Newsgroup: it.comp.sicurezza.unix
Titolo: protezione dal mailbombing

Vorrei avere un consiglio sulla protezione dal mailbombing.
Ho gia' subito un attacco del genere in passato, ed e' stato poco piacevole.
Molti usano indirizzi tipo 
usa.net
 bigfoot ecc.  che inviano la posta al tuo
indirizzo di mail effettivo.
So che e' possibile usare questi account come "filtri" per bloccare, per esempio
spammer e scocciatori, esiste la possibilita' di bloccare anche messaggi che
arrivino numerosi e tutti in una volta ??
Penso che l' argomento sia di interesse generale, quindi scusate se leggermente
off-topic.
ciao,  grazie

...
Vorrei avere un consiglio sulla protezione dal mailbombing.
Ho gia' subito un attacco del genere in passato, ed e' stato poco piacevole.
ciao,  grazie



che arrivino numerosi e tutti in una volta ??
Non credo. Per proteggersi da spammers, mailbombers, eccetera, e'
possibile usare i comandi del protocollo POP. Su Linux, e' banale
fabbricarsi un 'defuser' o spamkiller. Sotto Windows ninzo', come
minimo serve un VBX/classe/qualcosa, che supporti i sockets ad un
livello accettabile di semplicita' programmatoria.
Sostanzialmente:
1) Si apre un canale al proprio server POP3
	(da Windows lo farei con "TELNET 
mail.tin.it
 110")
2) Si da' il comando 
	USER tarmangani
3) Si da' la password
	PASS bundolo
Il server risponde
OK tarmangani has 10 messages (1237227 octets)
Se il numero di messaggi e la dimensione totale e' accettabile, si
puo' rispondere QUIT e andarsene. O meglio fare poi partire Eudora
o quel che sara' sara'. Altrimenti...:
4) Si chiede la lista dei messaggi
	LIST
Il server risponde qualcosa come
1 650
...
9 1048576
10 599
Dal che desumiamo che il messaggio 9 (un mega sano, senz'osso) sia
la bomba.
5) Si da' il comando
	DELE 9
per far fuori la bomba, oppure
	TOP 9 1
per avere un minimo di informazioni sul bombarolo (e poi sempre DELE
naturalmente).
Oppure:
	user tarmangani has 2582 messages (422884 octets)
In questo caso c'e' stato un mailbombing pluricopia. Il metodo piu'
semplice e':
	- fare LIST
	- se c'e' un "size" ricorrente, per esempio
	1211	194
	1212	194
	1213	194
	1214	21738
	1215	194
	- vuol dire che 194 e' la dimensione della pallottola, e una
contro-raffica di
	DELE	17
	DELE	18
	....
	DELE	1211
	DELE	1212
	DELE	1213
	DELE	1215
ripulisce la mailbox. Ovviamente i comandi DELE e' bene mandarli con
uno script automatico 8-)
Infine, tutti i messaggi sopravvissuti si possono passare a TOP:
	TOP	1	1
	TOP	2	1
...
	TOP	1214	1
e vedere gli headers. Per esempio io seguo queste regole:
1) Se c'e' un campo From: che e' presente nella lista "bravi bimbi"
o nella lista "Mailing lists a cui sono abbonato", return;
2) Se NON C'E' un campo To:, o se il campo To: non contiene il mio
nome, o peggio ancora contiene "
aol.com
", "
freemail.com
", eccetera,
parte subito un DELE a reazione :-)
Chi avesse un account universitario (e Linux!) poi puo' addirittura
scriversi un "demone" che dorme sempre, tranne quando riceve un ben
preciso segnale su una porta. Quando lo riceve si collega al server
di posta del suo creatore, lo ripulisce a razzo, e torna a dormire.
In questo modo, uno neanche si accorge mai di essere stato bombato,
tranne per il fatto che gli arriva una singola piccola mail mandata
dal demone ormai sazio, con su scritto "burp!" 8-)
Immagino comunque che programmi di controllo anti-spam ci siano nel
mondo shareware Windows, non sono complicati da scrivere - idem per
i bomb-defusers.
Leonardo
".signature": bad command or file name

Pegasus E-mail protegge dal Mail bombing
Pegasus Mail for Microsoft Windows
Copyright (C) 1992-97, David Harris, all rights reserved
Electronic mail to 
sup...@pmail.gen.nz
.
Ave Spartaco
Spartaco
Slaves' Legion
spar...@mailcity.com

>Pegasus E-mail protegge dal Mail bombing
e come?
--
_________________________
Aranar
http://www.tempolibero.com/user/aranar
 (anche vgaplanets)
http://www.nettaxi.com/citizens/Aranar
 (also vgaplanets)

 arrivino numerosi e tutti in una volta ??
Purtroppo no... molti mailbombers (inteso come programmi) hanno la
possibilità di inserire caratteri casuali nel titolo e di variare a piacere
l'indirizzo del sender e persino il mail server... In questo caso è davvero
una gran perdita di tempo creare dei filtri...
C'e' un'utility per windows e per Linux che si chiama "Bombsquad"... un
programmino semplice che permette di cancellare molto velocemente un
gran numero di e-mails nel caso si sia stati vittima di un mailbombing, ed
inoltre permette di salvare un certo numero di headers per poter così
denunciare l'accaduto al service provider del "dinamitardo"... dovresti
poterlo trovare all'indirizzo
http://www.hack101.com

una gran perdita di tempo creare dei filtri...
Dipende da quali tipi di filtro. Un programma di defusing valido dovrebbe per
esempio poter filtrare i messaggi giunti sul tuo provider in un dato lasso di
tempo; per aggirare questo filtro, il dinamitardo dovrebbe inviare i messaggi
con ritardi variabili (che non e' difficile, ma neanche immediato).
Poi si puo' effettuare un controllo sulla lunghezza del messaggio (piu' corto
di un tot, o piu' lungo di un tot).
Infine e' possibile verificare che tutti i mail-relay siano validi, e che non
ci sia un numero eccessivo di tali relays nell'insieme dei messaggi. E questo
obbliga il dinamitardo ad usare un gran numero di relays, e non e' detto mica
che lo possa fare.
Si dovrebbe poter anche selezionare parole chiave che forzino o cancellazione
o salvataggio del messaggio.
Se si dispone di un account veloce, anche non personale (...e potrebbe essere
un interessante e-business...! 8-) ), si puo' fare una analisi statistica del
testo del messaggio: quante parole esistono nel dizionario (ci sono, ricordo,
dei files .DCT di pubblico dominio per quasi tutte le lingue), o come variano
le medie ed i momenti sul testo (qui ci sarebbe pero' il problema di definire
una metrica; empiricamente si puo' usare uno dei tanti ebooks in giro, quelli
del progetto Manuzio o del Project Gutemberg, per confrontare i valori attesi
... naturalmente occorrerebbe una grossa potenza di calcolo, ma le matrici si
possono precalcolare, e comunque il processo di eliminazione e' o(n log n) ).
Una cosa che potrebbe essere molto utile e' identificare delle signatures, in
un modo simile a quello usato per i virus. I vari "bombers", come anche quasi
tutti gli spam-mailers, o non hanno headers tipici di veri mailers, oppure ce
li hanno. Nel primo caso li si puo' identificare in negativo, nel secondo (al
prezzo di falsi positivi, eliminabili pero' con riferimento incrociato con la
lista dei mittenti normali) anche.
E' una situazione di "pit your wit" tipicamente da Internet :-)
...sono sicuro che un sacco di gurus Unix la' fuori stanno gia' cominciando a
meditare sui corrispondenti scripts Perl... 8-D


 lista dei mittenti normali) anche.
Li hanno... ogni e-mail, fatta esclusione per quelle mandate tramite anonymousremailer
(e sinceramente dubito che qualche spammer usi degli anonymous
remailers) ha ben impressi i veri headers con l'IP del mittente in bella vista,
insieme ad una serie (di solito, due) headers fasulli messi lě per ingannare la
gente... tutto sta nel riconoscerli (ci sono vari tutorial sparsi per la rete al
riguardo).
Tramite un whois, si trova il provider e si denuncia il tutto al postmaster.

...ma forse io non la vedo dal lato "server"... 8)

completamente casuali nel titolo, ecc... il che rende inutile lo sforzo...
I caratteri completamente casuali vengono fulminati subito da un controllo di
tipo banale (un programma con 160 K di tabelle dati li distingue con un tasso
di errore inferiore all'1%). Volendo essere sofisticati si controllano vocali
e consonanti o robe cosi', ma non serve, bastano le frequenze congiunte delle
varie lettere.
Scrivere un programma del genere e' banale: prepari una matrice 40x40x40, poi
la precarichi dandogli in pasto parole dalle tue emails vere. A ogni sequenza
di tre caratteri, incrementi il contatore [c1][c2][[c3]. E per fregarlo, devi
usare parole, non caratteri random: gia' scrivendo "asdfghi" totalizzi 5 "bad
points", il tuo indirizzo di e-mail ne totalizza 8 (per quanto gli indirizzi,
ovviamente, non contino: "
acc...@mclink.it
" potrebbe essere valido).
Il trucco evidentemente sta nel fare fuori il bombing,
a) downloadando il minimo possibile di posta;
b) minimizzando il rischio di uccidere posta legittima.
Il controllo sulle lunghezze ti consente di usare solo il comando STAT per un
primo grosso lavoro di scrematura.


On Sat, 09 May 1998 09:25:42 GMT, 
L.S...@agora.stm.it
 (Leonardo
Serni) wrote:
Leo ma sei un genio ! (lo dico sinceramente)
Non come quando parli di medicina ;)
Un cordiale "benritrovato"
ADM
__________________
La liberta' non sta nello scegliere tra bianco e nero,
ma nel sottrarsi a questa scelta prescritta.
(Theodor W.Adorno)

Non come quando parli di medicina ;)
Strano. Tiro a indovinare in entrambe le materie... 8-D
Leonardo "bisogna che rifaccia un test Zener..."


Leonardo "bisogna che rifaccia un test Zener..."
heheheh eddai che e' ovvio che sto scherzando :)
Sei solo troppo convinto delle tue idee ;) come io delle mie.
A proposito cosa e' un test  Zener?


A proposito cosa e' un test  Zener?
Quello con le carte, per determinare il livello di capacita' precognitiva
o telepatica. Ogni amministratore di sistema dovrebbe essere precognitivo
per fare bene il suo lavoro 8-D
Leonardo


 Ho gia' subito un attacco del genere in passato, ed e' stato poco piacevole.
Ca
--
Automatic posted from 
ro...@supernova.unicam.it
 [193.204.9.161]
via Mailgate Server - 
http://www.mailgate.org

 
Ciao,
per gli utenti Linux dovrebbe esserci tra breve una bella notiza: con il
sendmail8.8.9 (stando a quelloi


 indirizzo di mail effettivo.
Per gli utenti Liu


 indirizzo di mail effettivo.
Ciao, 
per gli utenti Linux c'e' una buona notizia: a breve uscira' il Sendmail
8.9 che, stando a quello che dice il realizzatore, avra' una lista di
buoni e cattivi.
In poche parole se veniamo bombartati da un 
usa.net
 a caso noi lo
mettiamo in un file con tutti i cattivi, e nel caso di mail proveniente
da quell'indirizzo non gli verra' concessa neanche la connessione alla
porta 25 del sistema (connection refused).
Esistono comunque gia' delle patch per modificare il gia' esistente
sendmail8.8.8
per approfondimenti vi cito il sito
http://www.sendmail.org/antispam.html
In secondo luogo vi ricordo che in italia e' vietato lo spammaggio
(legge sulla privacy) mi pare...
pertanto ricevendo una mail e' possibile analizzate l'ip di partenza da
cui risalire al provvider di partenza e se risulta italiano e' possibile
intimidirlo a svolgere indagini sulle connessioni e rimproverare
(almeno) il bombardatore.
Saluti a tutti
Rocco De Marco
e.mail: 
ro...@supernova.unicam.it
web:    
http://supernova.unicam.it/rocco
lotta alla pirateria: 
http://supernova.unicam.it/rocco/pirati


 buoni e cattivi.
Veramente 8.9 e' _gia'_ uscito (
http://www.sendmail.org
).
Le distribuzioni di Linux non lo includono ancora, ma sendmail
non e' "per linux" ma per ua tonnellata di sistemi operativi
Unix-Like. Semplicemente scaricatelo, configuralo e installalo
e funziona *anche* su Linux.
In ogni caso la protezione dallo spamming, il relay-block eccetera
possono benissimo essere fatte anche con versioni precedenti, e' 
questione di configurazione. 8.9 prevede queste cose "di default",
8.8 no, te le devi settare tu.
Ciao,
-- 
Andrea

 buoni e cattivi.
Immagino che il sendmail 8.9 non sara` *solo* per Linux ! :-)
Chi non volesse aspettare puo` sempre usare un MTA diverso e piu`
robusto di sendmail. Io uso soprattutto qmail con le patch denymail 
(
http://www.qmail.org
) o il juniper smtpd (
http://www.obtuse.com
).
Ciao.
-- 
   _ ___
 _| / __|      Andrea Paolini . Unix sysadmin & Network manager
/ . \__ \      DS Logics Srl . Via S.Felice 98 . Bologna . ITALY
\___,___/ NET  Email: 
ap-date...@hill.dsnet.it