
 ( 127.0.0.2 )
12.228.64.122 is an open proxy

         id 3E2836AD0056BA13; Fri, 16 May 2003 16:38:53 +0200
Parti dall'alto dell'email. Prendi il primo Reiceived, e controlli il
primo ip che trovi (*solo* quello che precede immediatamente il "by" -
l'ip prima ancora fa parte della stringa cosiddetta  'HELO' e può
essere tranquillamente falsificata perché la fornisce lo spammer),
indica l'ip di provenienza. In questo caso è facile vedere come questo
sia un open proxy, per cui lo spammer ha usato un open proxy e si è
collegato direttamente al tuo server di posta (tecnica detta
'direct-to-MX').
In pratica, saltando gli header messi tanto per metterli da programmi
come Qmail (che riconosci facilmente, vedi gli esempi che ti fa il
collinelli), deve essere sempre rispetta la catena:
Received: [HELO] (ipA) by (tuoserverposta)
Received: [HELO] (ipB) by [HELO] (ipA) for tuaemail id data ora etc.
Received: [HELO] (ipC) by [HELO] (ipB) for tuaemail id data ora etc.
Received: [HELO] (ipD) by [HELO] (ipC) for tuaemail id data ora etc.
ecc. ecc.
se uno degli ip corrisponde ad un open proxy o relay, bisogna
interrompere l'esame perché gli altri sono falsi, e lo spammer si è
nascosto dietro quell'open proxy/relay.
Quindi una riga Reiceived: deve contenere il primo ip che precede il
by uguale al *secondo* ip del Reiceived che segue immediatamente
(quello che normalmente sta prima del "for" se c'è, e ovviamente
escludendo i vari 'imbrogli' di cui parla il collinelli).
Tutti gli ip, tranne il *primo* dell'ultimo Reiceived: valido, devono
essere dei server di posta accreditati per il dominio a cui
appartengono - tecnicamente si definiscono "MX", da Mail eXcharger. 


 Received: [HELO] (ipD) by [HELO] (ipC) for tuaemail id data ora etc.
Ho dimenticato: Fra Received: e [HELO] deve esserci "from", ma si
capiva ;-)

 12.228.64.122 is an open proxy
 [cut]
Ma allora se è un proxy, e se ho ben capito il discorso, è inutile che mandi
mail di protesta!!
O non ho capito una cippa??? °__°

 che mandi mail di protesta!!
sě č piuttosto inutile per i proxy ben conosciuti, č piů proficuo mandare
lamentele ai gestori del sito pubblicizzato nel corpo della mail.