Newsgroup: it.news.net-abuse
Titolo: Mail strana che mi blocca la casella

ecco gli header:
Return-Path:
Received: from 
dsl-201-128-80-218.prod-infinitum.com.mx
 (201.128.80.218) by
mail-7.tiscali.it
 (6.7.021)
        id 4023B59900248BC2; Mon, 9 Feb 2004 05:50:26 +0100
Sender: 
ZNZX...@hotmail.com
 (derived from envelope by
postm...@mail-7.tiscali.it
)
Date: Mon, 9 Feb 2004 05:50:26 +0100 (added by 
postm...@mail-7.tiscali.it
)
Received: from 58.47.132.36 by 201.128.80.218; Mon, 09 Feb 2004 10:50:12
+0600
Message-ID:
quando mi arriva un messaggio del genere mi si blocca la casella, nel senso
che la connessione pop3 cade appena tenta di fare il RETR su tale messaggio
cade la connessione e mi costringe a riscaricare quelli precedenti.
L'unico modo č usare telnet e cancellare quel messaggio senza aprirlo o
accedere alla casella via web (č cosě che ho ottenuto l'header).
Il messaggio pesa 0.4 kb.
Non ho altre informazioni .
C'č nessuno che ha altre informazioni?

vorrei aggiungere che queste mail non hanno niente ne tra il mittente ne tra
il soggetto e inoltre aprendole via web non contengono apparentemente
niente, non ho potuto ottenere nulla oltre gli headers anche perchè mi è
impossibile aprire il "messaggio originale" guardando anche l'eventuale html
all'interno perchè non riesco a scaricare nulla tramite pop3


Una mail che riproduce l'ATH-ping? Mi pare strano, prendila solo come
un'ipotesi, eh?
Se e' cosi', puoi fare qualche cosa: cercare un modem US Robotics (che
dicono essere immune a codesto attacco) e/o qualcuno con suddetot modem,
cercare qualcuno con connessione non-dialup, cambiare uno dei registri S
del modem (sempre se non e' un winmodem).
Temo di non ricordare il numero del registro S, ma sono certo che,
guardando un qualunque manuale di un qualunque modem, puo' venirti in
mente (credo sia uno dei primi venti registri ed ha a che fare col
carattere che serve ad ottenere l'attenzione del modem: di default e'
"+" )
Ammesso che sia effettivamente come ipotizzato e non qualcos'altro...
Fabrizio

 Fabrizio
ATS2=255
Sempre messo su ogni modem che mi è capitato sotto mano ;)
-- 
Fermiamo Scientology prima che sia troppo tardi!!!
http://xenu.com-it.net
 - 
http://xenu.freewinds.cx/
(per rispondere personalmente leva IlDitoDalCulo)

 Sempre messo su ogni modem che mi è capitato sotto mano ;)
Ah, ecco, m'ero scordato l'esatto numero del registro.
BTW, si dice che l'esatta implementazione del comando ("tre caratteri,
solitamente "piu'") richieda un mezzo secondo di pausa... ma che per
questioni di licenze Hayes, solo pochi (so della Us Robotics) la
implementano, essendo quindi immuni all'ATHping, mentre i modIm
taiwanesi... clic.
Per questo evito di scrivere il comando "in chiaro", perche'
probabilmente potrebbe fare cadere la connessione a coloro che leggono
la posta online ed hanno un modem vulnerabile.
Fabrizio :-)

 Per questo evito di scrivere il comando "in chiaro"
Tipo....
++++++++++ATH0
:-D ??

 solitamente "piu'") richieda un mezzo secondo di pausa...
Lo standard Hayes dice che deve esserci un secondo di pausa, poi tre piu' "+++",
poi un altro secondo di pausa. Il carattere "+" compone la sequenza di escape
formata da tre caratteri, definiti dal registro S2. impostando ATS2=255 (per gli
Hayes so che invece e' 128) si disabilita la sequenza di escape.
Resta quindi per me poco probabile che una mail possa presentare la sequenza di
escape di questo tipo, a meno che il modem per qualche strana ragione non abbia
impostato a zero il tempo di escape (ossia il tempo di pausa prima e dopo la
sequenza), perche' anche avendo nella mail la sequenza "+++" non sara' mai
preceduta e seguita da una pausa.
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: dottoATdespammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE!     
http://www.spamterminator.it/

 :-D ?? 
PRRRR!!! Io US Robotics!
Fabrizio (modem Alpituuur!) O:-)

 strana ragione non abbia impostato a zero il tempo di escape (ossia
A quanto ho capito, la differenza tra licenza Hayes e no-licenza sta in
queste piiiiccole differenze.
S. E & O.
Fabrizio (Vs. Fatt. del ecc ecc)   :-)

 PRRRR!!! Io US Robotics!
Heh .. anche un'altro non avrebbe riattaccato
il comando non è "esattamente" quello, manca
della "roba" in mezzo :-) oltretutto non vedo come
possa funzionare in una email; l'idea del pingATH
era.... inviare un pacchetto ICMP contenente il cmd
ATH del modem, a questo punto il sistema ricevente
risponde con un ICMP reply che contiene lo stesso
"payload" ossia ATH... il modem vede la stringa che
proviene dal sistema al quale è connesso e .. clonk
Con la mail ... non vedo come possa funzionare... imo
la mail "bloccante" potrebbe semplicemente sfruttare
(es.) un buco del mailserver o qualcosa di simile
Ciao

 (es.) un buco del mailserver o qualcosa di simile
Concordo.


 ha scritto nel messaggio
news:VeSVb.31855$VS6....@tornado.fastwebnet.it...

vorrei precisare visto l'affollamento di risposte che non c'è in gioco
nessun modem in quanto io mi collego tramite la scheda di rete (sono
abbonato fw) e che quindi non mi cade la connessione generale a internet,
semplicemente cade la connessione che ho in quel momento con il pop3,
ribadisco che quello che fa cadere il tutto è il messaggio, o meglio il suo
contenuto perchè facendo a mano il RETR cade la connessione.
Che voi sappiate esistono messaggi che se messi in un certo modo mandano in
crisi i mailserver ogni volta che venga effettuato il RETR?
Esiste un modo per proteggersi?
Che voi sappiate, sarebbe possibile scaricarli senza problemi con il
protocollo IMAP4? Sono proprio curioso di vedere esattamente cosa contengono
questi maledetti messaggi.
Nel frattempo ho denunciato questi "attacchi" ai rispettivi server di
provenienza, spero di aver quantomeno ridotto questo genere di cose.


Received: from [155.230.186.29] (155.230.186.29) by 
mail-4.tiscali.it
(6.7.019)
        id 402337C8008FA597; Sun, 15 Feb 2004 06:33:44 +0100
Sender: 
XSHVNN...@yahoo.com
 (derived from envelope by
postm...@mail-4.tiscali.it
)
Date: Sun, 15 Feb 2004 06:33:44 +0100 (added by
postm...@mail-4.tiscali.it
)
Received: from 172.176.112.144 by 155.230.186.29; Sun, 15 Feb 2004
03:31:38 -0200
Message-ID: <Z[20


peraltro posso ulteriormente dettagliare il tutto con questa cosa:
ho fatto una prova con telnet e dopo essermi autenticato e richiesto la
lista mi č venuto fuori questo errore:
+OK pop3 clients that  break here, they violate std53
1 598
.
cioč la lista me la fa ma mi viene quell'errore, cos'č lo std53? in che modo
puņ essere e viene violato?

 può essere e viene violato?
Alcune rfc rientrano nella categoria "standard", la rfc 1939 è
diventata lo standard 53. Qui a quanto pare, Courier IMAP ha un
piccolo problema con quel messaggio di errore. Se il comando LIST
viene dato senza parametri il server informa che la richiesta non è
conforme allo standard, cosa che è assolutamente falsa visto che
l'argomento è opzionale(*).
Il problema non è fatale, per cui dubito che la cosa riguardi la tua
situazione.
Sono portato a pensare che il tuo problema dipenda da un qualche
carattere presente nell'header dello spam (immagino che quella mail
sia spam) che il tuo client non si aspetta e che quindi non riesce a
digerire. Che so, un CR senza LF o cose del genere.
(*) 
http://zvon.org/tmRFC/RFC1939/Output/chapter5.html#sub2
-- 
ciao | Antispam in pillole: Lettura degli Header.
cf   | In una email l'unica informazione attendibile proviene dalla catena 
-----+ dei 'Received: ' che indica quali server si sono passati l'email.
Va percorsa a ritroso fino a determinare il punto di origine

 digerire. Che so, un CR senza LF o cose del genere.
Penso anche io. Nel mio caso era uno spam che aveva un CR nel subject, forse
utilizzata come tentativo da qualche spammer di "mascherare" il resto del
subject, con la conseguenza pero' di far andare in palla qualche mailer.
La soluzione e' stata cancellare manualmente il messaggio facendo telnet sul
server pop3, e dando il comando DELE sul messaggio "incriminato" (che ho
rionosciuto per la dimensione del messaggio).


 quelli precedenti.
..........
Sta succedendo anche a me e non trovo neppure il modo per filtrarla con i
filtri del provider di posta su web (sarebbe una possibile soluzione).

QUIT
5) Se invece la sessione si chiude anche con il comando TOP significa che
comunque sappiamo il numero "x" del messaggio. Quindi rifare i punti 1 e 2, e
dare direttamente il comando DELE come indicato al punto 4 precedente.
Ricordarsi di dare sempre il comando QUIT per uscire altrimenti il messaggio non
verra' cancellato.
Fammi sapere se cosi' risolvi.


 l'identificativo utente e "xxx" la password:
.........
Grazie mille per la spiegazione, che proverò ad utilizzare, ma prima ... ti
chiedo una cosa:
accedendo via Web, riesco a cancellare la mail (e a sbloccare la situazione
... fino alla prossima mail simile).
La procedura da te suggerita ha lo stesso effetto (fino alla prossima mail
simile), oppure è risolutivo (anche per le prossime mail simili)?
Ciao, grazie ancora

 simile), oppure è risolutivo (anche per le prossime mail simili)?
Ha lo stesso effetto, ma e' generico, ossia indipendente dalla presenza o meno
di webmail, e vale per qualsiasi provider (purche' sia un account POP3, quindi
per hotmail non vale).


 sia un account POP3, quindi per hotmail non vale).
Ok, grazie per la spiegazione.
Esiste un modo (la casella di mail presenta la possibilità di usare alcune
regole) di fare in modo che se non ha mittente e non ha oggetto, venga
filtrato?
Ciao

 filtrato?
Non via POP3, va fatto impostando ed applicando la regola su webmail o in locale
su Outlook Express. In quest'ultimo caso poi provare ad usare Spam Terminator,
che ha anche filtri per mittente ed oggetto vuoti o non validi (ma fa molto
altro...;-)). Indirizzo in firma.



Prova ad usare Eudora invece di Outlook, noi di solito lo facciamo con i
clienti che ricevono (raramente per fortuna), e-mail malformate che
bloccano appunto Outlook e la connessione cade. Eudora è meno schizzinoso.
Gabriele
-- 
OneNET Point Trieste					Tel: 
+39 040 771190
via San Francesco 28/c				Fax: 
+39 040 3726154
34133 Trieste - Italy					
http://www.onenet.it/TS/
Lun e Sab: 10-13 / 16-21
da Mar a Ven: 16-21

 Non via POP3, va fatto impostando ed applicando la regola su webmail
............
Perfetto, proprio sul web vorrei inserirla.
Ma quale regola?
Per evitare i post senza mittente ci arrivo, ma per quelli sia senza
mittente sia senza oggetto come glielo posso fa capire?

 schizzinoso.
E' un'idea.
Il fatto è che non mi blocca solo Outlook, ma anche MailWasher che uso per
filtrare la posta vedendola prima di scaricarla.

 ha scritto:

Se accedendo da web, è possibile l'inserimento di filtri, puoi filtrarlo:
"Il Campo mittente non contiene" @
L'azione da intraprendere decidila tu
(il suggerimento non è mio, ma l'ho trovato su ica.)
Ciao