🚀 go-pugleaf

I nastał wieczór, i stał się zaranek, 
i Przemek Kulczycki odzywa się do nas w te słowa:
> Witam. 
> Ostatnio dostaje sporo spamu - to chyba ten nowy wirus Sobig.
> We wszystkich tych mailach znajduje to:
> Content-Type: text/plain;
>         charset="Windows-1252"
> Tylko moja regulka do procmaila cos go nie chce killowac.
> * ^(Content-Type|charset|Charset).*(WINDOWS|Windows|windows)-1252

Jeśli już, to spróbuj

:0
* charset="?windows-1252"?
| /dev/null

(czy dokąd tam chcesz.)

bez udziwnień z wielkością liter - procmail standardowo nie 
rozróżnia, chyba że dasz mu opcję D w pierwszym wierszu regułki.

Kropka nie złapie znaków z róznych wierszy, więc tak jak pisałeś, 
to nie da rady (bo 'Content-Type' jest w innym wierszu niż 'windows', 
a 'charset' nie jest na początku wiersza).

Tak będzie IMO bezpiecznie, bo żadne inne pole nagłówka nie zawiera 
deklaracji charsetu w tym formacie, a domyślnie jest przeszukiwany tylko 
nagłówek, a nie treść listu.

Cudzysłów powinien być, ale chyba zdarza się, że go nie ma. 
(Jeśli nie mam racji, to niech mnie ktoś poprawi.)

-- 
godryk / s.m.o.k. prfs-f / godric@sf-f.pl / tomek marcinkowski
______________________________________________________________
>>>    [  que se leve celui qui leur lance la pierre  ]    <<<
>>>    [  il ne sait de l'amour que le verbe s'aimer  ]    <<<

Wed, 28 Jan 2004 19:24:12 +0000 (UTC)      Przemek Kulczycki
look-at-sig@SPAMMERS.SUCK.DICKS>   napisał(a):
> Witam. 
> Ostatnio dostaje sporo spamu - to chyba ten nowy wirus Sobig.

Raczej któryś z ostatnich: Mydoom, Mimail.q czy Dumaru.j

> We wszystkich tych mailach znajduje to:
> Content-Type: text/plain;
>         charset="Windows-1252"
> Tylko moja regulka do procmaila cos go nie chce killowac.
> * ^(Content-Type|charset|Charset).*(WINDOWS|Windows|windows)-1252
> Jesli ktos wie jak to ma poprawnie wygladac to bede mu bardzo
> wdzieczny :) Pozdrawiam

    :0
    * .*charset=.*windows-1252.*
    /dev/null

(poza tym, standardowo procmailowi obojętna jest wielkość liter, chyba,
że dajesz warunek "D")

Pozdr.Term.

Wed, 28 Jan 2004 20:55:06 +0000 (UTC)      Godryk <godric@sf-f.pl>  
napisał(a):
> :0
> * charset="?windows-1252"?
> | /dev/null

ja tylko dodam, że znak potoku | można użyć przed poleceniem, które ma
się wykonać, natomiast przed plikiem jakim jest /dev/null należy
go usunąć. 

Pozdr.Term.

Przemek Kulczycki napisał:

> We wszystkich tych mailach znajduje to:
> Content-Type: text/plain;
>         charset="Windows-1252"
> Tylko moja regulka do procmaila cos go nie chce killowac.
> * ^(Content-Type|charset|Charset).*(WINDOWS|Windows|windows)-1252

Tyle, że to kodowanie wszystkich zachodnioeuropejskich krajów. Ryzykowny
krok :-) Lepiej ciąć procmailem po fragmencie kodu. Regułki są na mojej
stronce, od wczoraj wychwyciłem tym już ok. 2000 sztuk. Potem skryptem
grepuję to odfiltrowane i dodaje mi się do iptables. Dzięki temu mam
spokój większy, bo ten wirus po kilka razy wysyła swoje kopie na te same
adresy z tych samych hostów. Po jakimś czasie powtarzam i tak blokuję
port 25 dla tych zainfekowanych hostów. Tnę też odbite wirusy i jakoś
nieźle całkiem to działa. To samo robiłem z sobigiem.

-- 
Kamil Zakrzewski | http://kamil.eu.org

I nastał wieczór, i stał się zaranek, 
i Term odzywa się do nas w te słowa:
> Wed, 28 Jan 2004 20:55:06 +0000 (UTC)      Godryk <godric@sf-f.pl>  
> napisał(a):
>> :0
>> * charset="?windows-1252"?
>> | /dev/null
>
> ja tylko dodam, że znak potoku | można użyć przed poleceniem, które ma
> się wykonać, natomiast przed plikiem jakim jest /dev/null należy
> go usunąć. 

Przepraszam, masz rację - pisałem w pośpiechu, najpierw miało tam być 
coś innego, potem nie wyciąłem. :-(


-- 
godryk / s.m.o.k. prfs-f / godric@sf-f.pl / tomek marcinkowski
______________________________________________________________
>>>            [ trwałość                      ]           <<<
>>>            [ czym jest na świecie trwałość ]           <<<

Kamil Zakrzewski <kamil@usunto.supernet.com.pl> wrote:
> Potem skryptem
> grepuję to odfiltrowane i dodaje mi się do iptables. Dzięki temu mam
> spokój większy, bo ten wirus po kilka razy wysyła swoje kopie na te same
> adresy z tych samych hostów. Po jakimś czasie powtarzam i tak blokuję
> port 25 dla tych zainfekowanych hostów. Tnę też odbite wirusy i jakoś
> nieźle całkiem to działa. To samo robiłem z sobigiem.

Nudzi Ci się, prawda? Nie lepiej mieć AV w poczcie, który to wyłapie
i wytnie?

p.

-- 
Beware of he who would deny you access to information, for in his
heart he dreams himself your master.   -- Commissioner Pravin Lal
http://nerdquiz.sgh.waw.pl/  -- polska wersja quizu dla nerdów ;)

Piotr KUCHARSKI <chopin@sgh.waw.pl> wrote:

> Nudzi Ci się, prawda? Nie lepiej mieć AV w poczcie, który to wyłapie
> i wytnie?

Niektórzy należą do dłubaczy ;) ja też :) - IMO dobrze jest
to co się da - wywalić jeszcze zanim dojdzie do antywira,
żeby go niepotrzebnie nie obciążać kompa.

-- 
http://www.partybitchez.org/

Piotr KUCHARSKI napisał:

> Nudzi Ci się, prawda? Nie lepiej mieć AV w poczcie, który to wyłapie
> i wytnie?

Że niby siedzę i wszystko linijka po linijce kleję? Opisałem procedurę,
która może i wygląda skomplikowanie, jednak w sumie ogranicza się do
odpalenia skryptu. Napisałem przecież, że robię to skryptem, poza tym
mam dzięki temu ochronę na poziomie iptables, więc jakieś 50% wirusowego
ruchu jest pięknie dropowane, czyli nie zapycha mi łącza i procka. Teraz
mam jakieś 400 zainfekowanych hostów w netfiltrze, które mnie nie
atakują dzięki temu co parę minut.

Pewnie, wiem że dobry AV nie jest zły, ale jeśli ktoś chce trochę
podłubać to czemu nie :-) Zawsze to jakaś nauka.

-- 
Kamil Zakrzewski | http://kamil.eu.org

Dnia Thu, 29 Jan 2004 09:01:06 +0000 (UTC), Kamil Zakrzewski
<kamil@usunto.supernet.com.pl> tako rzekł:
: mam dzięki temu ochronę na poziomie iptables, więc jakieś 50% wirusowego
: ruchu jest pięknie dropowane, czyli nie zapycha mi łącza i procka. Teraz

Gwoli ścisłości. Łącze to i tak Ci zapycha. Za to CPU mniej, niż AV.

-- 
Konrad
http://amba.matrix.pl/~kurak/
'W życiu nie liczą się tylko ciało i muskuły - ważny jest jeszcze fryz.' -
Johnny Bravo