Спам

@swyotokor · Регистрация: 20.02.2014

Студворк — интернет-сервис помощи студентам

Доброго времени суток, всем..
Стоит почтовый релей на базе postfix+amavisd+spamassassin, за ним стоит доминошка..
Стал проходить спам через релей, причем хитро.. На постфиксе вижу, от кого и кому (в нашей сети) письмо, амавис вместе со спамассасином говорят - письмо чистое - 0,001 балла всего..
Доминошка получает письмо, ложит его пользователю.. открываю свойства документа, смотрю список и содержание полей - даже намека нет, что получателем должен являться данный пользователь.. да и письмо явно "спамсодержащее"
Как отловить такие письма ума не приложу..
Ни кто подобное не ловил?

@tmyky · 17.10.2016, 18:44

Сообщение от swyatogor

~ m{[\@.]мойдомен\.ру}mi

синтаксиса не знаю..., а чего регулярка не закрыта? "$" как в строке из талмуда

@swyotokor · 17.10.2016, 21:01

@lmike, этот символ - судя по выкуренным мануалам - признак того что это конец условия.. точнее того что указанные данные в конце строки.

@oomymo2 · 17.10.2016, 22:36

postmap для хеша конечно сделали?
файл обозначен в постфиксе как regexp?

@swyotokor · 18.10.2016, 04:51

@aameno2 , неа.. это конфигурационный файл spamassassinа.. прям в нем..

.SpoilerTarget">Спойлер: вот такое работает:

Code
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
###########################################################
# Самодельный вайт лист для не подписанных
###########################################################
header   __Hands_WL1  From:addr =~ m{[\@.]danone\.com$}mi
header   __Hands_WL2  From:addr =~ m{[\@.]lenta\.com$}mi
header   __Hands_WL3  From:addr =~ m{[\@.]atlas-ec\.ru$}mi
header   __Hands_WL4  From:addr =~ m{[\@.]diptown\.ru$}mi
header   __Hands_WL5  From:addr =~ m{[\@.]ampri\.ru$}mi
header   __Hands_WL6  From:addr =~ m{[\@.]mts\.ru$}mi
header   __Hands_WL7  From:addr =~ m{[\@.]milky\.ru$}mi
header   __Hands_WL8  From:addr =~ m{[\@.]magnit\.ru$}mi
header   __Hands_WL9  From:addr =~ m{[\@.]esbt\.ru$}mi
header   __Hands_WL10  From:addr =~ m{[\@.]auchan\.ru$}mi
header   __Hands_WL11  From:addr =~ m{[\@.]blagoda\.ru$}mi
header   __Hands_WL12  From:addr =~ m{[\@.]gov\.ru$}mi
header   __Hands_WL13  From:addr =~ m{[\@.]x5\.ru$}mi
header   __Hands_WL14  From:addr =~ m{[\@.]matrixufa\.ru$}mi
 
meta     Hands_WL   !DKIM_VERIFIED && (__Hands_WL1 || __Hands_WL2 || __Hands_WL3 || __Hands_WL4 || __Hands_WL5 || __Hands_WL6 || __Hands_WL7 || __Hands_WL8 || __Hands_W
describe Hands_WL   Подписи нет, а пропускать нуно
score    Hands_WL  -3

а это ни как немогу заставить((.. обратил внимание на тип поля From и In_Reply_To.. первое - адресс, второе - текст..

поменял регу -

Code
1
In_Reply_To:text=/мойдомен\.ru/

один фиг((

@oomymo2 · 18.10.2016, 08:40

Хм....может попроще?

@swyotokor · 18.10.2016, 09:17

@aameno2 )) нее.. это совсем другое)) это тупой вайтлист.. а мне нужен интеллектуальный)
началось то всё с чего - что мне валится спам.. единственная зацепка его вылавливать - отсутствие DKIM.. я настроил чтоб все кто не прошел проверку на подпись получали дополнительно баллы.. Но так я остановил кучу почты.. меня подвесили за...
Хотелось сделать доп проверку на ответ на наше письмо, чтобы оно не получало лишние баллы даже без подписи..
а тупо вписывать вообще все адреса в вайтлист тож не вариант.. может их завтра сломают?

@oomymo2 · 18.10.2016, 10:41

Не адреса а домены. Тебеж все равно от них почту получать, а они все равно не подписывают)

@ныш · 18.10.2016, 11:08

Сообщение от swyatogor

Хотелось сделать доп проверку на ответ на наше письмо

Я анализирую логи Домины (в предположении, что мы сами спам наружу не шлем) и адресатов исходящих писем заношу в whitelist.

@swyotokor · 18.10.2016, 12:39

Сообщение от aameno2

Не адреса а домены. Тебеж все равно от них почту получать, а они все равно не подписывают)

ну да, домены.. .. только их шибко много и постоянно увеличиваются.. а так вопрос с ответными письмами бы решился.. их уже не нужно было добавлять)

Сообщение от Мыш

Я анализирую логи Домины (в предположении, что мы сами спам наружу не шлем) и адресатов исходящих писем заношу в whitelist.

а не покажите как? или это ручками? если ручками - то не нужно.. так не интересно.. ))

@oomymo2 · 18.10.2016, 18:55

Сообщение от swyatogor

с ответными письмами бы решился

Сообщение от Мыш

анализирую логи Домины

Сложная конструкция получается.
Например спамер запросит уведомление о прочтении или доставке или у человека стоит ООО.
Ответ уйдет, письмо будет исходящем и вуаля, спамер в whitelist

@swyotokor · 19.10.2016, 08:07

@aameno2 Сложная конструкция получается))

@oomymo2 · 19.10.2016, 09:15

Сообщение от swyatogor

Сложная конструкция получается))

Запросить отчет о доставке/прочтении?)) для спамеров это в порядке вещей, сурьезн)

@ныш · 19.10.2016, 14:15

Сообщение от swyatogor

а не покажите как? или это ручками? если ручками - то не нужно.. так не интересно.. ))

Скрипт под Линукс, если интересно, выложу.

Сообщение от aameno2

Например спамер запросит уведомление о прочтении или доставке или у человека стоит ООО.

Вы меня тут ерундой не грузите, я стратегию разрабатываю )))
Ессно, в рельной жизни алгоритм добавления в whitelist будет сложнее, я в общих чертах идею набросал
К слову - DSN у нас отключен, ReturnReceipt режу на входе...
Про ООО не думал, кстати, спасибо. Теоретически можно, наверное, агентом проверять, не включен ли...

@oomymo2 · 19.10.2016, 18:57

Сообщение от Мыш

агентом проверять

Та не, проще на заголовки смотреть)

Новые блоги и статьи Все статьи Все блоги /
Про "Windows must die!" kumehtar 04.11.2026 Знаете, чет накатило. . . . Когда-то это было почти боевым кличем: мол, нормальный человек сидит на DOS, OS/ 2 или Linux, а вот это вот - Must Die. А теперь человек произносит «мастдай» с усмешкой - и. . .	Красочные поля с номером страницы svg+background-image russiannick 04.11.2026 Красочные поля с номером страницы не менее важны чем в эпоху бумажных книг. Посему спешу представить почтеннейшей публике этот важный инструмент который эти поля и формирует. В процессе разработки. . .	Вступаем в новую фазу генерации favicons, векторную. russiannick 02.11.2026 Теперь нет нужды скрывать что используется простой svg. Исходный код изображения помещаем в поле и жмем кнопку. Исходник преобразуется в вид корректный для помещения в favicon или в url(). Нажатие. . .	Генератор паролей (вариант №4) Maks 01.11.2026 После публикации 3-го варианта генератора паролей, разослал его своим коллегам (с целью оценки), в итоге были получены следующие рекомендации: 1. Вернуть возможность использования знаков \| 1 l I;. . .
Генератор паролей (вариант №3) Maks 30.10.2026 Финальная версия генератора паролей 1С. Доработка решения в этот раз коснулась только визуальной части, а именно, добавлен реквизит ДопПараметры (тип Булево), который скрывает/ отображает реквизиты:. . .	Магическое мышление и магия, современная наука не отличима от магии (говорит ИИ Джемени) zorxor 30.10.2026 Джемени, расскажи, пожалуйста, что такое магическое мышление, что такое магия, почему современная наука чем-то напоминает магию? Фраза «Любая достаточно развитая технология неотличима от магии». . .	За какое время ИИ может подобрать пароль по хешу (рассказывает Джемени ИИ) zorxor 30.10.2026 Расскажи, Джемени, если известен хэш МД5, например, за сколько ИИ сможет подобрать соответствующий пароль? Искусственный интеллект (ИИ) может подобрать простой или средний по сложности пароль по. . .	Кто убил Suno? Почему наше солнышко погасло? (диалог с ИИ Джемени) zorxor 30.10.2026 Как убивали Suno. Хронология. «Убийство» музыкальной нейросети Suno — это затяжной процесс, в котором технологический хайп стартапа разбился о жесткую реальность судебных исков от гигантов. . .

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467

	Спам 09.10.2016, 09:19. Показов 10055. Ответов 53 Метки нет (Все метки) Доброго времени суток, всем.. Стоит почтовый релей на базе postfix+amavisd+spamassassin, за ним стоит доминошка.. Стал проходить спам через релей, причем хитро.. На постфиксе вижу, от кого и кому (в нашей сети) письмо, амавис вместе со спамассасином говорят - письмо чистое - 0,001 балла всего.. Доминошка получает письмо, ложит его пользователю.. открываю свойства документа, смотрю список и содержание полей - даже намека нет, что получателем должен являться данный пользователь.. да и письмо явно "спамсодержащее" Как отловить такие письма ума не приложу.. Ни кто подобное не ловил? 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	17.10.2016, 21:01
	@lmike, этот символ - судя по выкуренным мануалам - признак того что это конец условия.. точнее того что указанные данные в конце строки. 0

@oomymo2 0 / 0 / 0 Регистрация: 06.12.2016 Сообщений: 491
	17.10.2016, 22:36
	postmap для хеша конечно сделали? файл обозначен в постфиксе как regexp? 0

@oomymo2 0 / 0 / 0 Регистрация: 06.12.2016 Сообщений: 491
	18.10.2016, 08:40
	Хм....может попроще? 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	18.10.2016, 09:17
	@aameno2 )) нее.. это совсем другое)) это тупой вайтлист.. а мне нужен интеллектуальный) началось то всё с чего - что мне валится спам.. единственная зацепка его вылавливать - отсутствие DKIM.. я настроил чтоб все кто не прошел проверку на подпись получали дополнительно баллы.. Но так я остановил кучу почты.. меня подвесили за... Хотелось сделать доп проверку на ответ на наше письмо, чтобы оно не получало лишние баллы даже без подписи.. а тупо вписывать вообще все адреса в вайтлист тож не вариант.. может их завтра сломают? 0

@oomymo2 0 / 0 / 0 Регистрация: 06.12.2016 Сообщений: 491
	18.10.2016, 10:41
	Не адреса а домены. Тебеж все равно от них почту получать, а они все равно не подписывают) 0

@swyotokor 0 / 0 / 0 Регистрация: 20.02.2014 Сообщений: 467
	19.10.2016, 08:07
	@aameno2 Сложная конструкция получается)) 0