The (anti-)spam world thread

[hexen]

Codice: Seleziona tutto

LIST FIVETEN

mi dice che è troppo lungo anche se sono 7 lettere esatte
e non la mette nella "lista delle liste"

[Frengo78]

Ok ci sono riuscito. fiveten non andava bene perche di sette lettere. Ma il nome fiveten è il nome di comodo che viene inserito da spam pal negli header della mail per capire quale lista ha listato la determinata email. Ho cambiato il nome da 7 lettere con il piu breve 5TEN ed è stata addata la lista.

Grazie mille zello.

Ora come al solito sono pignolo: non è che si puo avere 5ten non dico in una posizione di rilievo in cima alla lista delle liste però non in fondo alla lista dopo tutte le nazioni?

[hexen]

a me, nonostante la correzione a "5ten", dopo averla checkata e chiuso la finestra di configurazione di spampal mi esce questa



notte

[Frengo78]

Non è che l'hai ceckata prima di aver chiuso e riaperto l'options dialog?

Cmq almeno non è il problema della lunghezza che ti dava prima no?

[hexen]

Non è che l'hai ceckata prima di aver chiuso e riaperto l'options dialog?

Cmq almeno non è il problema della lunghezza che ti dava prima no?

dopo aver aggiunto il codice nel file di testo ho chiuso l'option dialog e poi spampal stesso, dopo averlo riaperto ho checkato la casella e dando ok mi è ricomparso il messaggio. La lista è nell'elenco senza spunta

[Frengo78]

Hai ragione, lo fa anche a me!

[Nicola]

Hai ragione, lo fa anche a me!

idem a me.

Ciao

[hexen]

questi header hanno fatto impazzire il programma: non ha dato alcun risultato

Codice: Seleziona tutto

From:     Harrington Institute <JustForYou________r-5695378-
1102@justforyou-mail.com>
To:       Friend <**@infinito.it>
Return-Path: <bounce-5695378-1102@mail151.justforyou-mail.com>
Received: from mail151.justforyou-mail.com ([66.216.115.142]
verified)
  by infinito.it (CommuniGate Pro SMTP 4.0.1)
  with SMTP id 28870392 for **@infinito.it; Mon, 06 Jan 2003
19:20:17 +0100
X-Mailer: MIME::Lite 2.117  (F2.6; B2.12; Q2.03)
Date: Mon, 6 Jan 2003 18:20:16 UT
X-Id: H4F%N9&]M25::P#3_K1@XX.;5%..M@G,*E>,CF+U:^)X*0/EN@64TT0``
X-List-Unsubscribe: <unsub-5695378-1102@justforyou-mail.com>
Reply-To: "Just For You" <JustForYou________r-5695378-
1102@justforyou-mail.com>
Return-Path: <bounce-5695378-1102@justforyou-mail.com>
Message-ID: <auto-000028870392@infinito.it>
X-SpamPal: PASS                                                 
Delivery-Date: Mon, 6 Jan 2003 19:19:41
X-Account: Infinito
Subject: Become An Interior Designer
Mime-Version: 1.0
Content-Type: text/html; charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable
Status: U

66.216.115.142 cos'è?

[Nicola]

Codice: Seleziona tutto

Received: from mail151.justforyou-mail.com ([66.216.115.142]
verified)
  by infinito.it (CommuniGate Pro SMTP 4.0.1)

L'IP esiste. Risponde al ping. Il nome host mail151.justforyou-mail.com è associato a quell'IP. Pinga mail151.justforyou-mail.com e vedrai.

Quindi credo che non sia europeo questo IP. ma perchè ripe nn mi rimanda al sito di competenza per controllare l'abusedesk relativo a quell'IP?

Ho provato su arin (vedi http://ws.arin.net/cgi-bin/whois.pl?queryinput=66.216.115.255) ed è intestato a

Codice: Seleziona tutto

Rackspace.com RSPC-NET-4 (NET-66-216-64-0-1)
                                  66.216.64.0 - 66.216.127.255
JustForYou-Mail (Customer Service) RSPC-16618-0210151058 (NET-66-216-115-0-1)
                                  66.216.115.0 - 66.216.115.255

# ARIN Whois database, last updated 2003-01-05 20:00
# Enter ? for additional hints on searching ARIN's Whois database.

Bisogna forse cliccare su uno dei link presenti nella pagina per vedere gli altri IP intestati e trovare lì la mail?

Ciao, Nicola

[formiche]

Codice: Seleziona tutto

Return-Path: <bob2@nrgsex.com>
Received: from smtp8.cp.tin.it (192.168.70.235) by ims1c.cp.tin.it (6.5.028)
        id 3DDAE8C30063521B for io@provider.it; Tue, 31 Dec 2002 01:54:06 +0100
Received: from [213.29.98.23] (213.29.98.23) by smtp8.cp.tin.it (6.5.029)
        id 3E08064A0062CB86 for io@provider.it; Tue, 31 Dec 2002 01:54:06 +0100
Message-ID: <3E08064A0062CB86@smtp8.cp.tin.it> (added by postmaster@provider.it)
Received: from unknown (156.54.224.23) by a231242.upc-a.chello.nl with local; Dec, 31 2002 1.40.50 +1200
Received: from unknown (153.188.246.130) by m10.grp.snv.yahoo.com with local; Dec, 31 2002 0.41.38 +1100
Received: from [138.156.251.163] by da001d2020.lax-ca.osd.concentric.net with local; Dec, 30 2002 23.23.40 +0700
From: Newsletter NrgSex <bob2@nrgsex.com>
To: Undisclosed Recipient


abuse^at^mail.dci.co.ir

[zello]

questi header hanno fatto impazzire il programma: non ha dato alcun risultato

Lo so. Quando un Rir restituisce più di un risultato a volte il programma si impalla - in realtà l'ho già sistemato, però sto completando (mmh, e si sta rivelando più lungo del previsto) alcune aggiunte prima di rendere disponibile un'altra versione. Vorrei farla uscire quando il motore che manda i lart è disponibile - ma mi porta via tempo, se qualcuno vuole un "semicompilato" (nel senso una versione funzionante ma non stabile) mi mandi due righe via e-mail.

JustForYou-Mail (Customer Service) RSPC-16618-0210151058 (NET-66-216-115-0-1)

Non vorrete davvero mandare un lart a una società che si chiama "JustForYou-Mail"?
Direi di passare direttamente a rackspace. Anche perché la società è listata da SPEWS (http://spews.org/html/S1514.html), SBL (http://spamhaus.org/SBL/sbl.lasso?query=SBL5417) e da un sacco di altre liste. Mi sa che sono professionisti (ma nessun record su ROSKO).
PS: anche lamentarsi con Rackspace non servirà a molto: spews blacklista tutto il netblock /24, più molti, moltissimi altri tutti facenti capo a Rackspace (molte cose fanno pensare che si tratti sempre dello stesso spammer).
E infatti:

X-SpamPal: PASS

è ciò che mi stupisce di più

[Frengo78]

Hexen, nicola, se risolvete quel piccolo problema con fiveten me lo fate sapere? Quella lista mi serve disperatamente!
Per non infastidire ulteriormente questo 3d le prossime richieste a riguardo le farò in un apposito link su assistenza software

[Kurosawa]

e questa? con chi me la devo prendere?
(scusate ma a me ancora non mi è chiaro come fate: codice ecc... usate qualche software? e poi

Da: <bluestar3002et807@yahoo.com>
Data: Fri, 10 Jan 2003 02:54:33 +0100
A: qui ci sono una serie di indirizzi tutti di dominio virgilio in ordine alfabetico tra cui il mio
cc:
Oggetto: Free porn! 4444rKX-7

Return-Path: <bluestar3002et807@yahoo.com>
Received: from smtp8.cp.tin.it (192.168.70.235) by ims1a.cp.tin.it (6.5.028)
id 3E0DDF160016DE1B; Thu, 9 Jan 2003 11:12:05 +0100
Received: from yahoo.com (61.240.182.22) by smtp8.cp.tin.it (6.5.029)
id 3E08064A00F16BE9; Thu, 9 Jan 2003 11:12:04 +0100
Received: from unknown (HELO anther.webhostingtotalk.com) (6.188.84.141)
by mta21.bigpong.com with QMQP; 10 Jan 2003 05:17:43 -0100
Received: from 115.251.233.39 ([115.251.233.39]) by mailout2-eri1.midmouth.com with NNFMP; Fri, 10 Jan 2003 04:03:26 -0000
Reply-To: <bluestar3002et807@yahoo.com>
Message-ID: <013d48b54d7c$3681d5d7$6bb27aa0@iunele>
From: <bluestar3002et807@yahoo.com>
To: -omissis-
Subject: Free porn! 4444rKX-7
Date: Fri, 10 Jan 2003 02:54:33 +0100
MiME-Version: 1.0
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_00D5_71A46C0E.C3773A22"
X-Priority: 3 (Normal)
X-MSMail-Priority: Normal
X-Mailer: Internet Mail Service (5.5.2650.21)
Importance: Normal

------=_NextPart_000_00D5_71A46C0E.C3773A22
Content-Type: text/html; charset="iso-8859-1"
Content-Transfer-Encoding: base64

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[Nicola]

Kurosawa cancella questi indirizzi .. così sono visibili allo spammers.
Cmq questo significa che moolto probabilmente è stata inviata a tutti e tutti vedranno anche gli altri indirizzi.
Ma volendo potrebbe essere mandata solo a te e sugli headers messi come falsi destinatari anche altri, anche se mi sembra strano.

Codice: Seleziona tutto

To: <***@virgilio.it>,
<***@virgilio.it>,
<***i@virgilio.it>,
<***@virgilio.it>,
<***@virgilio.it>,
<***@virgilio.it>,
<***@virgilio.it>,
<***@virgilio.it>,
<***@virgilio.it>,
<***@virgilio.it>

Analisi:

Codice: Seleziona tutto

Received: from 115.251.233.39 ([115.251.233.39]) by mailout2-eri1.midmouth.com with NNFMP; Fri, 10 Jan 2003 04:03:26 -0000

sembrerebbe falsa questa riga.

Codice: Seleziona tutto

Received: from unknown (HELO anther.webhostingtotalk.com) (6.188.84.141)
by mta21.bigpong.com with QMQP; 10 Jan 2003 05:17:43 -0100

questa sembrerebbe idem anche se l'IP 6.188.84.141 è registrato.
La linea giusta sembrerebbe questa:

Codice: Seleziona tutto

Received: from yahoo.com (61.240.182.22) by smtp8.cp.tin.it (6.5.029)
id 3E08064A00F16BE9; Thu, 9 Jan 2003 11:12:04 +0100

Quindi (da apnic.net):

Codice: Seleziona tutto

inetnum:      61.240.0.0 - 61.243.255.255
netname:      UNICOM
descr:        China United Telecommunications Corporation
descr:        Beijing Railway Station East Avenue
country:      CN
admin-c:      RX9-AP
tech-c:       RX9-AP
mnt-by:       MAINT-CNNIC-AP
mnt-lower:    MAINT-CN-CNNIC-UNICOM
changed:      hostmaster_AT_apnic.net 20010817
changed:      ipas_AT_cnnic.net.cn 20010828
status:       ALLOCATED PORTABLE
source:       APNIC

person:       RenYong Xu
address:      911 Room,Xin Tong Center,No.8
address:      Beijing Railway Station East Avenue,
address:      Beijing,PRC.
country:      CN
phone:        +86-10-6527-8866
fax-no:       +86-10-6526-0124
e-mail:       ip_address_AT_cnuninet.com
nic-hdl:      RX9-AP
mnt-by:       MAINT-CNNIC-AP
changed:      ip_address_AT_cnuninet.com 20020716
source:       APNIC

Ma non se non sono sicuro al 100%.
Aspetta il parere di SuperZelloMan prima di mandare il LART (naturalmente _AT_ sta per @.)

Ciao, Nicola.

[Kurosawa]

ma mi spieghi come distingui le righe vere dalle false? e poi l'analisi dell'ip finale?

[Nicola]

ma mi spieghi come distingui le righe vere dalle false?

Perchè ho fatto un whois su http://www.ripe.net/perl/whois e su http://www.arin.net e non mi ha trovato risultati valdi o i servers mail (by nomeserver) non erano validi

Codice: Seleziona tutto

C:\Documents and Settings\Niko>nslookup
Server predefinito:  ns2.tin.it
Address:  212.216.172.162

> mailout2-eri1.midmouth.com
Server:  ns2.tin.it
Address:  212.216.172.162

*** ns2.tin.it non trova mailout2-eri1.midmouth.com: Non-existent domain
>

mta21.bigpong.com me lo da valido ma se mi collego alla 25 non mi si connette non so
Poi anche il tipo:

Codice: Seleziona tutto

with QMQP

non mi sembra valido, di solito per la posta è SMTP.

Per l'analisi finale:

Codice: Seleziona tutto

Received: from yahoo.com (61.240.182.22) by smtp8.cp.tin.it (6.5.029)
id 3E08064A00F16BE9; Thu, 9 Jan 2003 11:12:04 +0100

Ho preso l'ip (yahoo.com e' il falso nome dato) e ho fatto una ricerca con RIPE (http://www.ripe.net/perl/whois?form_type=simple&full_query_string=&searchtext=61.240.182.22).
Mi ha detto ALLOCATED UNSPECIFIED.
Quindi sono andato su http://www.arin.net (sito principale gestione IP) e ho fatto il whois dal sito, mi ha rimandato a http://www.apnic.net dove ho effettuato il WHOIS che ha riportato quanto ho detto.

Codice: Seleziona tutto

inetnum:      61.240.0.0 - 61.243.255.255
netname:      UNICOM
descr:        China United Telecommunications Corporation
descr:        Beijing Railway Station East Avenue
country:      CN
admin-c:      RX9-AP
tech-c:       RX9-AP
mnt-by:       MAINT-CNNIC-AP
mnt-lower:    MAINT-CN-CNNIC-UNICOM
changed:      hostmaster_AT_apnic.net 20010817
changed:      ipas_AT_cnnic.net.cn 20010828
status:       ALLOCATED PORTABLE
source:       APNIC

person:       RenYong Xu
address:      911 Room,Xin Tong Center,No.8
address:      Beijing Railway Station East Avenue,
address:      Beijing,PRC.
country:      CN
phone:        +86-10-6527-8866
fax-no:       +86-10-6526-0124
e-mail:       ip_address_AT_cnuninet.com
nic-hdl:      RX9-AP
mnt-by:       MAINT-CNNIC-AP
changed:      ip_address_AT_cnuninet.com 20020716
source:       APNIC

Ma ti ripeto, non sono sicurissimo al 100%.

Ah:

Codice: Seleziona tutto

Received: from smtp8.cp.tin.it (192.168.70.235) by ims1a.cp.tin.it (6.5.028)

E' solo l'instradamento interno del tuo provider verso la tua e-mail.

Ciao, Nicola.

[zello]

Righe Received: vere da quelle false? Se vuoi ti posso dire come faccio io:

Codice: Seleziona tutto

Received: from smtp8.cp.tin.it (192.168.70.235) by ims1a.cp.tin.it (6.5.028)
id 3E0DDF160016DE1B; Thu, 9 Jan 2003 11:12:05 +0100
Received: from yahoo.com (61.240.182.22) by smtp8.cp.tin.it (6.5.029)
id 3E08064A00F16BE9; Thu, 9 Jan 2003 11:12:04 +0100
Received: from unknown (HELO anther.webhostingtotalk.com) (6.188.84.141)
by mta21.bigpong.com with QMQP; 10 Jan 2003 05:17:43 -0100
Received: from 115.251.233.39 ([115.251.233.39]) by mailout2-eri1.midmouth.com with NNFMP; Fri, 10 Jan 2003 04:03:26 -0000


Allora:
- la prima è vera, visto che l'ha loggata il tuo provider
- la seconda anche, dato che è un passaggio interno di tin (192.168.70.235 è un indirizzo di lan)
- e quindi sicuramente 61.240.182.22 ha maneggiato la mail, consegnandola alle 11:12 +1, ovvero 10:12 GMT, del 9/1;
- il computer si è presentato come yahoo.com. Stando al Received dopo, che lui stesso dovrebbe aver scritto, però, il nome del server sarebbe mta21.bigpong.com. Inoltre, pare che abbia ricevuto la posta alle 5:17 -1, ovvero alle 4:17 GMT *del 10 gennaio* - ovvero, o la data del server è sbagliata, oppure questo ha ricevuto la posta *dopo* che l'ha consegnata. Ricorda, gli spammers sono stupidi.
- Dichiara di aver ricevuto la posta da 6.188.84.141 - se mi ricordo bene (non sono assolutamente sicuro, ma non dovrei sbagliarmi) 6.0.0.0-6.255.255.255 dovrebbe essere un indirizzo riservato allo IANA, e dunque non valido per internet attualmente.
Riga falsa. Se è falsa questa, sono false le successive (che comunque hanno incongruenze analoghe).

Regola empirica: il primo computer che si presenta all'helo come yahoo.com, hotmail.com, msn.com o aol.com è al 99% il mittente, le successive Received: sono farlocche.

Altra regola empirica, *importante!!!*: il primo open proxy della catena dei received invalida tutte le linee successive. In questo caso:

Codice: Seleziona tutto

61.240.182.22 listed in OSIRUS(127.0.0.9) FIVETEN(127.0.0.2) SPAMCOP(127.0.0.2) BOPM(127.1.0.20)
Osirus Relays List (OSIRUS): (2003/01/07) Open Proxy: http(3128)
Blitzed Open Proxy Monitor (BOPM): open proxy - see http://blitzed.org/proxy/?ip=61.240.182.22


Per il software, di solito uso il mio programmino. Lo dovresti trovare (bugs compresi) su spam-abuse.sourceforge.net, vai alla pagina relativa al progetto, e fai il download dell'ultima versione. In questo caso - trovando un proxy - avrebbe scartato le linee successive.

Per frengo: su five-ten-sg.com ho chiesto a James Farmer se poteva inserirlo tra le liste di default nella prossima versione (risposta: sì). Quando ho un attimo provo a inserirlo "a mano", e vi dico come fare.

Ciao

[Kurosawa]

l'ho scaricato... al prossimo spam vedo se sono in grado di farlo funzionare e ti riferisco!
mille grazie zello! ...
oh mille grazie a tutti ovviamente: frengo, nico, dado, bc, tos...eccecc...

[zello]

A me con queste impostazioni:

Codice: Seleziona tutto

LIST FTSG
NAME Five-Ten-Sg
WEBSITE http://www.five-ten-sg.com/blackhole.php
ZONE blackholes.five-ten-sg.com
DESCRIPTION Another dnsbl list
RESULT_CODE 127.0.0.2  # spam
RESULT_CODE 127.0.0.4  # bulk
RESULT_CODE 127.0.0.5  # multistage o.r.
RESULT_CODE 127.0.0.6  # singlestage o.r.
RESULT_CODE 127.0.0.7  # spamsupport
RESULT_CODE 127.0.0.8  # webforms
RESULT_CODE 127.0.0.9  # misc
RESULT_CODE 127.0.0.10 # klez
RESULT_CODE 127.0.0.11 # tcpa


five-ten-sg.com funziona senza errori. Ho spampal 1.0.082 (è un po' che non agigorno - siamo alla 1.11).

[Frengo78]

Io ho la 1.10 e continua a darmi errore. Cmq poco male. Se l'autore si è impegnato a includerla nella prossima versione il problema è risolto