Newsgroup: it.comp.os.linux.sys
Titolo: Spamassassin e custom rule (consiglio)

Scusate se la domanda sembra stupida, ma ho una serie di mail di spam 
che contengono questi mime:
------=_NextPart_000_001F_01C6A5D1.C01EA724
Content-Type: image/gif;
         name="rostrum.gif"
Content-Transfer-Encoding: base64
Content-ID: <001d01c6a58e$b1fb66e0$7382...@munx.yqgs>
Con spamassassin vorrei dare un punteggio alle medesime con la 
seguente subrule:
full            __GIF_SPAM2             /^Content-Type: image\/gif/
describe        __GIF_SPAM2             Gif spam?
Non funzia, mentre la seguente (senza il metacarattere ^) sě:
full            __GIF_SPAM2             /Content-Type: image\/gif/
describe        __GIF_SPAM2             Gif spam?
Magari mi sto perdendo in un bicchier d'acqua, ma francamente sono un 
po' attapirato.


[cutto]
consiglio
http://www.rulesemporium.com/
http://www.intuitive.com/spam-assassin-rule-help.html
e, naturalmente,
http://spamassassin.apache.org/
Saluti
Stefano 


Ti ringrazio, li avevo perņ gią esaminati.
Il punto tuttavia č: per quale motivo una stringa che compare 
all'inizio di una riga di una mail, nell'elaborazione di Spamassassin 
non risulta tale?

 describe        __GIF_SPAM2             Gif spam?
Preciso: ovviamente esiste un'altra subrule ed entrambe sono valutate 
ai fini dello score tramite una metarule:
meta            GIF_SPAM                (__GIF_SPAM1 && __GIF_SPAM2)
describe        GIF_SPAM                Is it a gif type spam message?
score           GIF_SPAM                2.0

 tale?
Risolto...
La regola ora č:
full            __GIF_SPAM2             /^Content-Type: image\/gif/m
describe        __GIF_SPAM2             Gif spam?
Sapevo che mi stavo rincretinendo.

 score           GIF_SPAM                2.0
Perdonami, ma in base a quale criterio decidi se una gif e' di tipo "spam"
oppure no ???
Saluti.
--
Giuseppe

 Saluti.
Premetto che si tratta di un account di posta elettronica ad uso 
personale, questa č la regola completa (ocio al wordwrap):
rawbody         __GIF_SPAM1               /^\<META content=.*MSHTML 
6\.00\.2[0-9]00\.[0-9]{4}.*name=.*GENERATOR/
describe        __GIF_SPAM1             Generated by a spam tool?
full            __GIF_SPAM2             /\nContent-Type: 
image\/gif;\n[ \t]+name=".*\.gif"\nContent-Transfer-Encoding: 
base64\nContent-ID: \<.*\@[a-zA-Z0-9]+\.[a-zA-Z0-9]+\>/s
describe        __GIF_SPAM2             Generated by a spam tool?
rawbody         __GIF_SPAM3             /^\<STYLE\>\<\/STYLE\>/
describe        __GIF_SPAM3             Generated by a spam tool?
meta            GIF_SPAM                (__GIF_SPAM1 &&  __GIF_SPAM2 
&& __GIF_SPAM3)
describe        GIF_SPAM                Is it a gif type spam message?
score           GIF_SPAM                3.0


To: <%MUNGED%>
Subject: businesswoman
Date: Thu, 13 Jul 2006 08:24:33 -0400
MIME-Version: 1.0
Content-Type: multipart/related;
         type="multipart/alternative";
         boundary="----=_NextPart_000_0008_01C6A657.1B9457EC"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.2670
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2670
This is a multi-part message in MIME format.
------=_NextPart_000_0008_01C6A657.1B9457EC
Content-Type: multipart/alternative;
         boundary="----=_NextPart_001_0009_01C6A657.1B9457FB"
------=_NextPart_001_0009_01C6A657.1B9457FB
Content-Type: text/plain;
         charset="windows-1252"
Content-Transfer-Encoding: quoted-printable
------=_NextPart_001_0009_01C6A657.1B9457FB
Content-Type: text/html;
         charset="windows-1252"
Content-Transfer-Encoding: quoted-printable
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
<HTML><HEAD>
<META http-equiv=3DContent-Type content=3D"text/html; =
charset=3Dwindows-1252">
<META content=3D"MSHTML 6.00.2900.2670" name=3DGENERATOR>
<STYLE></STYLE>
</HEAD>
<BODY bgColor=3D#ffffff>
<DIV><FONT face=3DArial size=3D2><IMG alt=3D"" hspace=3D0=20
src=3D"cid:000401c6a678$a2a5f7b0$%MUNGED%" align=3Dbaseline=20
border=3D0></FONT></DIV>
<DIV><FONT face=3DArial size=3D2><IMG alt=3D"" hspace=3D0=20
src=3D"cid:000501c6a678$a2a5f7bf$%MUNGED%" align=3Dbaseline=20
border=3D0><IMG alt=3D"" hspace=3D0=20
src=3D"cid:000601c6a678$a2a5f7ce$%MUNGED%" align=3Dbaseline=20
border=3D0><IMG alt=3D"" hspace=3D0=20
src=3D"cid:000701c6a678$a2a5f7dd$%MUNGED%" align=3Dbaseline=20
border=3D0></FONT></DIV></BODY></HTML>
------=_NextPart_001_0009_01C6A657.1B9457FB--
------=_NextPart_000_0008_01C6A657.1B9457EC
Content-Type: image/gif;
         name="gullet.gif"
Content-Transfer-Encoding: base64
Content-ID: <000601c6a678$a2a5f7ce$%MUNGED%>
R0lGODdhXAJcAMYAAN/bztjVxoU5KN7azd3ZzMGmmNLCtLOLfHJ6TNjUxHd+UtbTw9XRwX6EWsix
%TRUNCATED%
######################## End of Spam #################################

> [...]
E aggiungo (scusate il proliferare di post). So benissimo che "scatta" 
  con i messaggi inviati tramite OE che contengano immagini .gif non 
come allegato ma "embedded" nell'HTML, ma francamente nessuno dei miei 
abituali corrispondenti fa uso di quel ce$$o di programma, né si sogna 
di mandarmi per e-mail robaccia in HTML.

 di mandarmi per e-mail robaccia in HTML.
Ok...
ambiente molto "sterile" ed ordinato, niente a che vedere con le porcherie
che mi trovo di fronte ogni giorno, dove purtroppo sarebbe difficile poter
implementare una regola del genere...
Saluti.
--
Giuseppe

 implementare una regola del genere...
Non so sui grandi numeri di mail che tu senz'altro riceverai, ma 
potresti provare ad aggiungere:
body	 __GIF_SPAM4	eval:html_image_only('0400','0800')
describe __GIF_SPAM4	only gif(s) and no actual message?
Ovviamente lo score necessiterebbe di un forte ridimensionamento.