🚀 go-pugleaf

W dniu 14.04.2020 o 08:52, Dżon pisze:
> Witam Grupę.
> 
> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego pocztę ?
> 
> 

o adres email się nie da (bez użycia dodatkowego softu i specjalnego RBLa)

o domenę z adresu email:

         reject_rhsbl_sender nazwa_rbla,

-- 
Pozdrawiam
Lemat

W dniu 14.04.2020 o 10:58, Lemat pisze:
> W dniu 14.04.2020 o 08:52, Dżon pisze:
>> Witam Grupę.
>>
>> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
>> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego
>> pocztę ?
>>
>>
> 
> o adres email się nie da (bez użycia dodatkowego softu i specjalnego RBLa)
> 
> o domenę z adresu email:
> 
>         reject_rhsbl_sender nazwa_rbla,
> 
No tego że się nie da tak po prostu to się domyślam. A domeny nie wytnę,
bo chodzi mi o pojedynczych upierdliwców z dużych domen (np. dżimejl).

Ale chodzi mi o sposób podejścia do tego, bo nie wiem od czego mam
zacząć. Myślę o czymś w rodzaju paru linijek perla który zapyta RBL'a o
e-mail, tylko tak:

1. jak toto wywołać z postfix z podaniem e-mail: najlepiej parka
sender/recipient, tak, żeby toto wiedziało o co ma pytać RBL
2. jaką odpowiedź zwrócić do postfix (podejrzewam że REJECT/OK)

No a RBL przecież to potrafi. Zbuduję strefę domenową, e-mail czy domena
to zwykły tekst i toto perlowe się zapyta RBL i dostanie odpowiedź,
którą zwróci odpowiednio do MTA.

Tak to przynajmniej widzę.

On 14.04.2020 11:12, Dżon wrote:


Wiem tylko tyle, że w /etc/postfix/sender_access można sobie podać:

# ADDRESS PATTERNS         # ACTION
sender@example.com         550 Blacklisted
domain.com                 REJECT
user@                      REJECT

problem w tym, że trzeba zbudować bazę

postmap sender_access

i przeładować postfixa

service postfix restart

Może zaciągać gotową listę albo db gotowe od razu i robić w cronie
przeładowanie co godzinę ?

W dniu 14.04.2020 o 08:52, Dżon pisze:
> Witam Grupę.
> 
> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego pocztę ?
> 
> 
Witam,

czyli jak tam ?

Turbo Postfix oprócz reject_rhsbl_sender nie umie nic więcej ?
Żadnej drogi w tym kierunku nie ma ?
Nikomu się nie kojarzy jaką ścieżką można próbować ?

W dniu 15.04.2020 o 19:17, Dżon pisze:
> W dniu 14.04.2020 o 08:52, Dżon pisze:
>> Witam Grupę.
>>
>> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
>> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego pocztę ?
>>
>>
> Witam,
> 
> czyli jak tam ?
> 
> Turbo Postfix oprócz reject_rhsbl_sender nie umie nic więcej ?
> Żadnej drogi w tym kierunku nie ma ?
> Nikomu się nie kojarzy jaką ścieżką można próbować ?
> 

a wymienisz jeden MTA, który to potrafi?

adresy email w postixie trzyma się na access listach, w bazie sql, w 
ldapie...
-- 
Pozdrawiam
Lemat

On 15.04.2020 21:35, Lemat wrote:

> a wymienisz jeden MTA, który to potrafi?
> 
> adresy email w postixie trzyma się na access listach, w bazie sql, w
> ldapie...

Tak jak Lemat mówi (a on jest guru), ja trzymam w pliku sender_access i
dopisuję ręcznie spamerów z gmaila. Często jest tak, że spamer napisze z
tymczasowej domeny ale jak składasz mu zamówienie na produkt, który
sprzedaje to w końcu wychodzi zza zasłony i podaje prawdziwy kontakt do
siebie.
Często jest to zwykła domena firmowa ale często właśnie gmail. Uwalenie
takiemu spamerowi tego jednego gmaila by było dobre ale nie ma RBL-i z
adresami mailowymi i tym bardziej nie wiem jak to podpiąć pod postfixa.

Jedynie skrypt ściągający listę, robiący postmap i przeładowanie postfixa.

Dżon pisze:
> Witam Grupę.
> 
> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego pocztę ?

Na to nie ma uniwersalnego rozwiązania. A skoro piszesz:

> No tego że się nie da tak po prostu to się domyślam. A domeny nie wytnę,
> bo chodzi mi o pojedynczych upierdliwców z dużych domen (np. dżimejl).

To może spróbuj ograniczyć ilość takich wiadomości.
Za pomocą policyd-limits możesz ograniczyć ilość wiadomości
od takich "pojedynczych upierdliwców", a zaufanym nadawcom dać większe limity
na ilość wiadomości na jednostkę czasu.

Dodatkowo zamiast blokować możesz skonfigurować filtr Anty SPAM
i przenosić do odpowiedniego folderu wiadomości oznaczone jako SPAM.

W dniu 22.04.2020 o 20:01, PawelS pawel(at)wbcd(dot)pl pisze:
> Dżon pisze:
>> Witam Grupę.
>>
>> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
>> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego
>> pocztę ?
> 
> Na to nie ma uniwersalnego rozwiązania. A skoro piszesz:

Kombinuję, czy nie dałoby się tego ogarnąć np. mniej więcej na takiej
zasadzie jak działa greylist. Chodzi mi o samą zasadę, no bo wiadomo, że
działanie byłoby całkiem inne i efekt również.
Oczekuję podpowiedzi czy myślę we właściwym kierunku ?

> 
>> No tego że się nie da tak po prostu to się domyślam. A domeny nie wytnę,
>> bo chodzi mi o pojedynczych upierdliwców z dużych domen (np. dżimejl).
> 
> To może spróbuj ograniczyć ilość takich wiadomości.
> Za pomocą policyd-limits możesz ograniczyć ilość wiadomości
> od takich "pojedynczych upierdliwców", a zaufanym nadawcom dać większe
> limity
> na ilość wiadomości na jednostkę czasu.
> 
> Dodatkowo zamiast blokować możesz skonfigurować filtr Anty SPAM
> i przenosić do odpowiedniego folderu wiadomości oznaczone jako SPAM.

Hmm, to wiem, ale na razie chcę spróbować czy mi takie rozwiązanie z
wykorzystaniem postfix się uda.

Dżon pisze:
> W dniu 22.04.2020 o 20:01, PawelS pawel(at)wbcd(dot)pl pisze:
>> Dżon pisze:
>>> Witam Grupę.
>>>
>>> W jaki sposób powiedzieć Postfix-owi, że ma zapytać czy e-mail nadawcy
>>> jest listowany w RBL'u i jeżeli tak to odbić przychodzącą z niego
>>> pocztę ?
>> Na to nie ma uniwersalnego rozwiązania. A skoro piszesz:
> 
> Kombinuję, czy nie dałoby się tego ogarnąć np. mniej więcej na takiej
> zasadzie jak działa greylist. Chodzi mi o samą zasadę, no bo wiadomo, że
> działanie byłoby całkiem inne i efekt również.

I tak, i nie, działanie byłoby bardzo podobne.
Otóż greylist przy pierwszej próbie wysłania odrzuca wiadomość,
dopiero przy kolejnej próbie wykonanej po określonym czasie akceptuje.
Teraz zastanów się w jaki sposób taki greylist (rozwiązanie o którym piszesz)
miałby odrzucać wiadomość ?

Jeśli dobrze zrozumiałem, to chciałbyś mieć taki RBL z adresami nadawców
zamiast adresów IP nadawców, którzy wysyłają nie pożądane wiadomości.
O tyle o ile domeny można całkiem nie trudno zmieniać,
o tyle adresy IP / klasy to już znacznie trudniej.
Domeny można rejestrować sobie do woli, a posiadana pula adresów IP
w końcu zostanie wyczerpana, także taki RBL ma sens dla adresów IP.
Niestety nie posiadam informacji, czy w przypadku gdy dany adres IP
trafi na czarną listę w RBL to trafia tam tylko jeden adres
czy od razu cała podsieć / blok adresów RIPE.

Popraw mnie jeśli się mylę: szukasz rozwiązania, które:
kiedy wiadomość oznaczona jako niepożądana,
ten adres trafi automatycznie na czarną listę
i następnym razem już na etapie komunikacji z serwerem
wiadomość od nadawcy zostanie odrzucona ?

> Oczekuję podpowiedzi czy myślę we właściwym kierunku ?

Myśleć to możesz w dowolny kierunku, każda metoda,
nawet nowatorska może być bardzo skuteczna,
a ze względu na brak jej rozpowszechnienia,
nie będą istniały sposoby obchodzenia tej blokady.

On 24.04.2020 20:24, PawelS pawel(at)wbcd(dot)pl wrote:

> Popraw mnie jeśli się mylę: szukasz rozwiązania, które:
> kiedy wiadomość oznaczona jako niepożądana,
> ten adres trafi automatycznie na czarną listę
> i następnym razem już na etapie komunikacji z serwerem
> wiadomość od nadawcy zostanie odrzucona ?
> 

Jemu chyba chodzi o to, że jak jest taki google ze swoim gmailem i jak
jest spamer co wysyła maila z reply-to spamer12345@gmail.com to żeby
zablokować spamerowi dropa mailowego na odpowiedzi wysłane z innego
smtp. Czasem spamer wysyła z w zupełnie innego adresu/domeny/IP ale w
treści maila podaje adres gdzie ma zaspamowany odpisać albo w polu reply-to.

Takiego spamera by się dodało do odrębnego RBL i odpytało tak:

dig spamer12345@gmail.com.bl-emails.rbl.polspam.pl

i czy jest taka komenda w postfixie która robi to sama szperając w polu
repy-to tak jak robią wszystkie inne komendy w main.cf odnoszące się do
RBL-i. Tylko żeby była to komenda odnosząca się do pełnych maili i pola
reply-to.

Są jeszcze spamerzy, którzy potrocszeczku wysyłają z gmaila, wp, onetu z
wielu kont. Taki snowshoe z wielu kont na portalach.
Czyli by były potrzebne dwie komendy, jedna sprzawdzająca reply-to a
druga mail nadawcy żeby całego gmaila nie zbanować.

Mistrz Lemat rzekł:
> a wymienisz jeden MTA, który to potrafi?

Tak z głowy, bez testowania, to w Eximie byłoby

deny dnslists = jakis.rbl/$sender_address

pomijając sensowność, chociaż może to być wygodna forma wspólnego źródła
informacji dla kilku maszyn.

-- 
W czasie odpływu bełkaczek jest aktywny, pływa, łazi i żeruje.

W dniu 25.04.2020 o 09:19, Bartosz 'briest' Stepien pisze:
> Mistrz Lemat rzekł:
>> a wymienisz jeden MTA, który to potrafi?
> 
> Tak z głowy, bez testowania, to w Eximie byłoby
> 
> deny dnslists = jakis.rbl/$sender_address

Jak już, to lepiej DEFER. Można się podroczyć ze spamerem :)

> 
> pomijając sensowność, chociaż może to być wygodna forma wspólnego źródła
> informacji dla kilku maszyn.
> 
Tak, dokładnie taki jest główny cel tego rozwiązania.

Dla EXIM zrobiłem to tak (exim musi mieć wkompilowany embedded perl):

#pokazanie eximowi własnego perlowego kodu, albo dopisanie n/w sub'a do
już istniejącego
perl_startup = do '/etc/exim/emailbanfilter-bemails.pl'

#ACL w którym wołamy funkcję perl
acl_smtp_rcpt:
defer   message		= Private e-mail BlackList in progress ... Bye bye dear
spammer :)
	!authenticated	= *
	condition	= ${perl{sub_odpytujacy_rbl}}
	logwrite	= Sender: $sender_address is blacklisted.

i perlowy kodzik:

use Socket;
use Net::DNS;

sub jakis_odpytujacy_rbl
{
    my $usr = Exim::expand_string('$sender_address_local_part');
    my $dmn = Exim::expand_string('$sender_address_domain');
    my $rbl = 'RBL-LISTUJACY-BLACK-EMAILS.tld';
    my $que = "$usr\@$dmn.$rbl";
    my $res = Net::DNS::Resolver->new;
    my $odp = $res->search($que, "A");

    if ($odp)
    {
    foreach my $rr($odp->answer)
        {
    		next unless $rr->type eq "A";
    		Exim::log_write("PRV_EMAIL_BL: YES $usr\@$dmn LISTED on RBL: $rbl
!!! (" . $rr->address . ")");
		return "yes";
        }
    }
    else
        {

        	return "no"
        }
}

KIKI pisze:
> On 24.04.2020 20:24, PawelS pawel(at)wbcd(dot)pl wrote:
> 
>> Popraw mnie jeśli się mylę: szukasz rozwiązania, które:
>> kiedy wiadomość oznaczona jako niepożądana,
>> ten adres trafi automatycznie na czarną listę
>> i następnym razem już na etapie komunikacji z serwerem
>> wiadomość od nadawcy zostanie odrzucona ?
>>
> 
> Jemu chyba chodzi o to, że jak jest taki google ze swoim gmailem i jak
> jest spamer co wysyła maila z reply-to spamer12345@gmail.com to żeby
> zablokować spamerowi dropa mailowego na odpowiedzi wysłane z innego
> smtp. Czasem spamer wysyła z w zupełnie innego adresu/domeny/IP ale w
> treści maila podaje adres gdzie ma zaspamowany odpisać albo w polu reply-to.

O tyle o ile adres nadawcy (Envelope) jest łatwo dostępny,
o tyle "Reply-To:" to już do tego potrzeba zajrzeć do wiadomości
i taką wiadomość można odrzucić dopiero at-the-end-of-data
czyli w restrykcji smtpd_end_of_data_restrictions.

> Takiego spamera by się dodało do odrębnego RBL i odpytało tak:
> 
> dig spamer12345@gmail.com.bl-emails.rbl.polspam.pl

Niestety o ile mi wiadomo, to listy RBL przechowują tylko domeny,
chyba, że ktoś opatentowałby hack, tak jak z TXT (SPF,DKIM),
że zamiast adresów IP / klas przechowywać również nazwy nadawców,
oczywiście po odpowiednim zakodowanie znaku @,
który jest nie dozwolony w nazwach domen.

> i czy jest taka komenda w postfixie która robi to sama szperając w polu
> repy-to tak jak robią wszystkie inne komendy w main.cf odnoszące się do
> RBL-i. Tylko żeby była to komenda odnosząca się do pełnych maili i pola
> reply-to.

Tak, jest, ale sprawdzająca ogólnie nagłówki, a nie ten konkretny:
http://www.postfix.org/postconf.5.html#header_checks
http://www.postfix.org/header_checks.5.html

> Tylko żeby była to komenda odnosząca się do pełnych maili i pola reply-to.

To tutaj chyba tylko jakiś SMTPdFilter w konfiguracji raczej
jako "before-queue content filter",
wtedy wiadomość może zostać odrzucona at-the-end-of-data.

> Są jeszcze spamerzy, którzy potrocszeczku wysyłają z gmaila, wp, onetu z
> wielu kont. Taki snowshoe z wielu kont na portalach.
> Czyli by były potrzebne dwie komendy, jedna sprzawdzająca reply-to a
> druga mail nadawcy żeby całego gmaila nie zbanować.

Jak wyżej oraz tak jak poprzednim razem napisałem:
Kiedy wiadomość zostanie rozpoznana jako niepożądana
według dowolnych kryteriów np: na podstawie "Reply-To:",
to wtedy odrzucić wiadomość od nadawcy na poziomie komunikacji,
albo po odebraniu wiadomości i wykryciu nagłówka "Reply-To:".

On 30.04.2020 19:46, PawelS pawel(at)wbcd(dot)pl wrote:

> O tyle o ile adres nadawcy (Envelope) jest łatwo dostępny,
> o tyle "Reply-To:" to już do tego potrzeba zajrzeć do wiadomości
> i taką wiadomość można odrzucić dopiero at-the-end-of-data
> czyli w restrykcji smtpd_end_of_data_restrictions.
> 
>> Takiego spamera by się dodało do odrębnego RBL i odpytało tak:
>>
>> dig spamer12345@gmail.com.bl-emails.rbl.polspam.pl
> 
> Niestety o ile mi wiadomo, to listy RBL przechowują tylko domeny,
> chyba, że ktoś opatentowałby hack, tak jak z TXT (SPF,DKIM),
> że zamiast adresów IP / klas przechowywać również nazwy nadawców,
> oczywiście po odpowiednim zakodowanie znaku @,
> który jest nie dozwolony w nazwach domen.

Ostatnio jest pełno spamu gdzie "Reply-to" jest do gmaila albo innego
dużego portalu. Obecnie jest to walka z wiatrakami bez centralnego RBL-a
z mailami, tymi dropowymi, nie ukróci się spamerstwa.
SMTP jest dosłownie z całego świata. Pomijając to co jest w treści
maila, z tym ciężko walczyć ale pole "odpowiedz-do" powinno mieć regułkę
odpytującą RBL.

Ale mam inną ciekawostkę. Ostatnio mało do roboty więc się zająłem
zagadnieniem spamu i odpisuję spamerom, że TAK, że jestem
zainteresowany. Żeby głupio nie wyglądało to napiszę każdemu coś od
siebie i żaden mi nie odpisał, nigdy!
Taki co sprzedaje maseczki to spamuje z własnego firmowego, tych nie
liczę, ale ci pozostali na "wygrzanych" adresach IP. Nie wiem po co oni
spamują tymi finansami, pozycjonowaniem czy tańszym prądem skoro nie
odpisują?
Szczególnie nie odpisują ci co wykupili mailing u dostawców rozwiązań
spamerskich. Tak to wygląda, że nie odpisują mi, bo nie widzą, że
przeczytałem maila, nie ściągnąłem pixela <img src=...> z ich
tymczasowej domeny.
Jak z tymi walczyć?
Niebieskiego już nie mam - wyciąłem na firewallu z tym, że teraz mogą
kupować "wygrzane" adresy za granicą.

KIKI pisze:
> On 30.04.2020 19:46, PawelS pawel(at)wbcd(dot)pl wrote:
> 
>> O tyle o ile adres nadawcy (Envelope) jest łatwo dostępny,
>> o tyle "Reply-To:" to już do tego potrzeba zajrzeć do wiadomości
>> i taką wiadomość można odrzucić dopiero at-the-end-of-data
>> czyli w restrykcji smtpd_end_of_data_restrictions.
>>
>>> Takiego spamera by się dodało do odrębnego RBL i odpytało tak:
>>>
>>> dig spamer12345@gmail.com.bl-emails.rbl.polspam.pl
>> Niestety o ile mi wiadomo, to listy RBL przechowują tylko domeny,
>> chyba, że ktoś opatentowałby hack, tak jak z TXT (SPF,DKIM),
>> że zamiast adresów IP / klas przechowywać również nazwy nadawców,
>> oczywiście po odpowiednim zakodowanie znaku @,
>> który jest nie dozwolony w nazwach domen.
> 
> Ostatnio jest pełno spamu gdzie "Reply-to" jest do gmaila albo innego
> dużego portalu. Obecnie jest to walka z wiatrakami bez centralnego RBL-a
> z mailami, tymi dropowymi, nie ukróci się spamerstwa.
> SMTP jest dosłownie z całego świata. Pomijając to co jest w treści
> maila, z tym ciężko walczyć ale pole "odpowiedz-do" powinno mieć regułkę
> odpytującą RBL.

Według pomysłu, który przedstawiłeś to tak się nie da.
Postfix nie oferuje blokowania adresów email lub domen przy użyciu RBL.
Możliwości techniczne realizacji w oparciu o nagłówek "Reply-To:"
o którym piszesz zostały przedstawione.

> Ale mam inną ciekawostkę. Ostatnio mało do roboty więc się zająłem
> zagadnieniem spamu i odpisuję spamerom, że TAK, że jestem
> zainteresowany. Żeby głupio nie wyglądało to napiszę każdemu coś od
> siebie i żaden mi nie odpisał, nigdy!
> Taki co sprzedaje maseczki to spamuje z własnego firmowego, tych nie
> liczę, ale ci pozostali na "wygrzanych" adresach IP. Nie wiem po co oni
> spamują tymi finansami, pozycjonowaniem czy tańszym prądem skoro nie
> odpisują?
> Szczególnie nie odpisują ci co wykupili mailing u dostawców rozwiązań
> spamerskich. Tak to wygląda, że nie odpisują mi, bo nie widzą, że
> przeczytałem maila, nie ściągnąłem pixela <img src=...> z ich
> tymczasowej domeny.
> Jak z tymi walczyć?
> Niebieskiego już nie mam - wyciąłem na firewallu z tym, że teraz mogą
> kupować "wygrzane" adresy za granicą.

Tak jak już wcześniej napisałem: są techniczne możliwości realizacji
blokowania w oparciu o wspólny czynnik, który podałeś: nagłówek "Reply-To:".
Oczywiści mogłaby tu pojawić się pokusa, by na podstawie wykrytego
w wiadomości nagłówka "Reply-To:" o określonej treści od razu dodać
adres IP do listy RBL (lub czarnej listy), ale niestety w ten sposób
łatwo można by zablokować całą pulę adresów nadawcy,
od których pocztę z innych domen chcesz jednak odbierać.
Moja metoda to dobrze skonfigurowany filtr antyspamowy (np: SMTPdFilter)
w połączeniu z policyd-limits aby ograniczyć ilość wysyłanych wiadomości
na jednostkę czasu to chyba najrozsądniejsze rozwiązane.