Newsgroup: it.news.net-abuse
Titolo: Consiglio su script per fare report automatico di spam

Sto facendo un piccolo script per inviare le mail di spam (dopo aver 
censurato di dati "sensibili") a nanas e all'abuse di competenza e mi 
servirebbe un vostro consiglio per vedere se sto procedendo correttamente.
Ecco quello a cui avrei pensato. Lo script esegue lo scan degli header e 
trova il relay da cui proviene lo spam (e fin qui è già fatto), ne 
ricava l'IP e poi:
* caso semplice *
1) dig +short -x $IP
2) dig +short $
DOMINIO.contacts.abuse.net
 -t TXT (In questo modo ho 
l'abuse di riferimento)
* caso di mancanza di record PTR per il reverse lookup *
3) dig  +short -t soa  $REVERSEIP.in-addr.arpa
4) se ottengo il record SOA ricavo il dominio e vado al punto 2)
5) altrimenti elimino l'ultimo otteto dell'IP e ritorno al punto 3)
Che ne dite?

> Che ne dite?
non male.. potresti anche usare whois però
per chiarire, intendo qualcosa sul tipo di
whois -h 
whois.radb.net
 xx.yy.zz.kk
che potrebbe fornirti ulteriori info tra cui l'AS
number, a questo punto oltre a poter
estrarre il dominio dall'output del whois
di cui sopra ed utilizzarlo come per (2)
potresti anche effettuare una query su
AS number per ricavare ulteriori info
Ciao

 AS number per ricavare ulteriori info
Molto interessante, grazie. Per passare dalla teoria alla pratica, 
poniamo il caso dell'IP 66.148.69.200 da cui sto ricevendo dello spam in 
questi giorni.
Col mio metodo ottengo:
$ dig  +short -t SOA  69.148.66.in-addr.arpa
ns1.hopone.net
. 
hostmaster.hopone.net
. 1140771602 0 0 0 0
$ dig +short 
hopone.net.contacts.abuse.net
 -t TXT
"
ab...@hopone.net
" <------ a questo abuse il mio script mandarebbe un LART
Col tuo metodo, che, devo dire, mi piace alquanto, vedo:
$ whois -h 
whois.radb.net
 66.148.69.200
route:      
66.148.64.0/20
descr:      AS14361 proxy-registered route by Cogent
origin:     AS14361
remarks:    Proxy-registered route object
remarks:    for Cogent customer
notify:     
net...@cogentco.com
mnt-by:     MAINT-AS174
changed:    
net...@cogentco.com
 20031230
source:     RADB
route:        
66.148.64.0/18
descr:        Electric Lightwave Inc (ARIN OrgID: ELIX)
origin:       AS14361
remarks:
remarks:      -- Operational Contacts --
remarks:      Abuse / UCE: 
ab...@eli.net
remarks:      NOC / Maint: 
sup...@eli.net
remarks:      BGP Routing: 
bg...@eli.net
remarks:
mnt-by:       MAINT-AS5650
changed:      
ken_mc...@eli.net
 20050926
source:       SAVVIS
Una query su AS14361, mi dice:
aut-num:    AS14361
as-name:    HOPONE-DCA
descr:      HopOne Internet Corp.
admin-c:    HJ51
tech-c:     HJ51
import:     from AS-ANY   accept ANY
import:     from AS209   accept ANY
import:     from AS701   accept ANY
import:     from AS3356   accept ANY
import:     from AS3561   accept ANY
import:     from AS5511   accept ANY
import:     from AS5650   accept ANY
export:     to AS-ANY   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
export:     to AS209   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
export:     to AS701   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
export:     to AS3356   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
export:     to AS3561   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
export:     to AS5511   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
export:     to AS5650   announce AS-HOPONE RS-AS14361 RS-AS14361-CUST
notify:     
hj...@hopone.net
notify:     
band...@hopone.net
mnt-by:     MAINT-AS14361
changed:    
hj...@hopone.net
 20050831
source:     RADB
In sostanza, il tuo metodo č piů preciso. Io, infatti, avrei mandato 
l'email a "
ab...@hopone.net
" piuttosto che a "
ab...@eli.net
". Forse la 
cosa migliore sarebbe mandarla ad entrambi :)
Grazie ancora per la dritta :)

 
Non sempre si riesce a ricavare il l'abuse dall'output di whois pero'
 Gio'
-- 
/*
 * Solutions for New Business - 
http://www.snb.it
 */

> Grazie ancora per la dritta :)
Y/W :)
a propo.. se poi volessi mettere "a disposizione"
lo script.. magari ci potrebbe essere qualcuno
interessato alla cosa :-D
Ciao


   To: <munged>, <munged>, <munged>, <munged>, <munged>, <munged>, <munged>
   Subject: Boris Trujillo
   X-Mailer: Opera/6.05 (Windows 2000; U) [fi]
   Date: Wed, 15 Feb 2006 01:35:29 -0600

 queste caratteristiche:
<snippONE>
Giusto un'idea, già che ci sei, dopo l'analisi degli headers
potresti fare una seconda "passata" sul body per vedere
se ci sono URLs (ed eventualmente per "decodificare"
URLs "mascherati") a questo punto potresti estrarre i
nomi dei vari servers dagli URL, risolverne l'indirizzo
IP, usare RADB per sapere dove sono "in hosting" e
per estrarre i relativi indirizzi "abuse" da aggiungere
all'elenco dei destinatari della tua mail .. cosa questa
che, anche se non strettamente "pulita" non farà male;
ad esempio una mail con un "img src" che punta a (es.)
paypal o simili potrebbe interessare anche l'abuse di
paypal che in tal modo contribuirà a prendersi cura
dello spammer ;-)
Ciao

 dello spammer ;-)
Azz, io pensavo di finirlo nel giro di qualche giorno... magari ne tengo 
conto per la release 2.0 :D

 ma... è comunque uno script utile :D)
Faccio notare che su sourceforge ce n'e' gia' qualcuno, inoltre per chi 
non usa *nix ci sono programmi analoghi (ad es. spam-abuse)

 magari ne tengo conto per la release 2.0 :D
beh .. se consideri che per estrarre gli URL basterebbe
una "botta di regexp" la cosa non dovrebbe portare via
troppo tempo e/o complicare troppo lo script, del resto
alla fine della fiera la parte che ricaverà gli indirizzi abuse
dagli IP resterà comunque la stessa (dig e whois) per
cui .. beh.. vabbè.. vedi tu :)

 programmi analoghi (ad es. spam-abuse)
lo so .. lo so.. perň.. meglio uno
in piů che nessuno del tutto, no :) ?

 cui .. beh.. vabbè.. vedi tu :)
Be', sappiamo tutti che molte mail di spam usano le tecniche dell'url 
obfuscation. Si va dal classico 
http://www.microsoft.com:win...@vs-fe.iol.it/
 a cose molto più 
complicate su cui non vorrei perdere la testa.

 più complicate su cui non vorrei perdere la testa.
ok ok... concordo .. anche se, ripeto con un pochino di regexp
e MOOOLTO caffè si dovrebbe riuscire a venirne a capo :-D
senza contare che nell'esempio di cui sopra credo che l'abuse
di microsoft potrebbe comunque essere interessato alla cosa ;)
Ciao

 conto per la release 2.0 :D
Se l'attitudine e' quella di fare un progetto da pochi giorni, 
direi di lasciar perdere; questo NON e' un progetto da pochi giorni.
Usando SpamCop, non solo si usa del codice attivamente mantenuto che
generalmente sa bene a chi riportare e a chi no, ma si contribuisce
al mantenimento di statistiche che hanno una grossa utilita' per
gli operatori.
Ma volendo comunque procedere, consiglio di studiare prima quanto e' 
stato sinora prodotto nel settore 
[ --> 
http://spamlinks.net/track-report-tools.htm
  ] 
per evitare di commettere errori gia' fatti da altri in passato.
furio

 per evitare di commettere errori gia' fatti da altri in passato.
Ti ho spiegato l'approccio che intendo seguire, conosco la tua esperienza in 
materia e mi farebbe piacere (e mi sarebbe utile) un tuo parere su quanto 
sopra :)

 in più che nessuno del tutto, no :) ?
Infatti, il mio era anche un suggerimento per prendere spunti da script 
gia' esistenti.


   To: <munged>
   Cc: <munged>
   Subject: Johnathan Baxter
   X-Mailer: Opera/6.05 (Windows 2000; U) [ja]
   Date: Thu, 23 Feb 2006 21:46:35 -0600
   Grace,
   %CUSTOM_LINK
   Marc Salgado
######################## End of Spam ###################################

 clienti.
Ahhh... spammone ! :-P

 l'impossibilità di erogare qualsiasi prestazione. :-P
Ovviamente...
immagino che non dimenticherai certo di specificare le finalita' del 
trattamento...ivi compreso:
"L'INVIO DI MATERIALE PUBBLICITARIO"  o_O
basta non ce la faccio... *ROTFL*

 l'impossibilità di erogare qualsiasi prestazione. :-P
:)
A proposito, per inviare lo spam su nanas ti servi di qualche script?

    %CUSTOM_LINK
bello.
furio

 Qui c'e' un bug in azione.  L'ISP e' 
hopone.net
, non 
nshopone.net
.
Grazie, risolto :)

 bello.
Ah, sě, allo spammer si deve essere rotto il giocattolino che non gli 
riempie piů i campi della mail tipo :D


   User-Agent: Rodriquezmail v9.8
   X-Accept-Language: en-us
   MIME-Version: 1.0
   To: <munged>
etc. etc.

 pedo-pornografici, la cui conoscenza mi impegno a non divulgare.
Oddio.. Spero sia stata un battuta, perche' col "pedo" si entra nel
penale.
E tu non sei un confessore o un medico, che hanno "le chiappe parate".
;-)
Io non ci provo nemmeno a dare un'occhiata ai mail e ai documenti dei
miei (pochi) utenti. Anche perche' sono colleghi di lavoro e alcuni
anche amici. Senza contare quelle con cui ci provo. ;-)
[snip]
Ciao,
-- 
      Ermanno Polli   (INFN-LNF)
    user:      hostname:  subdomain:  domain:  country:
ermanno.polli    N/A        lnf         infn     it