Posts by fulltilt

  • strange /tmp files - put attacks

    it will not stop .. if I delete both files in /tmp it takes 2 seconds and I get 2 new files
    some output from these files:


    Code
    1. Content-Disposition: form-data; name="putfile"; filename="club-senior_01-2012_web.pdf";
    2. Content-Type: application/octet-stream
    5. %PDF-1.7


    how can I stop that?

  • strange /tmp files - put attacks

    I have found 2 files in /tmp > owner www-data, looks like adobe stuff inside ...
    Does anyone know what that is or where it comes from?


    fcgid.tmp.p9XutA
    20150917-101130-Vfp1r1UZxqQAAHreKvEAAABT-request_body-yyEL4I



    renamed as .txt because of restrictions


    imagemagick was installed but www-data should store the files in user /phptmp or what do you think?

  • fqdn_helo_hostname - backscattering​

    den grossen Email Anbietern sind die Webhoster egal ... auch wenn Spamassassin z.b. eine Mail als Spam markiert hat die gar kein Spam ist, nehmen die Sie nicht an ... wäre sie nicht als Spam markiert wär sie weitergeleitet worden ...
    Aber dann hätte waahrscheinlich der Kunde der die Mails auf Hotmail weiterleitet seine eigene weitergeleitete Mail dort als Spam markiert ;-)
    aaaahhhhhh ....

  • fqdn_helo_hostname - backscattering​

    Quote from f4Nm1Z9k2P

    Also ich kenne das eigentlich nur so, dass man nur dann backscatter erzeugt, wenn der eigene Server die Mail annimmt, der Server an den man weiterleitet die Mail aber nicht annimmt.


    Die einfachste Variante wäre es also Weiterleitungen komplett abzuschalten. Eine andere Variante wäre es, mehr zu blockieren als der Server an den es geht. Was für einen Sinn es hat, die Filter abzuschalten, erschließt sich mir da nicht.

    ja genau das ist das Problem, also die Weiterleitungen auf Hotmail & Co ... habe auch schon Kunden informiert damit die den POP3 Service von Gmail oder Hotmail zum abrufen verwenden anstatt ungeprüfte Weiterleitungen.
    Es gibt viele Kunden die das nicht akzeptieren wollen und drohen damit zu einem anderen Provider zu wechseln bei dem das möglich ist ...
    Meinst Du mit mehr blockieren z.b. im Spamassassin auch rejecten?


    Ich verwende ipset mit der Liste von blocklist.de cronjob alle 15 Minuten
    zusätzlich eigene Ipset Blacklist
    Policyd weight
    Spamassassin incl. Razor, pyzor
    ClamAV
    Im Postfix blocke ich schon alles mögliche ab (siehe oben)

  • fqdn_helo_hostname - backscattering​

    es geht immer noch weiter ... anscheinened ist hier auch das Problem das Spamassassin vor den Helo checks und reject rules die Mail bereits als Spam markiert, geht die dann zurück an Yahoo, Hotmail z.b. über eine Weiterleitung etc. wird sie natürlich auch wieder rejected weil sie zuvor von hier als Spam markiert wurde ...
    Hat dazu jemand eine Idee?


    Ich komme mehr und mehr zu dem Schluss das die ganzen Spamfilter noch mehr Spam produzieren und eher schaden als nützen ...
    Wenn ich mir die Junkmails von heute so anschaue, sind davon fast 70% mit einwandfreien SPF und DKIM ausgestattet.

  • fqdn_helo_hostname - backscattering​

    ich schätze ich habs jetzt hinbekommen ;)
    die Helo Host checks habe ich wieder aktiviert
    und die main.cf erweitert:

  • fqdn_helo_hostname - backscattering​

    au weia, nachdem jetzt DKIM noch zusätzlich zu SPF installiert wurde und die Rejects rausgenommen worden sind, beanstandet Hotmail jetzt die Weiterleitungen von Kunden Emails auf Hotmail Konten (Gmail übrigens auch). Anstatt weiterzuleiten sollen die Kunden den POP3 Abholdiemst bei Hotmail usw. verwenden ...
    Wäre vieleicht über IMSCP Backend machbar ... keine Weiterleitungen aus Liste oder Weiterleitungen nur intern oder Weiterleitungen deaktivieren

  • fqdn_helo_hostname - backscattering​

    Die Mails wurden vorher an die gefakte hotmail adresse zurückgesendet bis ich die obigen checks deaktiviert habe, meinste das ist noch OK wenn die reject_non_fqdn_helos deaktiviert sind?

    Code
    1. Sep 11 07:41:20 host2 postfix/smtp[23507]: A7AB911CBCCF: lost connection with mx3.hotmail.com[65.55.33.135] while sending RCPT TO
    2. Sep 11 07:58:00 host2 postfix/policyd-weight[14822]: weighted check: IN_DYN_PBL_SPAMHAUS=3.25 IN_SBL_XBL_SPAMHAUS=4.35 NOT_IN_SPAMCOP=-1.5 CL_IP_NE_HELO=9.1 (check from: .hotmail. - helo: .hotmail. - helo-domain: .hotmail.) MAIL_SEEMS_FORGED=2.5 RESOLVED_IP_IS_NOT_HELO=1.5; <client=unknown[112.111.185.181]> <helo=hotmail.com> <from=somebody@hotmail.com> <to=info@userdomain.tld>; rate: 19.2
    3. Sep 11 07:58:00 host2 postfix/policyd-weight[14822]: decided action=550 Mail appeared to be SPAM or forged. Ask your Mail/DNS-Administrator to correct HELO and DNS MX settings or to get removed from DNSBLs; MTA helo: hotmail.com, MTA hostname: unknown[112.111.185.181] (helo/hostname mismatch); <client=unknown[112.111.185.181]> <helo=hotmail.com> <from=somebody@hotmail.com> <to=info@userdomain.tld>; delay: 1s
    4. Sep 11 07:58:00 host2 postfix/smtpd[19105]: NOQUEUE: reject: RCPT from unknown[112.111.185.181]: 550 5.7.1 <info@userdomain.tld>: Recipient address rejected: Mail appeared to be SPAM or forged. Ask your Mail/DNS-Administrator to correct HELO and DNS MX settings or to get removed from DNSBLs; MTA helo: hotmail.com, MTA hostname: unknown[112.111.185.181] (helo/hostname mismatch); from=<somebody@hotmail.com> to=<info@userdomain.tld> proto=ESMTP helo=<hotmail.com

  • fqdn_helo_hostname - backscattering​

    Habe momentan massive Probleme mit email backscattering ... es kommen laufend Beschwerden von Hotmail und Co. das die Mails an gefakte Return Adressen rejected werden ...
    Ich habe jetzt in policyd-weight $dnsbl_checks_only = 1 gesetzt und in der main.cf diese checks auskommentiert:


    Code
    1. reject_non_fqdn_helo_hostname,
    2. reject_invalid_helo_hostname


    jetzt kommt natürlich noch mehr Spam rein ....
    hat jemand einen Vorschlag bzw. ist meine Massnahme too much?