3 changed files with 285 additions and 1 deletions
@ -0,0 +1,283 @@ |
|||||||
|
--- |
||||||
|
title: Почтовый шлюз: задание со звёздочкой (Донастройка антиспама на примере конкретных писем) |
||||||
|
tags: mail, spam, rspamd, репост |
||||||
|
--- |
||||||
|
|
||||||
|
И в завершение хочу показать несколько примеров писем, и разбор "на что смотреть" и "как ловить". |
||||||
|
Из заголовков ничего не удалял, оно конечно несколько раздувает примеры, зато даёт реальное представление о типовом письме. |
||||||
|
|
||||||
|
--- |
||||||
|
|
||||||
|
Пример #1 |
||||||
|
--------- |
||||||
|
|
||||||
|
Образец с тупой vps-спамилки: |
||||||
|
|
||||||
|
Envelope-to: atv@example.com |
||||||
|
Delivery-date: Mon, 22 Feb 2016 07:51:44 +1000 |
||||||
|
Received: from s18200321.onlinehome-server.info ([212.227.95.64]) |
||||||
|
by relay.example.com with esmtp (Exim 4.86) |
||||||
|
(envelope-from <krylov.408@mail.ru>) |
||||||
|
id 1aXbup-00062J-8c |
||||||
|
for atv@example.com; Mon, 22 Feb 2016 07:51:44 +1000 |
||||||
|
Received: by s18200321.onlinehome-server.info (Postfix, from userid 10006) |
||||||
|
id 047B939C0923C; Sun, 21 Feb 2016 15:14:20 -0600 (CST) |
||||||
|
To: atv@example.com |
||||||
|
Subject: =?utf-8?B?0J3QsNGB0YfQtdGCINGB0LXRgNGC0LjRhNC40LrQsNGC0LAg0L3QsCDQktCw0YjRgyDQv9GA0L7QtNGD0LrRhtC40Lg=?= |
||||||
|
X-PHP-Originating-Script: 10006:hostdata111.php |
||||||
|
From: =?utf-8?B?0JDQu9C10LrRgdCw0L3QtNGAICjQodC10YDQstC40YEg0YHQtdGA0YLQuNGE0LjQutCw0YbQuNC4KQ==?= <krylov.408@mail.ru> |
||||||
|
Subject: =?utf-8?B?0J3QsNGB0YfQtdGCINGB0LXRgNGC0LjRhNC40LrQsNGC0LAg0L3QsCDQktCw0YjRgyDQv9GA0L7QtNGD0LrRhtC40Lg=?= |
||||||
|
MIME-Version: 1.0 |
||||||
|
Content-Type: text/plain; charset=UTF-8; |
||||||
|
Content-Transfer-Encoding: base64 |
||||||
|
Message-Id: <20160221211420.047B939C0923C@s18200321.onlinehome-server.info> |
||||||
|
Date: Sun, 21 Feb 2016 15:14:20 -0600 (CST) |
||||||
|
X-ACL-Warn: "SPF softfail, greylisted" |
||||||
|
X-Spam-Status: Yes |
||||||
|
X-Spam-Score: 10.9 (++++++++++) |
||||||
|
X-Spam-Report: Action: add header |
||||||
|
Symbol: IP_SCORE(0.18) |
||||||
|
Symbol: BROKEN_HEADERS(1.00) |
||||||
|
Symbol: MIME_GOOD(-0.10) |
||||||
|
Symbol: HEADER_FORGED_MAILRU_FROM(5.00) |
||||||
|
Symbol: HEADER_MAILER_PHP_GENERIC(2.00) |
||||||
|
Symbol: RBL_MAILSPIKE_BAD(1.00) |
||||||
|
Symbol: BAYES_SPAM(1.82) |
||||||
|
Message-ID: 20160221211420.047B939C0923C@s18200321.onlinehome-server.info |
||||||
|
|
||||||
|
Здесь всё просто: |
||||||
|
|
||||||
|
- характерное helo. Такое или регистрируется пачками или ломается готовое на вордпрессе. Рассчитано на "разослать побольше и побыстрее, пока не грохнули по абузе" |
||||||
|
- характерные заголовки от php |
||||||
|
- с доменом отправителя сильно не заморачиваются: берётся популярный mail.ru, нет админа который будет его банить. |
||||||
|
|
||||||
|
Решение простое: шаблон ``s[0-9]+\.onlinehome-server\.info`` -- в баню. Если владелец vps'а планирует с него рассылать почту - то не обломится сменить. |
||||||
|
Вообще, там уже есть шаблоны, которые дают отлуп на типовые комбинации типа ``vps[0-9]+`` в helo, но здесь оно не сработало. |
||||||
|
|
||||||
|
``HEADER_FORGED_MAILRU_FROM`` -- собственная разработка. |
||||||
|
|
||||||
|
Пример #2 |
||||||
|
--------- |
||||||
|
|
||||||
|
Ниже приведены 2 образца писем: спам, прикидывающийся яндексом и нормальное письмо с яндекса. |
||||||
|
|
||||||
|
Envelope-to: user@example.com |
||||||
|
Delivery-date: Tue, 16 Feb 2016 21:35:14 +1000 |
||||||
|
Received: from [193.124.178.2] (helo=worldcrisis.ru) |
||||||
|
by relay.example.com with smtp (Exim 4.86) |
||||||
|
(envelope-from <ot-ingeneer@yandex.ru>) |
||||||
|
id 1aVduS-000DlE-Qp |
||||||
|
for user@example.com; Tue, 16 Feb 2016 21:35:14 +1000 |
||||||
|
Message-ID: <ED1759DABC685B18C4C1883074CE5361@yandex.ru> |
||||||
|
Reply-To: =?windows-1251?B?0O7x8uX17eDk5+7w?= <ot-ingeneer@yandex.ru> |
||||||
|
From: =?windows-1251?B?0O7x8uX17eDk5+7w?= <ot-ingeneer@yandex.ru> |
||||||
|
To: <user@example.com> |
||||||
|
Subject: =?windows-1251?B?3erx7+Xw8ujn4CDv8O7s4eXn7u/g8e3u8fLo?= |
||||||
|
Date: Tue, 16 Feb 2016 14:35:06 +0300 |
||||||
|
MIME-Version: 1.0 |
||||||
|
Content-Type: multipart/mixed; boundary="0028a225f2c90e0631e74e42f2bf" |
||||||
|
Disposition-Notification-To: <ot-ingeneer@yandex.ru> |
||||||
|
X-ACL-Warn: "Bad rev hostname (missing)" |
||||||
|
X-ACL-Warn: "SPF softfail, greylisted" |
||||||
|
X-Spam-Status: Yes |
||||||
|
X-Spam-Score: 10.5 (++++++++++) |
||||||
|
X-Spam-Report: Action: add header |
||||||
|
Symbol: ONCE_RECEIVED(3.00) |
||||||
|
Symbol: HFILTER_HOSTNAME_UNKNOWN(4.00) |
||||||
|
Symbol: BROKEN_HEADERS(1.00) |
||||||
|
Symbol: MIME_GOOD(-0.10) |
||||||
|
Symbol: RBL_SORBS_RECENT(1.50) |
||||||
|
Symbol: DMARC_POLICY_SOFTFAIL(1.10) |
||||||
|
Symbol: IP_SCORE(0.00) |
||||||
|
Message-ID: ED1759DABC685B18C4C1883074CE5361@yandex.ru |
||||||
|
|
||||||
|
На что можно обратить внимание: |
||||||
|
|
||||||
|
* этому письму не хватает одного балла для отлупа (проходной балл: ниже 11.5, сейчас - 10.5) |
||||||
|
* домен зарегистрирован недавно (``RBL_SORBS_RECENT``) |
||||||
|
* не признаков пересылки (``ONCE_RECEIVED``) |
||||||
|
* нет dns-ptr для хоста (``HFILTER_HOSTNAME_UNKNOWN``) |
||||||
|
* в helo нет никакого намёка на яндекс |
||||||
|
* присутствует запрос уведомления (Disposition-Notification-To) |
||||||
|
* "Кому" выглядит подозрительно (нет описательной части, в этом случае адрес пишется без <>) |
||||||
|
* DMARC яндекса намекает, что это не его письмо (``DMARC_POLICY_SOFTFAIL``) |
||||||
|
|
||||||
|
Далее, валидное письмо от яндекса: |
||||||
|
|
||||||
|
Envelope-to: user@example.com |
||||||
|
Delivery-date: Tue, 16 Feb 2016 18:43:13 +1000 |
||||||
|
Received: from forward10o.cmail.yandex.net ([37.9.109.60]) |
||||||
|
by relay.example.com with esmtp (Exim 4.86) |
||||||
|
(envelope-from <a3315882@yandex.ru>) |
||||||
|
id 1aVbE0-0008zp-My |
||||||
|
for user@example.com; Tue, 16 Feb 2016 18:43:13 +1000 |
||||||
|
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=yandex.ru; s=mail; |
||||||
|
t=1455612184; bh=xnE5qv8t++sZTBq4cdaUHABDW5pRpnDipt7Ya4T8YCI=; |
||||||
|
h=From:To:Subject:Date; |
||||||
|
b=ImXxDJBNMet63EPHoq+N2sUWkLwO443b307O0PLvQODSoTbtXJDRINksUQqW94JIc |
||||||
|
EYjJ1lxVpznRJAqiEqiYcg3F7ia4NK410kNDnXqdMYZ/SAM0p/D1WRBF7J9IUJDe9s |
||||||
|
xAfPSOBA42x3BcBGXivmKXhTo1uUDgIyXtbfUS0Y= |
||||||
|
Received: by web24o.yandex.ru with HTTP; |
||||||
|
Tue, 16 Feb 2016 11:42:59 +0300 |
||||||
|
From: =?koi8-r?B?8MHSyM/Nxc7LzyDhzsHT1MHTydE=?= <a3315882@yandex.ru> |
||||||
|
Envelope-From: a3315882@yandex.ru |
||||||
|
To: =?koi8-r?B?8c4g88XNxc7P18neIOHMxcvTwc7E0s/X08vJyg==?= <admin@intermost.ru>, |
||||||
|
Subject: =?koi8-r?B?8/T87PM6INDP18XT1MvB?= |
||||||
|
MIME-Version: 1.0 |
||||||
|
Message-Id: <2356061455612179@web24o.yandex.ru> |
||||||
|
X-Mailer: Yamail [ http://yandex.ru ] 5.0 |
||||||
|
Date: Tue, 16 Feb 2016 11:42:59 +0300 |
||||||
|
Content-Type: multipart/mixed; |
||||||
|
boundary="----==--bound.235607.web24o.yandex.ru" |
||||||
|
X-Spam-Status: Yes |
||||||
|
X-Spam-Score: 6.3 (++++++) |
||||||
|
X-Spam-Report: Action: add header |
||||||
|
Symbol: DMARC_POLICY_ALLOW(-0.50) |
||||||
|
Symbol: MIME_GOOD(-0.10) |
||||||
|
Symbol: R_SPF_ALLOW(0.00) |
||||||
|
Symbol: R_DKIM_ALLOW(0.00) |
||||||
|
Symbol: RCVD_IN_DNSWL_LOW(0.00) |
||||||
|
Symbol: BROKEN_HEADERS(1.00) |
||||||
|
Symbol: IP_SCORE(0.00) |
||||||
|
Symbol: MIME_HTML_ONLY(1.00) |
||||||
|
Symbol: BAYES_SPAM(4.92) |
||||||
|
Symbol: RWL_MAILSPIKE_VERYGOOD(0.00) |
||||||
|
Message: (SPF): spf allow |
||||||
|
Message-ID: 2356061455612179@web24o.yandex.ru |
||||||
|
|
||||||
|
Что здесь можно отметить: |
||||||
|
|
||||||
|
* есть DKIM (DKIM-Signature), но на его наличие/отсутствие нельзя полагаться |
||||||
|
* есть специфичный X-Mailer, но это ничего не даёт (в данном случае письмо написано через браузер) |
||||||
|
* в helo/dns-ptr есть "yandex". Это уже серьёзно, можно использовать. |
||||||
|
|
||||||
|
К сожалению мы не можем полагаться на softfail dmarc'а. |
||||||
|
Так уж сложилось, что админы очкуют включать строгий режим spf и всего остального. |
||||||
|
|
||||||
|
Что можно сделать на основе отмеченного выше: |
||||||
|
|
||||||
|
Вариант первый - учитывать наличие "yandex" в helo/ptr. Это будет работать, но: яндекс может переделать dns в любой момент, а helo подделывается без проблем. |
||||||
|
|
||||||
|
Вариант второй - считать softfail - fail'ом. Нарушает стандарт, и кроме того яндекс тоже может налажать с настройкой у себя. Пример - timeweb, где в spf сейчас упомянуты 4 из 8 его /24 блоков. |
||||||
|
|
||||||
|
Вариант третий - смотреть на наличие нескольких признаков. Причём постараться сделать так, чтоб применялось не только к яндексу, но и всем остальным доменам. |
||||||
|
|
||||||
|
Для этого можно использовать композиты из rspamd. Правило будет выглядеть примерно так: |
||||||
|
|
||||||
|
composite { |
||||||
|
name = "CMP_ZOMBIE_HOST"; |
||||||
|
expression = "ONCE_RECEIVED & (HFILTER_HOSTNAME_UNKNOWN | RBL_SORBS_RECENT)"; |
||||||
|
} |
||||||
|
|
||||||
|
Учтите, что при совпадении из итогового score убираются баллы для всех "символов", используемых в композите, а вместо них добавляется score самого композита. |
||||||
|
По этой причине не имеет смысла ставить score для композита меньше, чем сумма score компонентов, используемых в нём. |
||||||
|
Разбивка по символам из первого примера после добавления композита. |
||||||
|
|
||||||
|
X-Spam-Score: 12.0 (++++++++++) |
||||||
|
X-Spam-Report: Action: reject |
||||||
|
Symbol: CMP_ZOMBIE_HOST(10.0) |
||||||
|
Symbol: BROKEN_HEADERS(1.00) |
||||||
|
Symbol: MIME_GOOD(-0.10) |
||||||
|
Symbol: DMARC_POLICY_SOFTFAIL(1.10) |
||||||
|
Symbol: IP_SCORE(0.00) |
||||||
|
|
||||||
|
Пример #3 |
||||||
|
--------- |
||||||
|
|
||||||
|
Envelope-to: andrey@example.com |
||||||
|
Delivery-date: Wed, 24 Feb 2016 16:52:17 +1000 |
||||||
|
Received: from webmail.jaivalores.com ([190.99.97.33]) |
||||||
|
by relay.example.com with esmtp (Exim 4.86) |
||||||
|
(envelope-from <mrv@e-kontakti.fi>) |
||||||
|
id 1aYTIz-000NEU-PN |
||||||
|
for andrey@example.com; Wed, 24 Feb 2016 16:52:17 +1000 |
||||||
|
Received: from localhost (localhost [127.0.0.1]) |
||||||
|
by webmail.jaivalores.com (Postfix) with ESMTP id A32AB1008B1B4; |
||||||
|
Wed, 24 Feb 2016 03:46:19 -0300 (ART) |
||||||
|
Received: from webmail.jaivalores.com ([127.0.0.1]) |
||||||
|
by localhost (webmail.jaivalores.com [127.0.0.1]) (amavisd-new, port 10032) |
||||||
|
with ESMTP id a_uAdk3M_wcO; Wed, 24 Feb 2016 03:46:18 -0300 (ART) |
||||||
|
Received: from localhost (localhost [127.0.0.1]) |
||||||
|
by webmail.jaivalores.com (Postfix) with ESMTP id 205CD10067F7A; |
||||||
|
Wed, 24 Feb 2016 03:46:18 -0300 (ART) |
||||||
|
X-Virus-Scanned: amavisd-new at jaivalores.com |
||||||
|
Received: from webmail.jaivalores.com ([127.0.0.1]) |
||||||
|
by localhost (webmail.jaivalores.com [127.0.0.1]) (amavisd-new, port 10026) |
||||||
|
with ESMTP id S7yoVxtnqn1O; Wed, 24 Feb 2016 03:46:17 -0300 (ART) |
||||||
|
Received: from fuzik-i (unknown [172.16.210.2]) |
||||||
|
by webmail.jaivalores.com (Postfix) with SMTP id 836B310067F4D; |
||||||
|
Wed, 24 Feb 2016 03:45:12 -0300 (ART) |
||||||
|
Message-ID: <888D3B6863B7981BC7C28B36126DFDB6@e-kontakti.fi> |
||||||
|
From: =?windows-1251?B?yu7x8ujtINHl8OPl6Q==?= <mrv@e-kontakti.fi> |
||||||
|
To: =?windows-1251?B?wOvr4CDC6Ory7vDu4u3g?= <igla@rock.ru> |
||||||
|
Subject: =?windows-1251?B?zeDr7uPu7uHr7ubl7ejlICDw7vHx6Onx6uj1?= |
||||||
|
=?windows-1251?B?ICAsICDo7e7x8vDg7e379SDv5fDl4u7n9+jq?= |
||||||
|
=?windows-1251?B?7uIg6CDy8ODt8e/u8PLt7i396vHv5eTo9uju?= |
||||||
|
=?windows-1251?B?7e379SAg?= |
||||||
|
Date: Wed, 24 Feb 2016 09:44:37 +0300 |
||||||
|
MIME-Version: 1.0 |
||||||
|
Content-Type: multipart/mixed; boundary="3fba5f4ee74af078ab79c87b5149" |
||||||
|
X-Spam-Status: Yes |
||||||
|
X-Spam-Score: 9.5 (+++++++++) |
||||||
|
X-Spam-Report: Action: add header |
||||||
|
Symbol: FORGED_RECIPIENTS(4.00) |
||||||
|
Symbol: BROKEN_HEADERS(1.00) |
||||||
|
Symbol: MIME_GOOD(-0.10) |
||||||
|
Symbol: BAYES_SPAM(4.56) |
||||||
|
Message-ID: 888D3B6863B7981BC7C28B36126DFDB6@e-kontakti.fi |
||||||
|
|
||||||
|
This is a multi-part message in MIME format. |
||||||
|
|
||||||
|
--3fba5f4ee74af078ab79c87b5149 |
||||||
|
Content-Type: multipart/alternative; boundary="5dc500c2a88f3b25fa6fd09178ed" |
||||||
|
|
||||||
|
|
||||||
|
--5dc500c2a88f3b25fa6fd09178ed |
||||||
|
Content-Type: text/plain; charset="windows-1251" |
||||||
|
Content-Transfer-Encoding: quoted-printable |
||||||
|
|
||||||
|
=C8=ED=F4=EE=F0=EC=E0=F6=E8=FF =E2=EE =E2=EB=EE=E6=E5=ED=ED=EE=EC =F4=E0=E9= |
||||||
|
=EB=E5 |
||||||
|
|
||||||
|
--5dc500c2a88f3b25fa6fd09178ed |
||||||
|
Content-Type: text/html; charset="windows-1251" |
||||||
|
Content-Transfer-Encoding: quoted-printable |
||||||
|
|
||||||
|
<HTML><HEAD> |
||||||
|
<META http-equiv=3D"Content-Type" content=3D"text/html; charset=3Dwindows= |
||||||
|
-1251"> |
||||||
|
</HEAD> |
||||||
|
<BODY bgColor=3D#ffffff> |
||||||
|
<DIV align=3Dleft><FONT size=3D2 face=3DArial>=C8=ED=F4=EE=F0=EC=E0=F6=E8= |
||||||
|
=FF =E2=EE =E2=EB=EE=E6=E5=ED=ED=EE=EC=20 |
||||||
|
=F4=E0=E9=EB=E5</FONT></DIV></BODY></HTML> |
||||||
|
|
||||||
|
--5dc500c2a88f3b25fa6fd09178ed-- |
||||||
|
|
||||||
|
--3fba5f4ee74af078ab79c87b5149 |
||||||
|
Content-Type: application/msword; name="=?windows-1251?B?wu3l+O3l/eru7e7s6Pfl8erg/yDk5f/y5ev8?= |
||||||
|
=?windows-1251?B?7e7x8vwsIMLg6/7y7e7lIPDl4/Pr6PDu4uDt?= |
||||||
|
=?windows-1251?B?6OUsIMHz9fP35fIuZG9j?=" |
||||||
|
Content-Transfer-Encoding: base64 |
||||||
|
Content-Disposition: attachment; filename="=?windows-1251?B?wu3l+O3l/eru7e7s6Pfl8erg/yDk5f/y5ev8?= |
||||||
|
=?windows-1251?B?7e7x8vwsIMLg6/7y7e7lIPDl4/Pr6PDu4uDt?= |
||||||
|
=?windows-1251?B?6OUsIMHz9fP35fIuZG9j?=" |
||||||
|
|
||||||
|
Здесь мы видим вполне валидный хост, который сам принял письмо от какого-то явного пидараса |
||||||
|
``Received: from fuzik-i (unknown [172.16.210.2])``, а теперь пытается его переслать нам. |
||||||
|
|
||||||
|
В заголовках зацепиться особо не за что, поэтому следует присмотреться к самому контенту письма. |
||||||
|
|
||||||
|
В теле письма минимум текста "Информация во вложенном файле", и одно вложение со скучным названием "Внешнеэкономическая деятельность, Валютное регулирование, Бухучет.doc". Такое шлют десятками в день и больше по работе. |
||||||
|
|
||||||
|
Однако, мы точно знаем, что это спам. Поэтому по вложению мы и сможем дать отлуп. Здесь сработает механизм fuzzy-хешей, которые умеет считать rspamd. Добавляется оно примерно так: |
||||||
|
|
||||||
|
HOST="127.0.0.1" |
||||||
|
PASS="123456789" |
||||||
|
rspamc -h "$HOST" -P "$PASS" -f 1 -w 5 fuzzy_add "/path/to/file/with/attachment" |
||||||
|
|
||||||
|
Нужное значение ``-f`` берётся из конфига: ``FUZZY_DENIED { max_score = 20.0; >>> flag = 1; <<< }`` |
||||||
|
|
||||||
|
--- |
||||||
|
|
||||||
|
[К оглавлению](/articles/2016/04/10/hardcore-mail-relay-1/) |
||||||
Loading…
Reference in new issue