Newsgroup: it.comp.os.linux.software
Titolo: Postfix: bloccare messaggi 5556

Molto probabilmente chi di voi si trova a gestire server di posta con un 
minimo di traffico oggi avrà notato (o qualche utente glie lo avrà fatto 
notare) che arrivano messaggi con mittente/destinatario locali, che 
hanno come oggetto un numero variabile e come testo del messaggio un 
semplice:
5556
Come posso bloccare queste mail con postfix? Immagino con una regexp in 
body_checks, ma non so che espressione utilizzare.

 body_checks, ma non so che espressione utilizzare.
Mi spiego meglio...una regola del tipo:
/5556/ REJECT Spam
funzionerebbe, ma bloccherebbe qualunque testo contenga questi numeri. 
Si può ovviare considerando che queste mail contengono *solo* questi 
numeri e niente altro?

 body_checks, ma non so che espressione utilizzare.
Dipende da come è fatta la mail, ma tieni conto che body_checks agisce
su una riga per volta, e non su tutta la mail.
Se effettivamente c'è solo quello dentro (senza spazi davanti o altro),
puoi fare una cosa come
/^5556$/	REJECT
che blocca ogni mail che presenti una riga contenente solo quel numero e
null'altro.
Bloccherebbe anche ipotetiche mail che presentino una riga così e altre
N con altra roba dentro, ma l'impatto è probabilmente minimo se non nullo.
Il fatto però che tu ricevi tutta 'sta rumenta e io no mi lascia però
ipotizzare che io (se la ricevo) la stia già bloccando in altro modo
(vedendo il campione, magari,...)

 (vedendo il campione, magari,...)
Ecco la parte significativa della mail:
Received: from ANNE.com (
ALille-252-1-81-193.w86-215.abo.wanadoo.fr
 
[86.215.207.193])
	by xxx (Postfix) with SMTP id C041012A4E2
	for <xxx>; Tue,  6 Jun 2006 09:15:39 +0200 (CEST)
Date: Tue, 06 Jun 2006 09:21:59 +0100
To: "xxx" <xxx>
From: "xxx" <xxx>
Subject: 586876
Message-ID: <fhhbxipsqelatkcmkfu@xxx>
MIME-Version: 1.0
Content-Type: text/html; charset="us-ascii"
Content-Transfer-Encoding: 7bit
<html><body>
5556
<br>
</body></html>
Ho già avuto 3 segnalazioni di 3 clienti diversi, che per i nostri 
numeri è già qualcosa di importante. Da quel che capisco ci sono utenti 
colpiti più volte e altri nemmeno una. Sarà qualche virus immagino che 
si autoinvia usando come mittente e destinatario un indirizzo che trova 
in rubrica.
Dopo provo con la tua stringa.

 Dopo provo con la tua stringa.
Da quello che vedo, dovrebbe andare.
Tieni conto che body_checks è uno slurpatore di CPU non indifferente, e
se gestisci *tanta* posta potrebbe non essere la soluzione più adatta...
Forse si potrebbe identificare anche un qualche pattern per
header_check, magari sul Message-ID, che sarebbe più performante.
Bye.

Da quando ho inserito la tua stringa (20 minuti) mi ha bloccato 10 
messaggi, tieni presente che sono messaggi che hanno passato tutta 
un'altra serie di controlli (blacklist, helo, sender, recipient etc...) 
su un sistema che in media inoltra 40-50.000 messaggi al giorno e ne 
blocca 200.000
Non mi sembra di vedere falsi positivi per ora, grazie!


Piuttosto (ne sto parlando su un paio di ML), il numero riportato in
body non pare essere costante, anche se apparentemente ha uno spettro di
possibilità limitato.
Hai un indirizzo mail valido? Nel caso mi contatti via mail (il mio è OK)?
Bye...

 possibilità limitato.
Confermo. Secondo me è un trojan.
Ad ogni modo credo che il topic sia più da INNA, ormai.
Max
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

> Received: from ANNE.com (
ALille-252-1-81-193.w86-215.abo.wanadoo.fr
 
Metti queste regole nel main di Postfix:
smtpd_recipient_restrictions =
             reject_non_fqdn_recipient,
             reject_invalid_hostname,
             reject_non_fqdn_hostname,
             reject_non_fqdn_sender,
             reject_unknown_sender_domain,
             reject_unknown_recipient_domain,
             permit_mynetworks,
             reject_unauth_destination,
             check_recipient_access 
hash:/etc/postfix/checks/recipient_regexp,
             check_sender_access hash:/etc/postfix/checks/sender_regexp,
             check_client_access hash:/etc/postfix/access,
             reject_rbl_client 
relays.ordb.org
,
             reject_rbl_client 
opm.blitzed.org
,
             reject_rbl_client 
list.dsbl.org
,
             reject_rbl_client 
sbl.spamhaus.org
,
             reject_rbl_client 
cbl.abuseat.org
,
             reject_rbl_client 
dul.dnsbl.sorbs.net
,
             permit
e fregatene se qualcuno dice che sono restrittive, meglio così.
Posso assicurarti che prima erano anche peggio, ma ho dovuto allentare 
la morsa perchè molti isp (fastweb ed Smart Telecom su tutti) hanno un 
modo di spedire e.mail che fa impallidire anche lo spammers più incallito.

             reject_rbl_client 
dul.dnsbl.sorbs.net
,
Sarebbe probabilmente il caso di inserire 
xbl.spamhaus.org
 e rimuovere
opm e cbl, poichè xbl è un superset di entrambe.
relays.ordb.org
 è inoltre pressochè inutile dal punto di vista
dell'impatto in blocchi, e i vantaggi di averlo nel ruleset sono
inferiori allo svantaggio di un lookup dns in più, IMHO, soprattutto per
chi di posta ne gestisce tanta.
Ciò detto, quel run non lo avrebbero fermato (almeno non tutto).
(l'argomento è sempre più da inn-a e sempre più OT qui...)
Bye.