http://quanta.khu.ac.kr/~dacapo/sendmail/rulesets/
############# N O T I C E , 01/11/15 ############################33
# MAP_REGEX 를 지원하지 않는 sendmail 에서는
# quanta_spam-killer.m4 를 사용하세요 !!!!!!!!
# command prompt 상태에서 sendmail -d0.1 해 보면
# MAP_REGEX 가 포함되어 COMPILE 되었는지 알 수 있습니다.
###################################################################
########### USE AT YOUR OWN RISK #################
@ 이 룰셋의 사용은 메일서버 관리자의 판단에 의한 자유선택이며, 저는 이 룰셋의
사용으로 인해 발생할 수 있는 피해에 대해 전혀 책임을 지지 않습니다.
@ 이 룰셋은 헤더체킹 기능을 제공하는 sendmail 8.9.x 이상의
버젼에서만 사용할 수 있으며, 8.9.2 이상 버젼의 사용을
권장합니다.
@ 이 룰셋의 일부는 인터넷상에서 발견한 단편적인 룰셋을 포함하며,
아이네트의 abuse team에서 적용하고 있는 것 가운데 일부 채택한 것이
있음을 밝힙니다.
@ 스패머는 늘 릴레이 서버 및 송신자 주소를 바꿔 가면서 메일을 전송하기
때문에, check_relay 및 check_mail은 거의 무용지물에 가깝습니다.
(저 또한 수백줄의 access 화일을 갖고 사용하지만) 따라서 패턴
매칭으로 스팸을 걸러내는 룰셋을 고안하게 되었습니다.
@ 최신버젼은 http://quanta.kyunghee.ac.kr/~dacapo/sendmail/rulesets 에서
구할 수 있습니다. 번뜩이는 아이디어를 제게 알려 주시거나, 적용후
효능을 알려 주시면 감사하겠습니다.
@ 적용방법: quanta_spam-killer.m4를 사용하여 m4 configuration을 사용하는
것을 권장합니다만, 이미 sendmail.cf에 많은 수정이 된 상태라 새로
sendmail.cf를 만들기 곤란한 분들은, 아래와 같이 직접 sendmail.cf에
룰셋들을 갖다 붙이면 됩니다. m4 설정법이 무엇인지 모르는 분은
sendmail source의 cf/README를 읽으시기 바랍니다.
@ m4를 사용하지 않고 바로 sendmail.cf에 적용하는 방법은 다음과
같습니다. copy&paste로 붙일 때 주의해야 할 사항은, 터미널
(예: 한텀, xterm, 기타 텔넷 프로그램들) 상에서 마우스로
긁어서 copy를 할 경우 TAB이 모두 연속된 white space로 바뀐다는
점입니다. 적절한 editor (예: emacs)로 열어서 copy를 해 주시길
바랍니다.
sendmail.cf를 열어서,
# my name for error messages
DnMAILER-DAEMON
divert()와 LOCAL_CONFIG는 삭제
---> 여기에 (m4 화일 중) LOCAL_CONFIG 아래 오는 것들을,
.... 원래 sendmail.cf에 있던 내용들 ......
LOCAL_RULESETS 삭제
---> 여기에 (m4 화일 중) LOCAL_RULESETS 아래 오는 것들을 붙이시면 됩니다.
divert()는 삭제
######################################################################
######################################################################
#####
##### MAILER DEFINITIONS
-------------(이하 룰셋에 대한 설명입니다)-------------
참고: 1999년 11 월 이후로 아래 설명문은 업데이트 안 됐습니다. --;
1. LOCAL_CONFIG 설명
#### Headers to be checked ###################
#### 각각의 헤더에 대해 어떤 룰셋을 적용할 것인지를 정합니다.
#### 여기서 선언된 룰셋들은 LOCAL_CONFIG에서 패턴매칭을 통해
#### reject/accept를 결정합니다.
HSubject: $>check_subject
HContent-Type: $>check_ct
HDate: $>check_date
HX-Mailer: $>check_mailer
HX-MimeOLE: $>check_ole
HMessage-Id: $>check_msgid
HComments: $>check_comments
###############################################
#### If any of these fields
#### shows up, It is bogus.
#### 헤더에 다음과 같은 field가 있으면 무조건 reject입니다.
#### X-Spanska: 해피99 바이러스가 묻어 오는 메을의 헤더에서 발견됩니다.
#### X-PMFLAGS: 외국산 스팸메일러가 붙이는 고유 field입니다.
#### X-Reply-To: 역시 외국산 스팸메일러입니다.
HX-Spanska: $>check_happy99
HX-PMFLAGS: $>check_all
HX-Reply-To: $>check_all
##################################################
## Error messages definition
## Error codes refer to RFC821.
## 에러메시지에 사용되기 위한 매크로를 지정합니다.
## 553, 501 등의 에러코드는 RFC 821의 SMTP code를 따른 것입니다.
## $j는 hostname(FQDN)을 나타냅니다.
##
## 정당한 메시지가 만에 하나 스팸으로 오인될 수도 있으니 반드시
## ${Msg_masger}를 사용한 문의창구 안내를 만들어 놓으시기를
## 권고드립니다. postmaster로 오는 메일이 너무 많은 서버의 경우
## 다른 account로 바꾸어 사용하십시요.
D{Msg_mailer}"553 SPAMBOT is not allowed here."
D{Msg_adv}"553 ADV mail not accepted."
D{Msg_virus}"553 Your message may contain the"
D{Msg_master}"If you have questions, please email postmaster@$j."
D{Msg_date}"553 Bogus date format - SPAMMER - "
D{Msg_to}"501 Bogus recipient address."
2. LOCAL_RULESETS 설명
###### 어떤 메일들이 차단되는가? ######
2.1. check_subject 안내
http://quanta.kyunghee.ac.kr/~dacapo/sendmail/check_subj.html
2000/05/06: LoveLetter virus 룰셋 추가
RILOVEYOU $#error $: ${Msg_virus} ILOVEYOU virus - See http://www.symantec.com/avcenter/venc/data/vbs.loveletter.a.html - ${Msg_master}
2.2 check_ct 안내
http://quanta.kyunghee.ac.kr/~dacapo/sendmail/check_ad2000.html
AD_2000 및 WC_MAIL은 가장 많이 사용되는 스팸툴입니다.
이 가운데, 국산 스팸웨어인 AD_2000은 검색어에 따라 검색엔진
(심마니, 네이버)을 조회하여 해당 URL에 나온 e-mail 주소를
긁어오며, 제목 및 본문에 매크로를 사용하여:
"%ID 님 안녕하세요, %URL 를 보던중 %keyword 에
관심이 많은 듯 생각되어 메일을 보내드립니다"
이런 식의 메일을 보내는 것까지, 완전자동화된 스팸메일러입니다.
현재 국산 스팸의 반이 이 스팸메일러를 사용하여 발송된 것으로
추정됩니다. 이 스팸발송기는 정통부의 승인까지 받은 합법적인
소프트웨어라고 선전되고 있습니다.
2.3 check_date
스팸메일러들의 가장 큰 특징중의 하나는, 표준에 맞지 않는 시간
표기입니다. 시간표기에 대한 인터넷 표준은 RFC822를 참조하시기 바랍니다.
2.3.1
R$* 표준시 $#error $: ${Msg_date} - ${Msg_master}
R$* 대한민국표준시 $#error $: ${Msg_date} - ${Msg_master}
AD_2000 및 소수 스팸메일러에서 발견할 수 있는 시간 표기가운데
timezone을 '*** 표준시'와 같이 표기하는 메일들이 있습니다.
심지어 '타이페이 표준시'와 같은 것도 있는 걸로 봐서, 윈도우
의 레지스트리 값을 참조하는 것으로 보입니다.
2.3.2
R$+Standard Time $#error $: ${Msg_date} - ${Msg_master}
R$+Daylight Time $#error $: ${Msg_date} - ${Msg_master}
역시 미국산 스팸메일에서 흔히 볼 수 있는 시간표기입니다.
Received: from pussykingdom.com ([24.92.31.139])
by garfield.pussykingdom.com (Post.Office MTA v3.5.3 release 223
ID# 0-12345L500S10000V35) with SMTP id com;
Thu, 4 Mar 1999 22:25:38 -0500
Date: 3/4/99 9:44:23 PM Pacific Daylight Time
From: postmaster@pussykingdom.com (PostMaster)
Reply-To: SexxMann@pussykingdom.com
To: SexxMann@pussykingdom.com
Subject: Interesting new site
Message-ID: <19990305032538680.DAQ180@garfield.pussykingdom.com@pussykingdom.com>
2.3.3
R$+AM $#error $: ${Msg_date} - ${Msg_master}
R$+PM $#error $: ${Msg_date} - ${Msg_master}
24시 표기를 사용하지 않고 12시 (AM/PM)을 쓰는 것 또한 RFC822 위반입니다.
이 형태의 스팸 역시 미국 스팸에서 대단히 자주 발견됩니다. 심지어,
이딴 식으로 놀고 있는 스패머가 있습니다.
SUBJECT: BULK E-MAILING FOR THE HOLIDAYS-GET EXPOSED
We offer the following prices:
$400.00 for 1-million e-mails sent.
$700.00 for 2-million e-mails sent.
$1,000.00 for 3-million e-mails sent.
CALL NOW 209-6*9-3*2*
위 리스트엔 물론 제 주소도 포함되어 있겠지요... -_-
이 스패머가 사용하고 있는 스팸발송기가 Date 표기에 AM/PM을 사용합니다.
DATE: 13 Nov 99 9:51:15 PM
2.3.4
R$* $-:$-:$- $#error $: ${Msg_date} - ${Msg_master}
HH:MM:SS 표기 뒤에 아무 것도 없는 Date: 표기를 잡는 룰셋입니다.
예)
Subject: <알림>국제전화가 무료?! 알고계십니까!
Mime-Version: 1.0
Content-Type: text/plain; charset="iso-2022-kr"
Date: Thu, 2 Dec 1999 08:22:01
Timezone 표기가 아예 없는 형태의 스팸은 대단히 자주 발견됩니다.
제 경우, 1년간의 메일박스를 모조리 grep해 봤는데 약 2000개의 메시지에
대해 단 한개의 예외도 없이 스팸메일입니다. (물론 제 경우에 한해서입니다)
특히, 위의 스팸메일은 수신자의 SMTP 서버에 다이렉트로 스팸을
전송하는 (릴레이를 거치지 않고) 스팸발송기에 의해 전송된 것이기
때문에, 동적 IP를 사용할 경우 check_relay로는 도저히 막을 길이
없습니다. 최근 스팸발송기의 경향은 이건 direct spamming이 주입니다.
(예외)
RH 5.2의 sendmail 8.9.1/8.9.2(rpm)가 만드는 반송메일에 timezone이
없는 버그가 있다고 하는군요. 아마 build할 때 <time.h> 혹은
<sys/time.h>가 이상한 것이 include되었나 봅니다. 그리고, hotmail
abuse desk의 자동응답 메일도 Date:에 timezone 표기를 하지 않습니다.
참고하시기 바랍니다.
2.3.5. check_mailer
Scheck_mailer
RLightningMail$+ $#error $: ${Msg_mailer} - ${Msg_master}
RMailKing$+ $#error $: ${Msg_mailer} - ${Msg_master}
R<WC Mail> $#error $: ${Msg_mailer} - ${Msg_master}
R<Microsoft Outlook Express 4.72.3110.5> $#error $: ${Msg_mailer} - ${Msg_master}
RThe Bat! ($+) $+ $#error $: ${Msg_mailer} - ${Msg_master}
X-Mailer: 필드에 아예 대 놓고 "나? 스팸웨어" 하고 광고하는 스팸발송기도
있어서, 간단히 걸러낼 수 있습니다. OE의 버젼이 < >로 둘러 싸인 모양을 한
발송기도 있습니다.
Subject: 잉크젯 프린터용 리필잉크 판매
X-Mailer: <Microsoft Outlook Express 4.72.3110.5>
Content-Length: 5120
Lines: 107
Status: RO
주의: LightningMail은 원래 그룹메일을 위해 고안한 것이라고 개발자가
주장하고 있으며, 주소수집 기능도 없습니다. 제 경우, 이 프로그램을
사용한 스패머를 3번 발견한 이후로 룰셋에 포함시켰습니다. 다시 한 번
강조하지만, 이 룰셋을 사용할 메일서버 관리자는 이 룰셋의 사용으로
인해 스팸이 아닌 메일을 반송시킬 수 있음을 명심하여야 합니다.
(예: LightningMail SPAM)
Received: from kim ([210.102.118.124]) by mail.cjdream.net with Microsoft SMTPSVC(5.5.1877.197.19);
Thu, 11 Nov 1999 01:42:49 +0900
From: 지정원 <scoop@bizland.com>
Message-ID: <942284553@kim>
Date: Thu, 11 Nov 1999 01:42:32 +0900
Subject: 안녕하세요...
To: tft-lcd@tftlcd.kyunghee.ac.kr
X-Mailer: LightningMail v0.73 (c)1999 www.v-d-l.com
X-Priority: 3
MIME-Version: 1.0
2.3.6. Scheck_ole
RProduced By Microsoft MimeOLE V(null).$* $#error $: 553 Bogus X-MimeOLE
X-MimeOLE 표기가 위와 같은 스팸도 있습니다. 역시 정상적인 OE에서는
있을 수 없는 표기입니다.
2.3.7. check_msgid
R< $-.$-.$- @ localhost > $#error $: ${Msg_mailer} - ${Msg_masger}
R<bulk.$-.$- @ $+> $#error $: ${Msg_mailer} - ${Msg_masger}
R< $+ @ $+ > $@ OK
R$* $#error $: 553 Header Error - ${Msg_master}
(첫번째 룰셋)
첫번째 라인의 < $-.$-.$- @ localhost >는 또 다른 국산 스팸발송기를
잡아내는 룰셋입니다. 이 스팸발송기를 홍보하는 스팸은 다음과 같습니다.
Return-Path: <_______@kornet.net>
Received: from kmu.kookmin.ac.kr ([210.123.32.13]) by quanta.kyunghee.ac.kr
(8.9.3/8.9.3) with SMTP id RAA10843 for <webmaster@quanta.kyunghee.ac.kr>; T
hu, 21 Oct 1999 17:40:05 +0900
From: _______@kornet.net
Received: from pc119 ([168.126.99.155]) by kmu.kookmin.ac.kr (8.6.9H1/8.6.9) wit
h SMTP id RAA13323 for <webmaster@quanta.kyunghee.ac.kr>; Thu, 21 Oct 1999 17:36
:16 +0900
To: <webmaster@quanta.kyunghee.ac.kr>
Subject: 홍보를 지원하여 드립니다
Date: Thu, 21 Oct 1999 17:40:14 +0900
Message-Id: <36454.736274305555200.124538@localhost>
[세계 최초]
★ 개인용 E메일 자동수집 및 발송 프로그램 탄생 !!! ★
---- [snip]
일단 message-id의 $j가 localhost라는 것부터 말이 안되며,
설사 호스트네임을 'localhost'로, domain name을 null로 놓은
로컬 리눅스 박스의 sendmail이 발송한 것일지라도, sendmail의
Message-Id: 포멧은 <$t.$i@$j>이므로, 위와 같은 Message-Id는
이 스팸웨어 고유의 것으로 봐도 무방합니다. 한 때 지겹게도 오던
스팸 하나를 예로 듭니다.
To: <webmaster@quanta.kyunghee.ac.kr>
Subject: 럭키포유에서 행운을 잡으세요 !!!
Date: Mon, 25 Oct 1999 20:06:39 +0900
Message-Id: <36458.837954398150000.40036@localhost> <===== # 여기
MIME-Version: 1.0
(두번째 룰셋)
스팸웨어 'bulk_mailer'를 잡는 룰셋입니다.
R<bulk.$-.$- @ $+> $#error $: ${Msg_mailer} - ${Msg_masger}
(예)
Received: from localhost (nmd_serv@localhost)
by lustland.com (8.8.7/8.8.5) with SMTP id UAA19442;
Wed, 22 Sep 1999 20:09:17 -0700 (PDT)
Date: Wed, 22 Sep 1999 20:09:17 -0700 (PDT)
Received: by lustland.com (bulk_mailer v1.6); Wed, 22 Sep 1999 15:37:41 -0700
To: Mail_List_Subscriber@lustland.com
Subject: Lustland Mail 9/22
Message-ID: <bulk.8113.19990922153741@lustland.com>
(3, 4번째 라인)
Message-Id: 가 <xxxx@xxxx> 형태로 되어 있지 않은 것은 스팸으로 간주하는
것은 Claus Asmann(sendmail의 check_mail, check_relay, check_rcpt의 저자)
의 아이디어입니다. Harker system <url:http://www.harker.com>은 보다 더
까다로운 룰셋을 권장하고 있으나, lycos.co.kr에서 회원들에게 발송하는
메일들이 반송되는 경우가 발견되어 (당연히 적절한 Message-Id:를 빠뜨린
라이코스 코리아의 잘못이지만) Claus Asmann의 룰셋을 채택했습니다.
2.3.8. check_happy99
R$* $#error $: ${Msg_virus} Happy99 virus - See http://www.symantec.com/avcenter/venc/data/happy99.worm.html - ${Msg_master}
I-Worm인 happy99가 붙어 오는 메일에는 'X-Spanska:' 와 같은 헤더가
발견됩니다. 이 필드가 발견되면 참조 URL과 함께 반송시키는 것이
좋습니다. CERT에서도 이와 같은 방법을 권고하고 있으며, check_subj를
보면 제목으로 I-Worm 및 바이러스를 판별하여 반송시키는 룰셋도
있습니다.
2.3.9. check_all
헤더에 특정 필드가 나타나면 (예: X-PMFLAGS: 또는 X-Reply-To:) 스팸웨어로
간주하여 반송합니다.
'X-PMFLAGS:'는 대단히 자주 발견되었으며, 이 스팸웨어를 2만 5천원에
판다는 스팸도 있었습니다.
(예)
Received: from login_0246.whynot.net (mx.whynot.net[206.212.231.88]) by whynot.net (8.8.5/8.7.3) with SMTP id XAA03599 for <dacapo@q
uanta.kyunghee.ac.kr>; 금, 10 9월 1999 04:05:21 -0700 (EDT)
To: <dacapo@quanta.kyunghee.ac.kr>
Subject: 죄송해욤 ㅠ.ㅠ
Reply-To: ______@whynot.net
X-PMFLAGS: 10322341.10
X-UIDL: 10293287_192832.222
Comments: Authenticated Sender is <_______@whynot.net>
Message-Id: <79099120_26220650>
Status: RO
Content-Length: 8846
Lines: 172
안녕하세요 먼저 이렇게 아무허락 없이 메일을 드려서 정말 죄송합니다.
혹시 이멜을 읽으시고 도움이 되지않는다고 생각하시면 지워주시기 바람니다.
그럼 행복하세욤 *^^*
다름이 아니라
제가 단돈 2만5천원에 메일 발송 프로그램을 팔려고 하는데(절대 비싼게 아님니다
게임이나 기타 프로그램 가격으로 생각하시면 큰오산.. )
--
작성자: 김경욱
문의: dacapo@quanta.kyunghee.ac.kr
|
