Борьба со спамерами

← →
Gero © (2006-02-02 11:22) [40]

> Kerk © (02.02.06 11:16)

Ты разве не gmail используешь? У меня он фильтрует все.

← →
Kerk © (2006-02-02 11:23) [41]

Gero © (02.02.06 11:22) [40]

У меня кроме gmail еще несколько ящиков.

← →
Piter © (2006-02-02 14:19) [42]

Kerk © (02.02.06 11:16) [39]

потому что непосредственно к твоему MX-серверу коннектились.

Собственно:

SergP © (31.01.06 9:51) [31]
Нет такого понятия как "почта отправлена с такого-то адреса"

абсолютно прав. Нет такого понятия. Это просто запись в заголовке письма.

Собственно, как и нет понятия отправителя IP пакета, это тоже просто поле в заголовке IP пакета, которое указывается самим отправителем, указывай там что хочешь.

вот мне надо послать письмо на <admin@kerkzone.net>, я просто узнаю MX запись от домена kerkzone.net, соединюсь с ним по порту SMTP и загоню письмо, указывая любого отправителя. С популярных адресов gmail, yandex наверное не получится, так как почтовый демон может следить за IP адресами этих служб... А так - влегкую.

← →
Piter © (2006-02-02 14:20) [43]

Piter © (02.02.06 14:19) [42]
Нет такого понятия
Piter © (02.02.06 14:19) [42]
как и нет понятия отправителя IP пакета

то есть, понятия такие, конечно, есть. Я в том смысле, что они не обязательно правдивые, так как пожставляются самим отправителем.

← →
КаПиБаРа © (2006-02-02 14:41) [44]

SergP © (31.01.06 9:51) [31]
Ну хорошо если адрес можно подделать, то вот это я думаю нельзя.

Received: from h54.56.29.71.ip.alltel.net ([71.29.56.54])

Received: from 62.165.34.177 ([71.66.99.108])

Received: from cpe-71-64-151-116.woh.res.rr.com ([71.64.151.116])

Received: from 132.MIPS0010007.cyberhome.ne.jp (132.MIPS0010007.cyberhome.ne.jp [210.167.178.132])

Допустим данный сервис будет иметь несколько сотен адресов ловушек, которые попадают в базы спамеров. Таким образом сервис узнает об очередной рассылке и получит кое какой идентификатор. Пользователи могут обращатся к сервису и проверять свои письма.

Однако лучше было бы перейти на протокол, который исключает возможность спама.

← →
Kerk © (2006-02-02 14:42) [45]

Piter © (02.02.06 14:19) [42]
потому что непосредственно к твоему MX-серверу коннектились.

Напрямую подключившийся к SMTP и отсылающий мыло не с этого сервера - явный спамер. Учитывая, что с этого сервера нельзя отправить мыло без логина/пароля, то таких спамеров можно легко давить.

← →
Piter © (2006-02-02 15:09) [46]

Kerk © (02.02.06 14:42) [45]
Напрямую подключившийся к SMTP и отсылающий мыло не с этого сервера - явный спамер

блин, не понял ты ничего.

Для примера отправил тебе письмо на admin@kerkzone.net (тему забыл только указать) с адреса support@microsoft.com

Кроме моего IP адреса: 87.228.56.110 - ты никакой информации из письма не извлечешь.

А использовал бы спуфинг - то и IP адрес бы указывал на microsoft.com

← →
Kerk © (2006-02-02 15:14) [47]

Piter © (02.02.06 15:09) [46]

Нафиг мне твой айпи адрес? Я смотрю записи received в пришедшем письме. Вижу, что там пусто - значит спам.

← →
Рамиль © (2006-02-02 15:21) [48]

> А использовал бы спуфинг - то и IP адрес бы указывал на
> microsoft.com

Не, спуфинг не пройдет. SMTP работает поверх TCP/IP а не UDP.

Кстати, недавно я в целях борьбы со спамом попробовал включить проверку просто по прямой записи (даже не по обратной!)

Вот такое письмо
Jan 18 14:07:28 mx0 postfix/smtpd[86138]: NOQUEUE: reject: RCPT from unknown[212.15.xx.xx]: 450 Client host rejected: cannot find your hostname, [212.15.xx.xx]; from=<sender@xx.yyy.ru> to=<recipientt@mydomain.ru> proto=SMTP helo=<zz.yyy.ru>

Так у узла zz.yyy.ru нет записи A, не говоря уж о PTR. А сервер и письмо не спамерские. Письма терять я не имею права, ткнуть админов в RFC то же не получится. И что делать?
Если бы я работал, например, в налоговой :), то наплевал бы на все и включил все проверки, отвечая всем: "Не проходит письмо - ваши проблемы". А так как клиентов терять по причине криво настроенных у них серверов нельзя, приходится мирится :(

← →
Игорь Шевченко © (2006-02-02 15:26) [49]

А мне вот такие вот письма приходят:

From : speller <speller@mail.primorye.ru>
Sent : Wednesday, February 1, 2006 4:33 PM
To : <whitefranz@hotmail.com>
Subject : Fw: Funny :)

Attachment : Video_part.mim (0.13 MB)
MIME-Version: 1.0
Received: from tomek ([83.5.10.238]) by bay0-mc11-f14.bay0.hotmail.com with Microsoft SMTPSVC(6.0.3790.211); Wed, 1 Feb 2006 08:33:54 -0800
X-Message-Info: 6sSXyD95QpV9By4GoqShr4gpua+xXA005vBWtZg0j+0=
Return-Path: speller@mail.primorye.ru
X-OriginalArrivalTime: 01 Feb 2006 16:33:54.0782 (UTC) FILETIME=[4AD117E0:01C6274D]

И куда его ? Вместе с Александром Правдиным ? :)

← →
Piter © (2006-02-02 15:43) [50]

Kerk © (02.02.06 15:14) [47]
Я смотрю записи received в пришедшем письме. Вижу, что там пусто - значит спам

нда... Ничего ты не понял, даже не читаешь, видимо.

Ладно, послал тебе письмо на admin@kerkzone.net, тема письма: "Hi, Kerk! It"s Piter"

Расскажешь, какие там Received?

Рамиль © (02.02.06 15:21) [48]
спуфинг не пройдет. SMTP работает поверх TCP/IP а не UDP

спуфинг можно осуществлять IP пакетов вообще, причем здесь TCP или UDP...

← →
Kerk © (2006-02-02 15:43) [51]

From - Thu Feb 02 16:47:56 2006 X-UIDL: 535624def644e3f2c638abd911aaec19 X-Mozilla-Status: 0001 X-Mozilla-Status2: 00000000 >From support@microsoft.com Thu Feb 02 15:43:19 2006 Return-path: <support@microsoft.com> Envelope-to: admin@kerkzone.net Delivery-date: Thu, 02 Feb 2006 15:43:19 +0300 Received: from [87.228.56.110] by iota.deserv.net with smtp (Exim 4.50) id 1F4dm8-0002tn-NL for admin@kerkzone.net; Thu, 02 Feb 2006 15:43:19 +0300 Received: (qmail 18782 invoked from network); 1 Feb 2006 14:57:45 -0000 Received: from mx18.yandex.ru (213.180.200.18) by grif.newmail.ru with SMTP; 1 Feb 2006 14:58:45 -0000 Received: from smtp1.pochta.ru (81.211.64.6) by mx18.yandex.ru with SMTP; 1 Feb 2006 14:59:45 -0000 From: Piter <support@microsoft.com> To: Kerk <admin@kerkzone.net> Subject: Hi, Kerk! It"s Piter Kerk, kupi nash uvilechitel penisa za 3000 baksov!

Не дофига ли Received-записей? :)

← →
Piter © (2006-02-02 15:45) [52]

Kerk © (02.02.06 15:43) [51]
Не дофига ли Received-записей? :)

Теперь понял?

← →
Kerk © (2006-02-02 15:47) [53]

Piter © (02.02.06 15:45) [52]
Теперь понял?

Чего понял?
Человек напрямую подлючившийся к моему SMTP - спамер на 99%.

← →
Piter © (2006-02-02 15:48) [54]

Kerk © (02.02.06 11:16) [39]
Вопрос. Почему только одна Received-запись? У нормальных писем, которые я смотрел, их как минимум две. Таким вот спамом просто закидывают в последнее время.

ответ: отправителям лень придумывать левые Received.

← →
Piter © (2006-02-02 15:51) [55]

Kerk © (02.02.06 15:47) [53]
Человек напрямую подлючившийся к моему SMTP - спамер на 99%

ха! Любое письмо в конце концов доставится к тебе методом прямого подключения к твоему серваку.

Что значит напрямую? Как ты узнаешь как я подключусь? Вот сам видишь - мое письмо и через yandex прошло, и через Pochta.ru...

← →
Kerk © (2006-02-02 15:52) [56]

Piter © (02.02.06 15:51) [55]
Любое письмо в конце концов доставится к тебе методом прямого подключения к твоему серваку.

Читай [47]

← →
Рамиль © (2006-02-02 15:54) [57]

> Piter
> спуфинг можно осуществлять IP пакетов вообще, причем здесь
> TCP или UDP...

UDP не требует подтверждения доставки пакета. В случае подмены адреса по протоколу TCP соединение просто не установится и никакого письма не будет.

← →
Piter © (2006-02-02 15:55) [58]

Kerk © (02.02.06 15:52) [56]
Читай [47]

ты сколько вчера выпил то? :)
Ну прочитал я [47]. ЧТО ДАЛЬШЕ ТО?

Ты сам в [51] процитировал мое письмо. Там что, пусто в Received?

← →
Kerk © (2006-02-02 15:57) [59]

Piter © (02.02.06 15:55) [58]
ЧТО ДАЛЬШЕ ТО?

Попробуй подумать.

> Ты сам в [51] процитировал мое письмо. Там что, пусто
> в Received?

Не пусто. Это говорит о том, что письма с пустым Received не спам?

← →
Piter © (2006-02-02 15:58) [60]

Рамиль © (02.02.06 15:54) [57]
В случае подмены адреса по протоколу TCP соединение просто не установится и никакого письма не будет.

это кто тебе сказал?

Да, я не буду получать ответных IP пакетов, но я могу предугадать что в них содержится при нормальном течении процесса и посылать следующие порции информации.

← →
Piter © (2006-02-02 16:02) [61]

Kerk © (02.02.06 15:57) [59]
Это говорит о том, что письма с пустым Received не спам?

это говорит о том, что Received - это лажа, кроме последней записи, сделанной твоим сервером.

В том числе Received может быть "пустым". Например, если делается рассылка с сервера (есть же нормальные рассылки). И вообще, ты сначала попробуй из Perl послать себе письмо и посмотри сколько там Received будет. Вполне возможно, что не будет, так как коннект напрямую будет установлен. Спам?

← →
Piter © (2006-02-02 16:03) [62]

Kerk © (02.02.06 15:57) [59]
Попробуй подумать

чего мне думать над твоими размышлениями, к тому же они неправильными могут быть. Хочешь что-то сказать - говори, буду я угадывать что ты там думаешь.

Received:
Рассылка subscribe.ru - 2 записи Рассылка groups.yahoo.com - дофига записей (в экран не вмещаются) Рассылка spartak.com - несколько записей

> И вообще, ты сначала попробуй из Perl послать себе
> письмо и посмотри сколько там Received будет.

Смотря какой SMTP сервер укажу.

> Да, я не буду получать ответных IP пакетов, но я могу предугадать
> что в них содержится при нормальном течении процесса и
> посылать следующие порции информации.

Хм... А есть пример такой программы?

Два Received вроде как должно присутствовать -
сервера отправителя и сервера получателя.
даже при отправке от Charlie Root вставляется

Received: by mx0.mydomain.ru (Postfix, from userid 0)
id 9003215352F; Fri, 20 Jan 2006 03:02:43 +0300 (MSK)

Но уверенности в этом у меня нет, надо почитать RFC соответствующие. Вроде не запрещается коннектится напрямую к SMTP получателя и не требуется в обязательном порядке вставлять Received.

Kerk © (02.02.06 16:07) [63]
Received:
Рассылка subscribe.ru - 2 записи
Рассылка groups.yahoo.com - дофига записей (в экран не вмещаются)
Рассылка spartak.com - несколько записей

это говорит о том, что в рассылках не бывает одной записи? :)

Мы о чем спорим? Ты утверждаешь, что если один Received - то это спам? Нет, это не так, и ты сам это понимаешь.

Это больше из разряда, если ты вдруг увидишь, что в спамерских письмах часто встречается: "Mr. Kerk!"
И ты можешь блокировку поставить на такое словосочетание. И местами может помочь.

Но тебе и обычный человек может написать: "Mr. Kerk!"

Kerk © (02.02.06 16:07) [64]
Ты не хами

и где же я хамил?

Хамство в том, что твои размышления могут быть неправильными? :)))

Piter © (02.02.06 16:03) [62]
к тому же они неправильными могут быть

Kerk © (02.02.06 16:07) [64]
Ты не хами

может тебе просто процитировать, что ТЫ временами говоришь? Ну чтобы ты понял, что такое хамство.

Piter © (02.02.06 16:24) [66]
и где же я хамил?

> ты сколько вчера выпил то?

+ [62]

С тобой разговаривать в этой ветке желания больше не имею.

Рамиль © (02.02.06 16:21) [65]
Хм... А есть пример такой программы?

ничто не мешает тебе такую написать :)

Собственно, по приблизительное технологии, насколько я знаю, Митник и взломал сервер Шимуры этого, или как там его...

Рамиль © (02.02.06 16:21) [65]
Два Received вроде как должно присутствовать -
сервера отправителя и сервера получателя

как это? Received говорит о факте передачи письма от одной машины к другой. В предельном случае, от непосредственно отправителя до непосредственно получателя.

Kerk © (02.02.06 16:27) [68]
> ты сколько вчера выпил то?

и ТЫ это называешь хамством? Да я даже смайлик поставил, шутка типа :)

Kerk © (02.02.06 16:27) [68]
+ [62]

а что там? нет там хамства.

Ты говоришь о факте. Ты сделал из факта какой-то вывод и предлагаешь мне подумать. Но чего мне думать, какие ты там выводы сделал из этого факта, тем более эти выводы могут быть неправильными. Я тебе и предложил высказывать свои выводы, а не предлагать другим догадываться.

Kerk © (02.02.06 16:27) [68]
С тобой разговаривать в этой ветке желания больше не имею

поражает меня твоя способность хамить по черному, а потом обижаться на какие-то мелкие проявления неуважения. Совсем мелкие.

А вот:

Провокация в лучшем стиле ДимыО.
Тупизм так и прет

это не хамство?
А вот когда ты Юрия Зотова называл фактически старым маразматиком - это тоже, видмо, не хамство.

> как это? Received говорит о факте передачи письма от одной
> машины к другой. В предельном случае, от непосредственно
> отправителя до непосредственно получателя.

Скорее о факте получения письма (и не обязательно сервером SMTP, вставлять строчку может и спам фильтр, например).

Так я и сказал, что вроде никто не запрещает коннектится напрямую к серверу получателя и ресивед будет один единственный - сервера получателя. Но на практике таких нормальных писем я не видел.

Рамиль © (02.02.06 16:52) [71]
Скорее о факте получения письма

ну короче сервер, принимающий письмо, вставляет строчку от кого он это письмо получил.

Рамиль © (02.02.06 16:52) [71]
Но на практике таких нормальных писем я не видел

один, конечно, бывает редко. Например, qmail зачастую вставляет строчку аля:

Received: (qmail 8647 invoked from network); 27 Nov 2005 15:34:44 -0000

Поэтому на таких серверах Received всегда будет из двух пунктов состоять (ну разве кроме посылки письма в такой же домен)

Борьба со спамерами Найти похожие ветки