[procmail] regexp de rejet d'un tld entier
Francoise Marre-Fournier
J'essaie (péniblement et vainement) de conserver une BAL à peu près
lisible en rejettant les spams et autres saloperies en provenance de
"pays" dans lesquels je n'ai pas de correspondants.
J'ai donc dans, mon .procmailrc, entre autres et par exemple :
:0:
* ^(FROM|RECEIVED).*\@.*\.ru$
* ^(FROM|RECEIVED).*\@.*\.cn$
/dev/null
mais je reçois encore en BAL des trucs comme :
%%%%%
Received: by limrec.unilim.fr (mbox marre)
(with Cubic Circle's cucipop (v1.31 1998/05/13) Sat Mar 30 20:22:10
2002)
X-From_: glio...@mail.ru Sat Mar 30 20:02:40 2002
Return-Path: <glio...@mail.ru>
Received: from limdns2.unilim.fr (limdns2.unilim.fr [164.81.1.5])
by limrec.unilim.fr (8.9.3/jtpda-5.3.2) with ESMTP id
UAA412307
; Sat, 30 Mar 2002 20:02:40 +0100 (MET)
Received: from ASAN.iasan.co.kr ([211.192.254.230])
by limdns2.unilim.fr (8.11.6/jtpda-5.3.3) with SMTP id
g2UJ2CR08192
; Sat, 30 Mar 2002 20:02:13 +0100
Received: from mail.ru (unverified [204.32.146.145]) by ASAN.iasan.co.kr
(EMWAC SMTPRS 0.83) with SMTP id <B0001...@ASAN.iasan.co.kr>;
Sat, 30 Mar 2002 16:51:10 +0900
Date: Sat, 30 Mar 2002 16:51:10 +0900
Message-ID: <B0001...@ASAN.iasan.co.kr>
From: "Avelina" <glio...@mail.ru>
To: "keug...@mail.ru" <keug...@mail.ru>
%%%%%
ou
%%%%%
Received: by limrec.unilim.fr (mbox marre)
(with Cubic Circle's cucipop (v1.31 1998/05/13) Tue Mar 26 19:17:28
2002)
X-From_: debt_co...@btamail.net.cn Tue Mar 26 18:07:59 2002
Return-Path: <debt_co...@btamail.net.cn>
Received: from limdns2.unilim.fr (limdns2.unilim.fr [164.81.1.5])
by limrec.unilim.fr (8.9.3/jtpda-5.3.2) with ESMTP id
SAA240322
for <ma...@limrec.unilim.fr>; Tue, 26 Mar 2002 18:07:59 +0100
(MET)
Received: from icubic.album-online.com (80-25-203-14.uc.nombres.ttd.es
[80.25.203.14])
by limdns2.unilim.fr (8.11.6/jtpda-5.3.3) with ESMTP id
g2QH7SR25493
for <marre-f...@unilim.fr>; Tue, 26 Mar 2002 18:07:29
+0100
Received: from plain (localhost [127.0.0.1])
by icubic.album-online.com (8.11.2/8.11.0) with SMTP id
g2QGwve21980;
Tue, 26 Mar 2002 17:58:57 +0100
Message-Id: <200203261658...@icubic.album-online.com>
From: "Debt Collectors"<debt_co...@btamail.net.cn>
To: marr...@hotmail.com
%%%%%
J'ai merdu, mais où ?
Question subsidiaire : comment filtrer les Sarbacane et autres ?
Merci pour vos réponses éclairantes.
--
2F -
Le fonctionnement des news : http://usenet-fr.news.eu.org/
FAQ fctt : http://www.grappa.univ-lille3.fr/FAQ-LaTeX/
Laurent FRIGAULT
deuz...@nunuche.REMOVETHIS.net (Francoise Marre-Fournier) writes:
Bonjour,
> J'essaie (péniblement et vainement) de conserver une BAL à peu près
> lisible en rejettant les spams et autres saloperies en provenance de
> "pays" dans lesquels je n'ai pas de correspondants.
>
> J'ai donc dans, mon .procmailrc, entre autres et par exemple :
>
>:0:
> * ^(FROM|RECEIVED).*\@.*\.ru$
> * ^(FROM|RECEIVED).*\@.*\.cn$
> /dev/null
>
> mais je reçois encore en BAL des trucs comme :
...
> From: "Avelina" <glio...@mail.ru>
...
> J'ai merdu, mais où ?
Avec le $ qui représent la fin de la ligne et le fait que tu as rarement
.cn ET .ru dans le même mail . De plus, es-tu certaine que FROM et
RECEIVED soient définies dans procmail ? Je les trouve pas dans le man.
Essaie :
* ^(From|Received):.*\@.*\.(ru|cn)\>?$
> Question subsidiaire : comment filtrer les Sarbacane et autres ?
Essaie ça =>
* ^(Received|Message-Id|X-(Mailer|Sender|SMTP-Server)):.*(ALPHA_XMR75_00001MD2000|AutoMail|E-Broadcaster|Emailer Platinum|eMarksman|Extractor|e-Merge|from stealth|Global Messenger|GOTO Software Sarbacane|GroupMaster|List-X|Mail Bomber|Mailcast|MailKing|MailPerformance|Match10|MassE-Mail|massmail\.pl|Massive|NetContact|NetMailer|News Breaker|PostCast Server|Powermailer|Quick Shot|Ready Aim Fire|Stalker|WindoZ|WorldMerge|Yourdora)\>
Amicalement,
Lolo
--
Laurent Frigault | <url:http://www.teaser.fr/~lfrigault>
Dans la vie on partage toujours les emmerdes, jamais le pognon.
(Michel Audiard)
Erwan David
> Bonjour ą tous,
>
> J'essaie (péniblement et vainement) de conserver une BAL ą peu prčs
> lisible en rejettant les spams et autres saloperies en provenance de
> "pays" dans lesquels je n'ai pas de correspondants.
>
> J'ai donc dans, mon .procmailrc, entre autres et par exemple :
>
> :0:
> * ^(FROM|RECEIVED).*\@.*\.ru$
> * ^(FROM|RECEIVED).*\@.*\.cn$
> /dev/null
Dans le From les adresses sont suivies d'un blanc, dans le received
d'un '>' donc
:0:
*^From.*\.(ru|cn)\>
/dev/null
:0:
*^Received.*\.(ru|cn)>
/dev/null
devrait marcher.
--
Je suis a la recherche de la recette d'un space cake. Je ne trouve que
des recettes a base d'herbes. Je voudrais une recette avec du shit
(haschish), j'aurais de plus une preference pour un gateau au chocolat.
-+- fred in <http://www.le-gnu.net> : Ah ben cake qui space mon neuneu?
Jacques L'helgoualc'h
> Bonjour ā tous,
Bonjour.
> J'essaie (péniblement et vainement) de conserver une BAL ā peu prčs
> lisible en rejettant les spams et autres saloperies en provenance de
> "pays" dans lesquels je n'ai pas de correspondants.
>
> J'ai donc dans, mon .procmailrc, entre autres et par exemple :
>
> :0:
> * ^(FROM|RECEIVED).*\@.*\.ru$
> * ^(FROM|RECEIVED).*\@.*\.cn$
> /dev/null
>
> mais je reįois encore en BAL des trucs comme :
> %%%%%
> Received: by limrec.unilim.fr (mbox marre)
> (with Cubic Circle's cucipop (v1.31 1998/05/13) Sat Mar 30 20:22:10
> 2002)
> X-From_: glio...@mail.ru Sat Mar 30 20:02:40 2002
> Return-Path: <glio...@mail.ru>
[...]
> J'ai merdu, mais oų ?
le Ŧ $ ŧ, les .ru et .cn ne sont pas en fin de ligne (et pas besoin de
protéger le @).
:0
* ^(From|Return-Path|Received):.*@[^ ]\.(ru|cn|kr)\>
/dev/null
est peut-ętre un peu violent, mais bon...
(le crochet contient espace et tabulation).
Il y a aussi :
# Pas de sujet, ou sujet vide
:0:
* ! ^Subject:[ ]*Re:\/.+
* ! ^Subject:\/.+
SPAM
# Le sujet n'a aucune lettre ascii
:0E:
* ! MATCH ?? [a-z]
SPAM
# ...ou les en-tętes trop d'autres caractčres
:0 D:
* -1^1 .
* 2^1 =[0-9A-F][0-9A-F]
* 9^1 [ ĄĒĢĪĨĶ§ĻĐŠŦŽŪŊ°ąēģīĩķ·ļđšŧž―ūŋ]
* 9^1 [ĀÁÂÃÄÅÆĮČÉĘËĖÍÎÏÐŅŌÓÔÕÖŨØŲÚÛÜÝÞß]
* 9^1 [āáâãäåæįčéęëėíîïðņōóôõöũøųúûüýþĸ]
* 9^1 =[A-F][0-9A-F]
SPAM
## Spam oriental
:0:
* ^(From|Subject|Content-Type):[ ]*=["?]?(euc-kr|big5|ks_c_)
SPAM
> Question subsidiaire : comment filtrer les Sarbacane et autres ?
# Mass-Mailers
:0:
* ^X-Mailer:.*(MMailer|K-ML|GoldMine|MAGIC|bomber|expeditor\
|Brooklyn North| Broadcast|DMailer|Extractor|EMailing List Pro|Fusion\
|News Breaker|dbMail|Unity|PG-MAILINGLIST PRO|Dynamic|Splio\
|Sarbacane|sMailing|JMail|Broadc@st|WorkZ)
SPAM
> Merci pour vos réponses éclairantes.
De rien. J'utilise maintenant spamassassin (http://spamassassin.org/),
qui est assez efficace (avec spamc/spamd, c'est assez rapide).
Joyeuses Pâques,
--
Jacques L'helgoualc'h
Nicolas LS
>:0:
> * ^(FROM|RECEIVED).*\@.*\.ru$
> * ^(FROM|RECEIVED).*\@.*\.cn$
> /dev/null
:0:
* ^(Received|From):.*(\.cn|\.ru)
/dev/null
Ta regle demande la validation des deux Regexp, et en plus, il fait une
distinction entre majuscule et minuscule, non ?
> Question subsidiaire : comment filtrer les Sarbacane et autres ?
http://nlsn.free.fr/lin-docs/config/procmail-nlsn.tar.gz
Ca peut te servir d'exemple et tu as de nombreux filtres sur les sujets
de messages (voir le README).
--
Nicolas Le Scouarnec http://elecbtve.free.fr - Electronique
** http://nlsn.free.fr **
Slrn-fr, Linux/BSD/Unix , Bomberman, Grippe, Les Romains, Télécoms , ....
Olivier Tharan
news:a87s9f.3...@deuzeffe.org:
> Question subsidiare (oui, encore !) : faut-il mettre un caractère
> spécial en fin de ligne histoire de dire à procmail que le filtre
> "s'étend" sur plusieurs lignes ?
Les en-têtes tenant sur plusieurs lignes sont regroupées en une seule ligne
logique par procmail avant de passer au filtre.
olive
Laurent FRIGAULT
deuz...@nunuche.REMOVETHIS.net (Francoise Marre-Fournier) writes:
>>le « $ », les .ru et .cn ne sont pas en fin de ligne (et pas besoin
>>de protéger le @).
>
> Si je comprend bien, mettre "$" signifie que la ligne *n'est pas*
> finie ?
Si au contraire,
> Pourtant, ça me permet de ne pas virer chez Dave des mails qui serait
> filtrés par un filtre sur .cu (par exemple).
Oui, tu veux éviter de filtrer .cuba par ex .
Erwan David
> Erwan David nous disait, ici <877kns2...@bretagne.rail.eu.org> :
>
> Coucou,
>
>>> :0:
>>> * ^(FROM|RECEIVED).*\@.*\.ru$
>>> * ^(FROM|RECEIVED).*\@.*\.cn$
>>> /dev/null
>>
>>Dans le From les adresses sont suivies d'un blanc, dans le received
>>d'un '>' donc
>>
>>:0:
>>*^From.*\.(ru|cn)\>
>>/dev/null
>>
>>:0:
>>*^Received.*\.(ru|cn)>
>>/dev/null
>>
>>devrait marcher.
>
> Mmmhhh. Meme si ça prend plus de ligne que la solution de lolo, c'est
> plus efficace ?
Non, lolo a raicon, parceque un > est reconnu par \>
--
MS> A quand une hiérachie alternative en langue française??
SP> Quand vous aurez lancé les messages de contrôle idoines.
MS> Je les connais pas ? Peut-tu les publié ici même?
-+- MS in GNU : Mon neuneu est un aaaaartiste -+-
Nicolas LS
>>*^From.*\.(ru|cn)\>
>>/dev/null
>>*^Received.*\.(ru|cn)>
>>/dev/null
> Mmmhhh. Meme si ça prend plus de ligne que la solution de lolo, c'est
> plus efficace ?
Non, cela revient au meme.
Jacques L'helgoualc'h
> Jacques L'helgoualc'h nous disait, ici <020331170...@lhh.free.fr>
[...]
> Si je comprend bien, mettre "$" signifie que la ligne *n'est pas* finie
Non, non, ça marque une fin de ligne ; dans les exemples, les .cn et .ru
n'y étaient pas, justement :
> Received: from mail.ru ([...]
ou :
> From: "Debt Collectors"<debt_co...@btamail.net.cn>
le « \> » reconnaît un caractère (ou une fin de ligne) qui suit un mot.
> > ? Pourtant, ça me permet de ne pas virer chez Dave des mails qui serait
> filtrés par un filtre sur .cu (par exemple).
On peut aussi utiliser une « whitelist » au préalable :
($PMDIR est défini avant)
:0
* ^From:.*\/[^ ].+
* ? echo $MATCH | fgrep -i -f $PMDIR/whitelist
{
# ici, tri des correspondants connus
}
Il ne faut pas mettre ses propres adresses dans la whitelist !
>>:0
>>* ^(From|Return-Path|Received):.*@[^ ]\.(ru|cn|kr)\>
>>/dev/null
Heu, désolé, j'ai oublié le « + », là...
* ^(From|Return-Path|Received):.*@[^ ]+\.(ru|cn|kr)\>
[...]
> Plein de bonnes idées de filtres que je vais regarder avec attention,
> parce qu'avec ces règles là, il y a des messages désirés qui partiraient
> vers Dave...
C'est pour cela que je préfère une poubelle à vider de temps en temps.
Les rares faux positifs sont presque toujours évidents (et la poubelle
permet de tester des filtres :).
>>J'utilise maintenant spamassassin
>>(http://spamassassin.org/), qui est assez efficace (avec spamc/spamd,
>>c'est assez rapide).
>
> J'irai voir et je risque de revenir éventuellement avec des questions.
au plaisir.
> Merci Jacques.
de rien,
Jacques L'helgoualc'h
> C'est l'inverse que je demandais : est-ce que le filtre s'étendant sur
> plusieurs lignes sera lu sans problème (pour les macros LaTeX, faut
> mettre un % en fin de ligne pour dire au compilo que la macro s'étend
> sur plusieurs lignes...) ?
on protège la fin de ligne par un backslash \
(cf. les longs filtres sur ^X-Mailer:)
Jacques L'helgoualc'h
> Jacques L'helgoualc'h nous disait, ici <020331170...@lhh.free.fr>
[...]
> Si je comprend bien, mettre "$" signifie que la ligne *n'est pas* finie
Non, non, ça marque une fin de ligne ; dans les exemples, les .cn et .ru
n'y étaient pas, justement :
> Received: from mail.ru ([...]
ou :
> From: "Debt Collectors"<debt_co...@btamail.net.cn>
le « \> » reconnaît un caractère (ou une fin de ligne) qui suit un mot.
> > ? Pourtant, ça me permet de ne pas virer chez Dave des mails qui serait
> filtrés par un filtre sur .cu (par exemple).
On peut aussi utiliser une « whitelist » au préalable :
($PMDIR est défini avant)
:0
* ^From:.*\/[^ ].+
* ? echo $MATCH | fgrep -i -f $PMDIR/whitelist
{
# ici, tri des correspondants connus
}
Il ne faut pas mettre ses propres adresses dans la whitelist !
>>:0
>>* ^(From|Return-Path|Received):.*@[^ ]\.(ru|cn|kr)\>
>>/dev/null
Heu, désolé, j'ai oublié le « + », là...
* ^(From|Return-Path|Received):.*[^ ]+\.(ru|cn|kr)\>
...et le « @ » ne va pas dans le champ Received :-/
[...]
> Plein de bonnes idées de filtres que je vais regarder avec attention,
> parce qu'avec ces règles là, il y a des messages désirés qui partiraient
> vers Dave...
C'est pour cela que je préfère une poubelle à vider de temps en temps.
Les rares faux positifs sont presque toujours évidents (et la poubelle
permet de tester des filtres :).
>>J'utilise maintenant spamassassin
>>(http://spamassassin.org/), qui est assez efficace (avec spamc/spamd,
>>c'est assez rapide).
>
> J'irai voir et je risque de revenir éventuellement avec des questions.
au plaisir.
> Merci Jacques.
de rien,
florent faessel
> Qu'est-ce que j'ai encore oublié de faire ou de ne pas faire ?
Filtrer sur le return-path.
--
les accusations de malhonneteté sont fondées sur des arguments
incontestables
cf. tous les posts d'Alain Beyrand sur le fonctionnement du comité.
-+- BC in <http://www.le-gnu.net> - Neuneu a tout compris non plus -+-
Jacques L'helgoualc'h
> Francoise Marre-Fournier nous disait, ici
> <a87bog.3...@deuzeffe.org> :
>
> Quelques questions résolues en partie par les GM de fcm, de l'univers et
> des environs, grace à qui j'ai adopté le filtre suivant :
>
> :0:
> * ^(From|Received):.*\@.*\.(ru|cu|tw|br|au|md|jp|cc|cn|ro|es|kr)\>?$
> /dev/null
>
> Mais je me mange encore ce genre de truc :
[spam]
> Qu'est-ce que j'ai encore oublié de faire ou de ne pas faire ?
Le « $ » est en trop, le « .tw » de l'exemple n'est pas à une fin de
ligne ; terminer par « \> » devrait mieux marcher, mais il faut aussi
ôter le « \@ », qui ne figure pas (m'enfin, pas où l'attendait la
regexp) dans un champ Received: (il n'est pas utile non plus de le
protéger).
Quelque chose comme (le crochet contient tabulation et espace) :
:0:
* ^(From:.*@|Received:.*)[^ ]+\.(ru|cu|tw|br|au|md|jp|cc|cn|ro|es|kr)\>
SPAM
devrait mieux marcher. Le « From: Offs...@unilim.fr » est-il normal ?
Il y a aussi la possibilité de filtrer les sujets asiatiques :
:0
* ^Subject:[ ]*=\?(euc-kr|ks_c_5601-1987|big5|gb2312)\?
/dev/null
> Merci.
de rien.
Jacques L'helgoualc'h
> Jacques L'helgoualc'h nous disait, ici <020404173...@lhh.free.fr>
> :
>
> Coucou,
Salut.
[...]
>>Le « From: Offs...@unilim.fr » est-il normal ?
>
> Bien sur que non ! :(
Bon, ça fait une signature de spammeur, alors...
>>Il y a aussi la possibilité de filtrer les sujets asiatiques :
>>
>>:0
>>* ^Subject:[ ]*=\?(euc-kr|ks_c_5601-1987|big5|gb2312)\?
>>/dev/null
>
> procmail gueule comme un putois que la regexp est invalide.
Bon, elle est guérie ? Je viens de retester, ici ça marche ®©...
(procmail -v => 3.22)
Le crochet doit contenir espace et tabulation, mais le copié-collé de la
regexp ci-dessus avec quatre espaces marche aussi.
Essai avec :
formail -Y -s procmail -m filtre < Mail/SPAM
et le filtre :
===8<===
LOGFILE=$HOME/pm.log
VERBOSE=on
:0:
* ^Subject:[ ]*=\?(euc-kr|ks_c_5601-1987|big5|gb2312)\?
$HOME/pm.sujet-asiatique
:0:
$HOME/pm.default
===8<===
> Merci encore
Patrick Texier
deuz...@nunuche.REMOVETHIS.net (Francoise Marre-Fournier) a écrit :
> Ni le test sur le sujet, d'ailleurs, parce qu'un coup le sujet contient
> effectivement des ?euc-kr? et autres variants, un coup non ; un coup le
> charset est annoncé, un coup non ; un coup le charset est annoncé
> correctement, un coup non...
Ce serait trop facile, il faut taper dans le subject avec des caractères
que l'on retrouve dans les spams coréens mais jamais dans les mails
ISO-8859.
Il est quand même préférable de faire bouncer et non poubelliser un tel
filtre.
Jacques L'helgoualc'h
> Re,
Re²
>>[...]
>>>>:0
>>>>* ^Subject:[ ]*=\?(euc-kr|ks_c_5601-1987|big5|gb2312)\?
>>>>/dev/null
>>>
>>> procmail gueule comme un putois que la regexp est invalide.
>>
>>Bon, elle est guérie ? Je viens de retester, ici ça marche ®©...
>>(procmail -v => 3.22)
>
> 3.22 ici aussi.
?? C'est peut-être une autre regexp ? Que donne VERBOSE=on ?
> Pour l'instant, c'est réglé à grands coups de
>
> :0 HB
> * ^*charset="ks_c_5601-1987"
> /dev/null
plutôt : « * charset ... », ce n'est pas au début de la ligne ; le B est
aussi plus coûteux -- à moins de rajouter une condition de taille ?
:0 HB
* < 10000
* charset="ks_c_5601-1987"
/dev/null
> et autres variantes, mais c'est pas satisfaisant.
>
> Ni le test sur le sujet, d'ailleurs, parce qu'un coup le sujet contient
> effectivement des ?euc-kr? et autres variants, un coup non ; un coup le
> charset est annoncé, un coup non ; un coup le charset est annoncé
> correctement, un coup non...
C'est pour cela que je suis passé à spamassassin, qui a plus de 90% de
réussite, il y a un tas de règles, on peut modifier les barèmes si
besoin, et il suffit de mettre à jour de temps en temps. J'ai rajouté
quelques filtres évidents directement chez le FAI (free.fr), mais les
possibilités sont plus réduites (pas de regexp).
>>Essai avec :
>
> Ouhlà, trop complexe pour moi, ça...
Non, pas trop, formail découpe le contenu de ma boîte à spam, et le
passe à procmail, qui filtre avec le lambeau de procmailrc à essayer,
c'est tout, c'est plus simple que (La)TeX :)