Hallo, Am Wed, 08 Oct 2003, Thorsten Haude schrieb:

* David Haller [2003-10-08 05:14]:

...

Am Tue, 07 Oct 2003, Thorsten Haude schrieb:

...

Was ich habe ist eine Datei body.reject.pcre, die in der main.cf folgendermaßen gelesen wird: body_checks = pcre:/etc/postfix/body.reject.pcre ^^^^ In dieser datei befindet sich nur eine Zeile: /^Content-Type: application\/x-msdownload; name=".+\.exe"/ REJECT We don't accept spam

Das klappt leider garnicht. Fehler werden keine geloggt.

Was mache ich falsch?

Obiger check ist ein header_check und ich nehme an, dass die in

header_checks = pcre:/etc/postfix/header.reject.pcre

stehen sollten...

Das ist Teil der Einleitung eines Anhangs, also nehme ich schon an, daß das nach body_checks gehört. Oder?

Auch. 'Content-Type:' ist aber erstmal ein Header. Das der dann pro Attachment nochmal auftaucht ist eine andere Sache. Wie Postfix diese "Attachment-Header" einsortiert (header oder body) weiss ich nicht, da ich postfix eigentlich gar nicht kenne ;)

...

Achso: als Body-Check ist ein Check auf base64 kodierte MZ-Executables (das schliesst auch PE exe ein, also alle M$ executables, wie exe, com, scr, dll usw., aber auch selbstentpackende Archive) mit ein...

Ich verstehe nicht. Ist mein Check so ein Check?

Nein.

Es ist nicht so, daß mir Leute furchtbar viele Executables für Windows schicken, das wäre also schon etwa, was ich haben wollte.

Da wuerde ich mit ner "whitelist" arbeiten... Oder die sollen das als .zip verpacken (das muesste man aber testen, ob das durch u.g. Filter kommt).

...

Folgendes in 'body.reject.prce' hilft gegen sowas /^TV[qpro][iw5QJB]AAMAAAAEAAAA/ REJECT ...

Das ist dann wohl eine Swen-spezifische Zeichenkette? Die nehme ich doch gleich mal auf, danke.

Nein. Diese Zeichenkette ist spezifisch auf den "MZ-EXE"-Header, den jedes Windows-executable beinhaltet (in base64 kodiert). Analog koenntest du auf einen (base64 kodierten) ELF-Header filtern, also z.B.: $ uuencode --base64 /bin/bash /bin/bash | head begin-base64 755 /bin/bash f0VMRgEBAQAAAAAAAAAAAAIAAwABAAAA4EYFCDQAAACk5gUAAAAAADQAIAAG $ uuencode --base64 /bin/ash /bin/ash | head begin-base64 755 /bin/ash f0VMRgEBAQAAAAAAAAAAAAIAAwABAAAAMI0ECDQAAABE+wAAAAAAADQAIAAG $ uuencode --base64 /bin/ksh /bin/ksh | head begin-base64 755 /bin/ksh f0VMRgEBAQAAAAAAAAAAAAIAAwABAAAAIJgECDQAAABAuAIAAAAAADQAIAAG $ uuencode --base64 /bin/sash /bin/sash | head begin-base64 755 /bin/sash f0VMRgEBAQAAAAAAAAAAAAIAAwABAAAA8IAECDQAAACcJgYAAAAAADQAIAAD Das Muster (fuer procmail / postfix) waere also wohl: /^f0VMRgEBAQAAAAAAAAAAAAIAAwABAAAA/ eben der konstante Anfang des ELF-Headers, in base64 kodiert... Und obiges /^TV[qpro][iw5QJB]AAMAAAAEAAAA/ passt eben auf den MZ-Header von Windows-Executables, als base64 kodiert...

Hm, da fällt mir ein, verschicke ich mit REJECT diese sinnfreien Warnungen, die ich selbst so hasse? Dann doch lieber gleich in den digitalen Orkus.

Nicht ganz. Beim SMTP REJECT bekommt der sendende SMTP die Fehlermeldung -- wie der damit dann umgeht ist dessen Sache -- ob der die dann fallen laesst oder eine Fehlermeldung inklusive komplettem Body der Mail (also inkl. Virus) generiert... Prinzipiell waere wohl ein '550' ok -- naeheres muesste ich aber auch in den RfC zu SMTP nachlesen. Evtl. kannst du die Verbindung auch einfach (gemaess SMTP) "droppen". -dnh, bei dem obiges vorgehen leider grundsaetzlich nicht klappt, da die mails via POP3/fetchmail gesaugt werden... PS: Ich habe die Tage (inzwischen hat sich's ja wieder etwas beruhigt) angefangen, einen POP-Filter zu schreiben, der auf best. Kriterien hin dann ein DELE machen soll... Kann sein, dass es sowas schon gibt (pop*filter auf freshmeat?), aber falls hier jemand an sowas in perl mitbasteln will... PPS: Good sigmonster, have a cookie! Ich wuerde die sig aber noch so modifizieren: 's/one //;s/\(dow\)\./\1s./;'. -- The purpose of a windowing system is to put some amusing fluff around your one almighty emacs window. -- Mark on gnu.emacs.help

Hallo, Am Wed, 08 Oct 2003, Thorsten Haude schrieb:

* David Haller [2003-10-08 11:05]:

...

-dnh, bei dem obiges vorgehen leider grundsaetzlich nicht klappt, da die mails via POP3/fetchmail gesaugt werden...

Uh. Warum klappt es da nicht? Ich habe das gleiche Setup, und bin bisher davon ausgegangen, daß Fetchmail die Mail nur dann remote quittiert, wenn sie der lokale MTA akzeptiert hat!?

Hm. Muss ich nochmal testen...

...

PS: (inzwischen hat sich's ja wieder etwas beruhigt)

Bei mir hat sich garnicht beruhigt. Die Dumpfbacken, die mich an ihrem unsicheren OS Anteil nehmen lassen, fallen mir mächtig auf den Wecker.

ACK. Es ist bei mir aber etwas weniger...

...

PPS: Good sigmonster, have a cookie! Ich wuerde die sig aber noch so modifizieren: 's/one //;s/\(dow\)\./\1s./;'.

-- The purpose of a windowing system is to put some amusing fluff around your one almighty emacs window. -- Mark on gnu.emacs.help

Windowsing?

Du hast den Punkt im Muster uebersehen ;)

-- Emacs is for people who desperately want to get drunk, but feel guilty doing so without a reason. - Miles O'Neal

*g* -dnh -- Hm, mich hat Frust in meiner Linuxanfangszeit doch eher beflügelt, ich hab mir gedacht, dem Schrotthaufen Code zeig ich mal, wer die Hosen anhat. Wobei, ich zappel wohl hier immer noch eher in einem Strampelanzug herum ;) -- Thorsten von Plotho-Kettner in suse-linux

Hallo David, Am Mittwoch, 8. Oktober 2003 11:05 schrieb David Haller:

inzwischen hat sich's ja wieder etwas beruhigt

Bei mir werden es von Tag zu Tag immer mehr und ich komme mit dem Filterbasteln (kmail) garnicht mehr hinterher, weil ich mit den einfachen Filterregeln von kmail kaum einen konstanten Bestandteil in diesen Mails entdecken kann. Jetzt wage ich mich mal an eine passende RegEx heran (da bin ich aber sehr unerfahren) - die können ja auch als kmail-Filter eingestzt werden. Was mir auffällt ist, daß im Header immer einer von zwei Content-Types zu finden sind: Entweder multipart/mixed oder multipart/alternative. Und zusätzlich tauchen dann im Body noch Header der Formen audio/x-wav, image/gif oder application/x-msdownload auf. Reguläre Mails dieser Formen bekomme ich so gut wie nie. Das sollte ich eigentlich schaffen, so einen regulären Ausdruck zu schreiben... Andererseits ärgert mich der Traffik, der dadurch in unserem Intranet unnötig erzeugt wird. Mein Compagnon, der den Mailserver administriert, wird wohl bald aktiv werden müssen - die Anregungen aus diesem Thread werde ich ihm weiterleiten (darf ich?). Gruß von Heimo -- Heimo Ponnath Webdesign, Rotenhäuserstr. 51, 21109 Hamburg Tel: 040-753 47 95,Fax: 040-752 68 03, http://www.heimo.de/

Moin, * David Haller [2003-10-08 11:05]:

-dnh, bei dem obiges vorgehen leider grundsaetzlich nicht klappt, da die mails via POP3/fetchmail gesaugt werden...

Ok, ich geb's auf mit Postfix. Wie lautet die Regex, mit der Du die Mistdinger fängst? Thorsten -- A: Top posters Q: What's the most annoying thing about email these days?