Newsgroup: it.news.net-abuse
Titolo: Sempre sullo script per automatizzare invio LART e pubblicazione su NANAS

Stavo testando detto script e sono incappato nel seguente IP:
221.212.250.253
rDNS non fornisce record e la tecnica dell'IP_invertito.in-addr.arpa in 
questo specifico caso mi informa soltanto che detto IP è di pertinenza 
di apnic come autorità di registrazione.
Avevo pertanto pensato ad un approccio da usare in questi casi, i.e. 
quello degli AS:
whois -h 
whois.cymru.com
 221.212.250.253
Mi restituisce:
AS      | IP               | AS Name
4837    | 221.212.250.253  | CHINA169-BACKBONE CNCGROUP Chi
A questo punto, avendo l'AS, qual è secondo voi il metodo più veloce per 
procedere per ricavare l'abuse contact? Il classico whois -h 
whois.apnic.net
 AS4837 o c'è qualcosa di più veloce?

AS      |> IP               | AS Name
4837    |> 221.212.250.253  | CHINA169-BACKBONE CNCGROUP Chi
whois -h 
whois.radb.net
 221.212.250.253
route:        
221.212.0.0/16
descr:        CNC Group  HeiLongjiang  Network
origin:       AS4837
mnt-by:       MAINT-AS4837
changed:      
I...@cnc-noc.net
 20031111
source:       SAVVIS
whois -h 
whois.abuse.net
 
cnc-noc.net
postm...@cnc-noc.net
 (for 
cnc-noc.net
)
ab...@cnc-noc.net
 (for 
cnc-noc.net
)
no ?

 no ?
Per un essere umano è facilissimo, per uno script... :-/
Facciamo esempi pratici:
$ whois -h 
riswhois.ripe.net
 195.210.91.83
route:        
195.210.64.0/19
origin:       AS1267
descr:        ASN-INFOSTRADA Infostrada S.p.A.
lastupd-frst: 2005-12-12 10:23Z  193.203.0.90@rrc05
lastupd-last: 2006-03-02 05:25Z  217.29.66.65@rrc10
seen-at: 
rrc00,rrc01,rrc03,rrc04,rrc05,rrc06,rrc07,rrc10,rrc11,rrc12,rrc13,rrc15
num-rispeers: 70
source:       RISWHOIS
$ whois -h 
whois.radb.net
 AS1267
[sbaraccata di linee]
:(

> Per un essere umano è facilissimo, per uno script... :-/
Mbeh .. dipende .. dipende.. certo, che se ci vogliamo
limitare ad un semplice shellscript la cosa diventa un
pochino complessa, altrimenti...
http://www.akira-project.org/
sarebbe la risposta :-)
Scherzi a parte, awk ed altri tools secondo me, uniti
a qualche regexp potrebbero aiutare parecchio ;-)

 Facciamo esempi pratici:
[SNIP]
Cannato... ci riprovo
$ whois -h 
whois.radb.net
 195.210.91.83
route:        
195.210.64.0/19
descr:        IOL
origin:       AS1267
remarks:      removed cross-mnt:    AS1267-MNT
mnt-lower:    AS1267-MNT
mnt-routes:   AS1267-MNT
mnt-by:       AS1267-MNT
changed:      
ripe...@ripe.net
 19941121
changed:      
hostm...@iunet.it
 20011009
source:       RIPE
$ whois -h 
whois.abuse.net
 
iunet.it
postm...@iunet.it
 (for 
iunet.it
)
ab...@iol.it
 (for 
iunet.it
)
Invece....
$ dig +short 
iol.it.contacts.abuse.net
 -t txt
"
ab...@iol.it
"
"
ab...@libero.it
"
Tieni presente che partendo dall'output del whois, avrei dovuto 
recuperare il fqdm da hostm...@iunet.it... ma con quale criterio?

 a qualche regexp potrebbero aiutare parecchio ;-)
Regexp, sed e awk non mi spaventano, il problema degli output di whois č 
che non seguono un criterio standard nel mostrare le informazioni.

 standard nel mostrare le informazioni.
infatti ti serve un minimo di "logica" per gestire i formati
di output dei vari servers.. credo che il D'Itri dovrebbe
sapere qualcosa al proposito :-) perņ, volendo semplificare
se gestissi solo il formato relativo a 
whois.radb.net
 e quello
di 
whois.abuse.net
 probabilmente riusciresti comunque ad
ottenere delle informazioni "interessanti"

 ottenere delle informazioni "interessanti"
Anche qualora dovessi limitarmi a 
whois.radb.net
, non è detto che sia 
possibile recuperare le informazioni necessarie. Vedi l'esempio di 
iol.it
 nel mio altro post.
L'ideale sarebbe un sistema basato su DNS piuttosto che su whois (che mi 
piace poco ed è lento), che permetta in qualche modo un'associazione fra 
IP (o Network) e un determinato ASN (e fin qui nessun problema, si usa 
4.3.2.1.asn.routeviews.org
) e fra quest'ultimo e... un fqdm da dare in 
pasto a dig +short -t txt 
bad_domain.com.contacts.abuse.net
.


Il whois APNIC per questa rete ti indica una allocazione a
CNCGROUP Heilongjiang; l'admin-c e' il generico 
ab...@cnc-noc.net
 
ossia il punto di raccolta centralizzato di CNC; il tech-c ci 
fornisce un indizio col nome dominio 
mail.hl.cn
.
Un lookup 
abuse.net
 di 
mail.hl.cn
 ci da' un indirizzo individuale
in @
mail.hl.cn
, piu' di nuovo 
ab...@cnc-noc.net
 .
Ora, CNC e' un problema serio e ci sono indicazioni che 
l'abuse centralizzato non sta smistando correttamente le segnalazioni
ai province managers, che sono quelli che hanno il potere di
terminazione delle utenze.  Come risultato, questi restano all'oscuro
finche' la situazione precipita a causa di qualche evento per loro
traumatico come l'inclusione in SBL dei corporate servers.
In questo scenario appare dunque opportuno informare anche
l'indirizzo locale di HeiLongjiang.
Questa situazione - una di centomila - in cui appare della
"metainformazione" ci dice che e' utopistico sperare di risolvere 
il problema della ricerca dei POC (points of contact) esclusivamente 
attraverso rDNS e i vari whois piu' o meno ufficiali, dove le 
informazioni sono spesso incomplete, obsolete se non addirittura
errate.  Coloro che a SpamCop curano il database dei POC (a cui
SpamCop invia segnalazioni) devono effettuare un grosso lavoro
quotidiano, basato su un gran numero di scambi di informazioni
tra operatori e l'analisi a posteriori del comportamento del 
destinatario (i casi vengono risolti?).
Un altro punto da tenere presente e' che spesso gli spammer
riescono a manovrare i whois - eventualmente creando ISP finti, a
volte completi di proprio sistema autonomo - in modo da far
convergere verso di loro i flussi di segnalazioni e quindi
effettuare listwashing efficientemente.  Richter era abilissimo
in questo, ma anche tanti altri: ad esempio, se devi segnalare
un sito all'IP 216.130.193.60, l'uso del whois fa arrivare
la tua segnalazione direttamente a casa dello spammer (pero'
sei fai un lookup ad 
abuse.net
 di 
dynamicpipe.com
 e trascuri
postm...@dynamicpipe.com
 trovi probabilmente dei POC giusti).
Tirando le somme, non voglio demolire gli approcci automatici
ma ritengo importante almeno far passare tutti i domini
estratti da whois o rDNS attraverso 
abuse.net
 e ottenere
cosi' una redirezione mediata attraverso il lavoro di una
comunita' i cui effetti sono generalmente molto positivi.  Per 
utilizzi di questo tipo probabilmente conviene fare lookup di 
abuse.net
 
via DNS anziche' whois per ridurre il carico sul loro server.
furio

 via DNS anziche' whois per ridurre il carico sul loro server.
Ti ringrazio per le preziose informazioni. Sì, lo script che ho in 
elaborazione utilizza interrogazioni a 
contacts.abuse.net
 via DNS e gli 
unici whois utilizzati sono per fini "statistici". Mi fa piacere sapere 
che non sto prendendo (troppe) cantonate.
Per quanto riguarda la fattispecie in argomento (
cnc-noc.net
), ho deciso 
che in casi analoghi lo script si limiterà a fornire alcune informazioni 
all'utente(AS number, etc.), che poi dovrà procedere da solo a sua 
discrezione, ma non invierà le mail di LART.


   X-Original-To: myaddress@xxxxxxxx
   Delivered-To: myaddress@xxxxxxxx
   Received: from localhost (xxxxxxxx [127.0.0.1])
         by mail.xxxxxxxx.ltd (Postfix) with ESMTP id E599119348E
         for <myaddress@xxxxxxxx>; Tue,  7 Mar 2006 07:36:20 +0100 (CET)
   Received: from 
ms004msg-mx.fastwebnet.it
 (
ms004msg.fastwebnet.it
 
[213.140.2.58])
         by mail.xxxxxxxx.ltd (Postfix) with ESMTP
         for <myaddress@xxxxxxxx>; Tue,  7 Mar 2006 07:35:38 +0100 (CET)
   Delivered-To: myaddress@xxxxxxxx
   Received: from 
aa006msg.fastwebnet.it
 (192.168.0.43) by 
ms004msg-mx.fastwebnet.it
 (7.2.070)
           id 43F1EB93003D416F; Tue, 7 Mar 2006 07:35:37 +0100
   Received: from 1B97428 (59.94.101.124) by 
aa006msg.fastwebnet.it
 
(7.2.069.1)
           id 0000000000377E69; Tue, 7 Mar 2006 07:35:27 +0100
   Received: (from Ragland@localhost)
         by 
voluntary.courteous.com
 (8.9.3/8.9.3) id PAAprudent
[...]