Newsgroup: it.comp.os.linux.sys
Titolo: Postfix o DNS comunica il mio dominio?

Salve.
Stò ricevendo una serie di messaggi spam i cui autori sono molto astuti. 
In pratica vi mostro l'header:
---------------------------------------------------------------
Subject: Hollywood News!!!
From: 688310@ <3...@geolandia.home>
Reply-To: 688310@ <3...@geolandia.home>
Date: Thu, 17 Jan 2002 19:13:42 +0100 (CET)
To: 
De...@mail.sunstone.it
,
X-Mailer: Microsoft Outlook IMO, Build 9.0.2416 (9.0.2910.0)
Messaggio in html........
---------------------------------------------------------------
Ora io ho un server con POstfix e DNS installati. Il mio dominio 
fittizio è geolandia.home visto che mi collego tramite dialup a 
ISP in ISDN. Come cacchio hanno fatto a scoprireil mio dominio? 
Hanno interrogato il mio DNS mentre ero collegato? Come blocco 
interrogazioni al DNS che vengono da fuori? Tanto il DNS server 
solo alla mia rete interna. 
Ho pensato che il loro software SPAM si collegasse alla porta 25 
i tramite banner di postfix hanno ritrovato il nome del dominio.
VOi che ne dite? Come risolvo il problema?
Ciao

 i tramite banner di postfix hanno ritrovato il nome del dominio.
Puoi chiudere anche la 25/tcp se non deve essere accessibile da fuori.
Bye.

 > solo alla mia rete interna.
altra modo potrebbe essere un
acl mia_rete {ip.tua.rete;};
allow-query {mia_rete; };
allow-recursion no;
....comunque č sempre meglio qualche regola di ipchains o iptable !
Alessandro

 Bye.
Pensi che in iptables mettere come regola di impedire tutti i pacchettti
alla porta 53 e 25 che entrano dall'interfaccia ippp0 sia una buona idea.
COsě tutto ciň che entrano sulle stesse porte perň da eth0 (LAN) non mi
viene filtrato, No?

 VOi che ne dite? Come risolvo il problema?
Configurando il tuo bind in modo che non dia informazioni sulle macchine
interne al dominio a.k.a. non indichi ad esempio qual'e' la macchina a
cui punta l'MX.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 viene filtrato, No?
Si ma cosi' rischi di chiuderti fuori tu stesso se non imposti con
attenzione le regole cioe' rischi di non ottenere risposta nemmeno alle
query che provengono da te.


 query che provengono da te.
Io sono stato anche più drastico, ho bloccato con ipchains l'accesso alla
porta 53 di *tutte* le interfacce, se l'indirizzo sorgente non è localhost o
192.168.1.0/24
 (cioè la LAN).
E funziona.
-- 
Massimo Bacilieri AKA Crononauta 
ulib...@libero.it
 ; ICQ UIN: 4005815
»»» Se stringi il pugno, non potrai mai prendere niente. Solo se tendi il 
    palmo aperto, potrai possedere il mondo (da "La Tigre e il Dragone") 

 
192.168.1.0/24
 (cioè la LAN).
Si, e' un po' talebano ma l'importante e' il risultato :-P


fittizio è geolandia.home visto che mi collego tramite dialup a 
...sto diventando vecchio e perdo colpi ;-)
Dici che il tuo dominio e' geolandia.home pero' il campo to e'
mail.sunstone.it
, quindi tale messaggio e' poi ripartito per quel
indirizzo ?!?
Oltre a tutti i suggerimenti che ti hanno dato gli altri, dovresti
anche verificare che il tuo Postfix non sia abilitato a fare da relay,
quindi in nessun caso, anche senza ipchains il messaggio per un altro
dominio venga spedito, nel tuo caso 
sunstone.it
 
Poi verifica che il tuo Postfix non accetti tutta la posta per un
dominio, ma solo per certi tipi di address ben definiti. Esempio
tuo...@geolandia.home e non xy...@geolandia.home
Non conosco bene Postfix, ma sicuramente questi settaggi da qualche
parte ci saranna, forse in virtualuser o qualcosa del genere.
 
A presto
--
|Stefano Orsi
|Email: s punto orsi chiocciola ogcs punto com
| Gli spammer mi hanno proprio rotto !!

 Si, e' un po' talebano ma l'importante e' il risultato :-P
Dopo che un simpatico taiwanese si è fatto un giro nel mio sistema passando
per la porta 53, altroché se sono talebano!!! :-bbbbbb


 per la porta 53, altroché se sono talebano!!! :-bbbbbb
Uhm non posso che essere d'accordo :-)))


per la porta 53, altroché se sono talebano!!! :-bbbbbb
E' successo anche a me qualche tempo fa', credo si trattasse di uno
script kiddie, in ogni caso apriva in automatico una porta in telnet
senza username e password. :-\
Security bug di Bind delle vecchie versioni, che ora si spera sia
stato risolto ;-)


 stato risolto ;-)
Sì, era colpa del BIND 8.2, ora ho messo il 9.1 che dovrebbe aver chiuso
tutti quei problemi.
Ma per non "sapere né leggere né scrivere", come si dice dalle mie parti, ho
pure blindato la porta 53 a tutti quelli che non appartengono a localhost e
LAN :-)


 parte ci saranna, forse in virtualuser o qualcosa del genere.
Esatto! E' proprio così. Infatti virtualuser è configurato per accettare
solo gli indirizzi esistenti della LAN.
Ora due sono le cose. O chi mi ha spammato ha trovato l'indirizzo del mio
dominio in qualche messaggio che ho inviato perchè postfix lo mette in
qualche header oppure hanno interrogato le porte 53 o 110 del mio server.
Non vedo altre possibilità.


 cui punta l'MX.
E a cosa dovrebbe servire alle macchine remote sapere  qual'e' la macchina
a cui punta l'MX?

Reply-To: 688310@ <3...@geolandia.home>
tale 688310 o 30 sia un utente del tuo geoalandia.home ?


 a cui punta l'MX?
Fare spamming potrebbe essere un buon inizio, non credi?


Alla ricerca di richieste alla porta 110?
Beh, cerca un po' di info circa il nome del utente a cui il messaggio
era indirizzato, il nome a cui era spedito, insomma un po' di info per
cercare di capire cosa era successo.


 capito cos'č ;-)
MX = Mail Exchanger, e' l'entry che definisce un mail server in un
dominio.
